Zou je vreemden in je huis binnenlaten? Natuurlijk niet, tenzij ze van een overheidsdienst, de politie of een nutsbedrijf zijn, en alleen als ze een deugdelijke identificatie laten zien. Dit geldt ook voor het toelaten van vreemden tot je interne bedrijfsnetwerk. Je wilt er zeker van zijn dat je weet wie ze zijn en dat ze een geldige reden hebben om toegang te krijgen tot je bedrijfstoepassingen en -gegevens.
In beide gevallen is het een kwestie van vertrouwen. Als het een bekende is of als de persoon een officiële functie heeft, kan je die met een gerust hart binnenlaten. Zo niet, dan weet je niet wat iemands bedoelingen is en kan je die persoon beter op de stoep laten staan.
Voorkennis
Toen iedereen nog op kantoor werkte en verbonden was via een ethernet-kabel of een intern draadloos netwerk, was het gemakkelijker om te controleren en te beheren wie er op het netwerk kwam. Je kon er vrij zeker van zijn dat er geen ongewenste bezoekers konden aanmelden. Iedereen met criminele of kwaadwillende bedoelingen zou eerst toegang tot het gebouw moeten krijgen – of op zijn minst binnen het bereik van de wifi-toegangspunt moeten zijn. Vervolgens zouden ze gebruik moeten maken van iemands werkstation of inbreken op het interne draadloze netwerk, wat – als de beveiliging goed is opgezet – niet eenvoudig zou moeten zijn. En dan zouden ze bovendien dicht genoeg bij de hub of het toegangspunt moeten zijn om verbinding te kunnen maken als verdacht te worden opgemerkt.
Geen grenzen
Bedrijfsnetwerken van vandaag gaan veel verder dan de fysieke grenzen van het kantoor. Het is zeer waarschijnlijk dat in de toekomst minstens de helft van de werknemers op het netwerk van afstand verbonden zal zijn, vanuit huis, een andere externe locatie, of terwijl ze onderweg zijn. Dit maakt authenticatie moeilijk. Er zijn geen fysieke barrières die overwonnen moeten worden en de gebruiker op afstand hoeft alleen maar online te zijn en te weten hoe hij zich moet aanmelden. Wat de netwerkbeheerder betreft, kan dit iedereen zijn.
Dan is er nog het probleem dat je niet weet of het apparaat dat wordt gebruikt om in te loggen al dan niet goed beveiligd is. Dit is belangrijk omdat je niet weet of het apparaat zelf voldoende beschermd is, ook al vertrouw je de individuele gebruiker van dat apparaat en ben je in staat hem te authentiseren. Is er bijvoorbeeld antivirus of een actieve firewall op het apparaat geïnstalleerd?
Voorbij de twijfel
Het belangrijkste is om in te kunnen schatten in welke mate je iemand kunt vertrouwen die toegang probeert te krijgen tot je netwerk. Het is net als iemand thuis uitnodigen. Eerst moet je die persoon kennen of in staat zijn om te bevestigen dat hij, zonder enige twijfel, is wie hij zegt dat hij is. Pas dan open je de deur en laat je ze binnen.
Je hebt misschien honderd procent vertrouwen in je familie en vrienden, buren en officiële vertegenwoordigers van overheidsinstanties of dienstverlenende organisaties. Maar wat doe je als er op een dag een volslagen vreemde voor je deur staat? Het vertrouwen in hem of haar zal nul zijn.
Zero trust
Als er iemand bij je op de stoep staat, is het voordeel dat je die persoon kunt zien. Maar als het een gebruiker is die op afstand toegang probeert te krijgen tot je netwerk, dan kan je dat niet. Het kan iedereen zijn, en zelfs als het vertrouwde personen zijn, kunnen ze onbedoeld een achterdeur openlaten waardoor mensen met minder goede bedoelingen het netwerk kunnen infiltreren.
Dit is het dilemma waar we het over hebben als we de term zero trust gebruiken. Bij dit concept moet je uitgaan van het standpunt dat iedereen die probeert in te loggen op je netwerk een volslagen vreemde is. Voordat je ze binnenlaat, moet je er daarom alles aan doen om er zeker van te zijn dat ze goede bedoelingen hebben – én een geldige reden hebben om daar te zijn.
