In zekere zin kan werken onder de noemer "Zero Trust" misleidend aanvoelen, want als je niemand echt vertrouwt, kun je beter de zaak sluiten. Kun je een bedrijf runnen als je je werknemers niet kunt vertrouwen, tenminste tot op zekere hoogte? Als er "Zero Unverified Trust" zou staan, zou dat een veel betere benaming zijn, ondanks dat het een minder pakkende zin is, omdat het duidelijk aangeeft dat vertrouwen geverifieerd moet worden.
Traditioneel gezien werd vertrouwen erg makkelijk gegeven aan werknemers binnen de omtrek van het bedrijfsnetwerk. Met de onthulling van internationale hackpogingen en incidenten zoals de Morris-worm in de jaren tachtig werden IT-beheerders sterk herinnerd aan de noodzaak om de toegang tot hun netwerkperimeters te vergrendelen. In de daaropvolgende decennia werd Cloud-infrastructuur echter steeds populairder, waardoor het concept van een perimeter en een beveiligingsaanpak met alleen een perimeter als verdediging steeds minder geschikt werden.
Het concept van Zero Trust ontstond in 2009 toen Forrester wees op de behoefte aan een betere aanpak van het omgaan met vertrouwen en dus aan een nieuw beveiligingsmodel ter vervanging van de traditionele, op de perimeter gebaseerde aanpak. Ondanks het ongenuanceerde gebruik van de term "zero", is het doel van het Zero Trust model niet om al het vertrouwen te herroepen, maar om zorgvuldiger te overwegen wanneer vertrouwen te geven, en vervolgens het gegeven vertrouwen te bewaken, samen met de tijd en de middelen die ervoor worden uitgetrokken.
Uitdagingen bij de toepassing van Zero Trust
De belangrijkste bijdrage van het Zero Trust-model is de oproep om het gegeven vertrouwen te verifiëren en voortdurend opnieuw te evalueren. Om dit te bereiken moeten ten minste twee uitdagingen worden aangegaan.
Ten eerste kunnen vertrouwenscontroles niet volledig rekening houden met de werkstromen van werknemers of frustratie veroorzaken als werknemers of klanten vinden dat zij meer vertrouwen verdienen. Vertrouwen is complex omdat menselijk gedrag complex is, de gebruikte instrumenten gevarieerd zijn, en bedrijfsprocessen, middelen en personeel vaak of onverwacht kunnen veranderen. Om ervoor te zorgen dat het vertrouwensbeleid geen verstoring veroorzaakt, moeten IT-beheerders het afstemmen op de bedrijfsprocessen, het testen voordat het wordt ingevoerd en het nauwgezet controleren. Dit vereist dat het IT-personeel het bedrijf beter begrijpt.
Ten tweede kan het bedrijf mogelijk het budget missen om te investeren in technologieën die helpen het toegewezen vertrouwen af te dwingen, te bewaken en opnieuw te evalueren. Maar zelfs als het budget ontbreekt, is de kans groot dat bestaande tools en middelen opnieuw kunnen worden ingezet à la Zero Trust.
IT-beheerders kunnen bijvoorbeeld meer logs verzamelen over gebruikersactiviteiten en toegang tot bedrijfsmiddelen, de logs analyseren om normale patronen te begrijpen en abnormale zaken op te sporen. Ook kan het gebruikt worden om de machtigingen en configuraties in bestaande tools te verfijnen. Zelfs als je deze stappen al hebt genomen, kun je ze opnieuw doen met een Zero Trust-visie in gedachten - nadenken over hoe je alleen vertrouwen kunt geven aan specifieke bronnen en voor een bepaalde tijd, en, voor zover mogelijk, hoe je dat vertrouwen kunt bewaken als het eenmaal is gegeven. Dit zou moeten leiden tot verschillende praktische resultaten die de beveiliging van het bedrijf kunnen verbeteren.
Ondersteuning van uw Zero Trust reis
ESET's beveiligingsoplossingen kunnen organisaties, van kleine bedrijven tot grote ondernemingen, ondersteunen op hun weg naar Zero Trust. Een gemakkelijke manier om de uitgebreidheid van de ondersteuning die wij bieden weer te geven is met de volgende piramide:
De piramide rust op een fundament dat bestaat uit het ESET PROTECT Platform en Support Services. ESET PROTECT is het platform waarmee verschillende ESET-oplossingen beheerd kunnen worden. Deze zijn weergegeven in de rest van de piramide. Iedere ESET-gebruiker kan vertrouwen op ESET’s Standaard Support. Support services maken ESET's experts beschikbaar voor jouw personeel om de beste configuratie van ESET-oplossingen te garanderen voor jouw specifieke beveiligingsbehoeften en omgeving.
Het gebruik van deze piramide kan helpen bij het visualiseren van jouw investeringsniveau in technologieën die Zero Trust ondersteunen. Grofweg gezegd bouwen de technologieën in een hogere laag voort op de bescherming van die in een lagere laag of breiden ze die uit. Laten we de lagen snel doorlopen van onder naar boven.
De onderste laag bevat oplossingen die onmisbaar zijn voor het beveiligen van ieder bedrijf, zoals endpointbescherming. Daarom groeperen we deze oplossingen onder de noemer ‘essentiële bescherming. Onder ‘uitgebreide bescherming’ vinden we oplossingen die helpen bij specifieke zakelijke beveiligingsbehoeften of om geavanceerde dreigingen af te weren.
Detectie en respons, de volgende laag, is een gamechanger omdat het de manier waarop een bedrijf omgaat met dreigingen omdraait van reactief naar proactief. Met ESET's detectie en respons-oplossing - ESET Inspect - geïmplementeerd, worden securityexperts in staat gesteld om gebeurtenissen op het niveau van endpoints in hun netwerk te monitoren en te onderzoeken.
De top van de piramide, threat intelligence genaamd, datafeeds van dreigingen en rapporten over advanced persistent threats (APT). Deze rapporten zitten boordevol hoogwaardig onderzoek en technische analyses van nieuwe dreigingen, die alleen op abonnement verkrijgbaar zijn.
Kortom, de bovenstaande piramide geeft een overzicht van enkele technologieën die de Zero Trust-reis van een organisatie zouden moeten begeleiden. Natuurlijk heeft elk bedrijf zijn eigen behoeften, en regelgeving waar het aan moet voldoen. Ook de aard van het bedrijf, het beschikbare IT-beveiligingsbudget, en de huidige staat van de IT-infrastructuur spelen hierin een rol, wat betekent dat jouw investering in het ESET PROTECT-platform niet meer is dan een gids voor een op maat gemaakt beveiligingstraject. Wat het ESET PROTECT-portfolio wel duidelijk maakt, is dat het een betrouwbaar hulpmiddel kan zijn in meerdere stadia van dit traject.