NCSC geeft bedrijven informatie en tips om over te stappen naar een zero trust model

Het Nationaal Cyber Security Centrum adviseert Nederlandse bedrijven om zich voor te bereiden op een zero-trust model voor hun beveiliging. Volgens het bureau is dit een veiligere vorm van systeembeveiliging en een die in de toekomst populairder zal worden.

Het NCSC heeft een document opgesteld met tips voor ciso's en andere security managers. Het document bevat ook achtergrondinformatie en praktische tips hoe bedrijven toch authenticatie kunnen uitvoeren onder een zero-trust model. Het document is opgesteld door de Dienst Uitvoering ICT van de Rijksoverheid en het Landelijk Bureau Verbindingsbeveiliging , maar ook door Schuberg Philis en KPN.

Volgens het Nationaal Cyber Security Centrum wordt het zero-trust principe 'steeds populairder' en neemt de behoefte daaraan toe. "Technologische ontwikkelingen hebben de traditionele kijk op beveiliging en het beveiligingsbeleid van veel organisaties ingehaald. Organisaties die Zero Trust omarmen, zijn minder vatbaar voor aanvallen van buitenaf en bedreigingen van binnenuit", schrijft het bureau.

Concrete tips die het NCSC geeft zijn om direct een zero-trust model in te bouwen bij de overstap naar een cloudomgeving, eindgebruikers erbij te betrekken en samen te werken met IT-leveranciers. Het NCSC beveelt ook aan dat bedrijven het model eerst toepassen op kleine omgevingen en van daaruit bouwen, en dat mensgerichte beveiliging moet worden gevolgd om te voorkomen dat gebruikers proberen om beveiligingen te omzeilen. Het document geeft ook tips voor netwerksegmentatie, authenticatieprotocollen, monitoring en logging, en automatiseringen.

Zero trust is een bestaand beveiligingsmodel dat ook internationaal steeds meer wordt gevolgd . Een zero trust-model is een manier voor een organisatie om bijvoorbeeld te bepalen welke apparaten of mensen verbinding kunnen maken met een netwerk of met elkaar. In tegenstelling tot een 'vertrouwen, maar verifiëren'-model, is niets toegestaan onder zerotrust, tenzij het aan bepaalde vereisten voldoet. Met de opkomst van cloudomgevingen en werken op afstand brengt dat bestaande 'vertrouwen, maar verifiëren'-model vaak veiligheidsrisico's met zich mee. Het maakt het bijvoorbeeld makkelijker voor aanvallers om horizontaal door een systeem te bewegen.