Cybercriminaliteit kost het bedrijfsleven vele miljarden per jaar. Dat bedrag stijgt voortdurend, want in de wereld van hybride werk en de public cloud, zijn de securityrisico’s groter dan ooit. Tegelijkertijd verwachten gebruikers op afstand gemakkelijke toegang tot applicaties en data. In dat spanningsveld moeten IT-teams een oplossing vinden.
Geschatte leestijd: 4 minuten
De moderne werknemer werkt vanaf veel verschillende locaties – op netwerken die de IT-afdeling niet kan beveiligen, met apparaten die de organisatie niet beheert. Dit leidt tot kwetsbaarheden in traditionele netwerkbeveiliging: één sessie vanaf een onbeheerd apparaat met malware kan het hele netwerk in gevaar brengen. En als een onbevoegde gebruiker eenmaal door de verdedigingslinie breekt, staat de deur naar laterale bewegingen wagenwijd open.
Om deze nieuwe bedreigingen het hoofd te bieden, moeten IT-afdelingen security anders benaderen. Netwerken worden tegenwoordig gedefinieerd door het individu en het apparaat, niet door fysieke grenzen. Als gevolg hiervan werkt netwerkgerichte beveiliging, waarbij je de omgeving als een kasteel verdedigt, niet meer. Beveiligingscontroles moeten dicht bij applicaties en gebruikers geschieden om ervoor te zorgen dat data voortdurend wordt beschermd, ongeacht waar werknemers werken of welke apparaten ze gebruiken.
Om werknemers die voortdurend vanuit iedere locatie het “digitale kantoor” in- en uitlopen te beschermen, moet de IT-afdeling voortdurend risicofactoren in de juiste context kunnen beoordelen en, wanneer verdachte activiteiten worden gespot, automatisch de juiste beveiligingscontroles kunnen toepassen.
Geen vertrouwen binnen ‘het kasteel’ van je netwerk
Zero Trust kan de benodigde transparantie en controle bieden. Maar wat is het precies en hoe kun je het inzetten om je organisatie te beveiligen? Zero Trust is geen kant-en-klaar product of oplossing, maar een framework dat IT kan gebruiken om veilige toegang mogelijk te maken voor alle applicaties en apparaat.
Hoewel je Zero Trust op verschillende manieren kunt implementeren, is het wel gebaseerd op drie grondbeginselen van het NIST Cybersecurity Framework:
- Expliciete en continue verificatie: Gebruikersauthenticatie en -autorisatie altijd vóór toegang worden gedaan, maar ook tijdens een gebruikerssessie op basis van gedrag en omgeving.
- Toegang op basis van ‘least privilege’: Verleen alleen per sessie toegang tot applicaties en data, en dan alleen tot de hulpmiddelen die daadwerkelijk nodig zijn. Segmentatie van toegang tot gegevens is cruciaal om de impact van breuken te beperken. Zo voorkom je dat gebruikers toegang hebben tot data die ze helemaal niet nodig hebben om hun werk te doen.
- Minimaliseer de impact van hacks: Je kunt je netwerk opknippen in “securityzones”, zodat gebruikers niet zomaar van de ene zone naar de andere kunnen bewegen zonder verificatie. Zo kun je de gevolgen van een hack beperken tot één zone van je netwerk.
Zie het als een nachtclub. De uitsmijter aan de voordeur zorgt ervoor dat werknemers “op de lijst staan”, oftewel geautoriseerd zijn om toegang te krijgen tot een netwerk. Eenmaal binnen houdt een bewaker hun gedrag in de gaten en kan hij ingrijpen bij verdacht of fout gedrag. Tot slot is ook de bewegingsruimte in de club beperkt. Zo kan niet iedereen zomaar in de VIP-ruimte komen.
Een balans tussen veiligheid en gebruiksgemak
Werknemers moeten tegenwoordig kunnen werken wanneer, waar en hoe ze dat willen met de applicaties en apparaten van hun keuze. IT moet hen in staat stellen dit op een veilige en betrouwbare manier te doen zonder hen daarbij in de weg te zitten. Het is een delicaat evenwicht dat met Zero Trust kan worden behouden. Ja, gebruikers kunnen bijvoorbeeld wel te maken krijgen met watermerken in documenten wanneer ze een eigen apparaat gebruiken. Of wellicht kunnen ze documenten niet downloaden vanaf een onbekend netwerk. Maar in de meeste scenario’s zullen ze er niets van merken, omdat het controlebeleid op de achtergrond werkt.
Hybride werk heeft de beveiliging van netwerken en applicaties zeer complex gemaakt. Maar Zero Trust kan de zaken versimpelen. Bovendien kun je door Zero Trust te omarmen werknemers in staat stellen overal productief te werken en bedrijfsgroei te bevorderen in het public cloudtijdperk.
Door: Anne Maurits André
Sales Engineering Leader voor Application Delivery & Security bij Citrix
