Organisaties krijgen gemiddeld 1.600 keer per week een cyberaanval voor de kiezen en deze digitale dreiging blijft groeien in omvang en complexiteit. Cybercriminelen gebruiken steeds geavanceerdere technieken, zoals AI-tools. Omdat DDoS-aanvallen, ransomware en datadiefstal steeds vaker voor komen, stijgen ook de kosten om van een cyberaanval te herstellen. ​​Met de invoering van de Cyberbeveiligingswet (NIS2-richtlijn) worden organisaties in kritische sectoren verplicht om hun beveiliging structureel te verbeteren. Traditionele maatregelen, zoals firewalls en anti-malware, volstaan niet meer, maar wat dan wel?

Waar komt een datalek eigenlijk vandaan? 

Uit onderzoek blijkt dat bijna 49% van alle datalekken intern wordt veroorzaakt - vaak door misbruik van privileges of menselijke fouten. De andere helft komt op het conto van kwaadwillende hackers. Dit benadrukt de noodzaak om cybersecurity op alle niveaus te benaderen: technologie, processen én gedrag.  

Veiligheid op alle niveaus met Zero Trust  

Zero Trust betekent dat je altijd controleert en nooit zomaar vertrouwt. Dit principe helpt schade bij een cyberaanval te minimaliseren en dwingt organisaties om hun beveiliging op alle fronten op orde te hebben.

Wat houdt dit concreet in?  

• Applicaties isoleren en microsegmentatie toepassen;
• Minimale privileges: Geef gebruikers en systemen alleen toegang tot wat strikt noodzakelijk is  
• Continue monitoring: Detecteer afwijkingen en onveilige configuraties
• Sterke identiteitscontrole: Zorg dat je zeker weet wie er toegang heeft  
• Automatisering: Elimineer handmatige infrastructuurtoegang en verklein menselijke fouten.

Klinkt logisch? Zeker. Maar in de praktijk is het uitdagend om een bestaande IT-omgeving volledig naar deze standaarden te tillen.  

Een nieuwe aanpak: de “vlucht naar voren”

Achteraf Zero Trust implementeren is complex en kostbaar. Veel IT-omgevingen zijn namelijk over de jaren heen gegroeid en opgebouwd met verouderde best practices. Daarom kiezen steeds meer organisaties voor een ‘vlucht naar voren’: het opzetten van een nieuwe, beveiligde IT-omgeving (‘greenfield’) die direct voldoet aan moderne security-eisen.  

Public cloud-oplossingen bieden hiervoor de juiste tools en flexibiliteit. De ervaring leert dat deze aanpak minder verstorend is en uiteindelijk kosten bespaart.  

Maar, waar begin je? Een stappenplan 

Een succesvolle Zero Trust-aanpak vraagt om een duidelijke strategie en heldere richtlijnen. Begin met:  

1. Zero Trust begrijpen en omarmen: Organiseer workshops met architecten en leg de basisprincipes vast. Dit wordt je leidraad bij het nemen van beslissingen op infrastructuur-, applicatie- en security-archtitectuurgebied. Onderschat niet hoe belangrijk deze stap is en het uitvoeren en handhaven van de uitgangspunten. Het afzwakken hiervan in de praktijk is als het touwtje uit de brievenbus: de tijden zijn veranderd.   
2. Risk Control Framework opstellen: Bepaal wat je beschermt (assets), waarom (risico’s) en hoe (maatregelen). Denk niet alleen aan techniek, maar ook aan eigenaarschap en processen.
3. Netwerkbeveiliging op alle niveaus: Een firewall bij de poort is niet genoeg. Beveilig elk netwerksegment en elke applicatie apart.  
4. Strikte toegangscontrole: Zorg dat beheerders alleen in uitzonderlijke gevallen toegang hebben tot productieomgevingen. Gebruik MFA en voorwaardelijke toegangscontrole.  
5. Continu monitoren en reageren: Voorkom dat onveilige code of configuraties in productie terechtkomen. Richt een incident-response proces in.  
6. Automatisering: Elimineer handmatige configuraties. Zorg ervoor dat applicaties en infrastructuur automatisch en veilig worden uitgerold.  

Een continu proces

Security en compliance zijn geen eenmalige acties, maar een continu proces. Hoe ga je nu verder?  

1. Maak security onderdeel van de bedrijfscultuur. Alleen technologie is niet genoeg, bewustwording en gedrag spelen een grote rol.  
2. Automatiseer de uitrol van landingsplaatsen en applicaties. Zorg ervoor dat niemand op de landingsplaatsen hoeft in te loggen om applicatiezaken te configureren.
3. Zorg ervoor dat de controls, de maatregelen uit het control framework, in die mate geïmplementeerd zijn dat de DevOps/applicatie teams zoveel mogelijk ontzorgt zijn door deze vangrails.
4. Automatiseer de robuustheid van applicaties: gebruik de opties voor automatisch herstel (uit code of door diensten).
5. Gebruik stateless diensten en vermijd (toegang tot) operating systems.
6. Laat data alleen toegankelijk zijn door applicatie-diensten c.q. service accounts.
7. Bescherm en monitor code en pipelines.
8. Vermijd operating systems/IaaS en statefull computer.
9. Verbiedt secrets in code en tekst/config files.
10. Vermijd shared services waar mogelijk: zij vormen de toegangspoort tot vele applicaties en hun data.
11. Audit/toon aan wat je hebt bereikt.

Neem je mensen mee in de transitie  

In één keer op elke server kunnen inloggen als één van de vele administrators om met de hand de nodige reparaties uit te voeren is gebruiksvriendelijk maar zeer riskant. Dat blijkt uit vrijwel alle rapportages over cyberattacks waar hackers zijn binnengedrongen. Dit wijzigen in compleet geautomatiseerde omgevingen waar vanuit code alles wordt opgezet, veranderd en beheerd is verstandig, maar ook een enorme verandering.   

Er zal een veranderingen in de manier van werken optreden. Hou daar rekening mee. Zorg dat je mensen meeneemt in de verandering.

Alles in één keer goed  

Alles in één keer goed krijgen in een bestaande situatie is een illusie, dit kost tijd. Maar niets doen en denken dat het jou niet zal overkomen is ook een illusie. Neem op directieniveau het besluit dat je in zero trust gaat investeren en draag deze beslissing uit. Analyseer en beslis wat impactvolle maatregelen zijn die snel genomen kunnen worden. Gebruik hiervoor compliance en security monitoring tools die voor elk budget beschikbaar zijn.    

Ga je cloud diensten gebruiken (of heb je dat al) dan heb je een voordeel: er is geen geschiedenis recht te trekken en je bereikt (veel) sneller een beheersbare IT situatie. In veel gevallen kun je in een bestaande cloud omgeving met nieuwe applicaties een nieuwe norm neerzetten: ook dat kan een route zijn. De normen en maatregelen die je op een cloud toepast moeten vanzelf ook van kracht worden in de on-premises omgeving.   

De te nemen maatregelen zijn op zich geen rocket-science, het is allemaal te doen. En public cloud providers maken het ook makkelijk de goede dingen te doen. Maar het is jouw verantwoordelijkheid om het consequent en op alle niveaus, van component tot keten te implementeren.

Wil je weten hoe jouw organisatie de overstap naar Zero Trust kan maken? Aarzel dan niet om contact met ons op te nemen. We denken graag met je mee.