Wat is Zero Trust eigenlijk?

Zero Trust is en term die je vast wel eens voorbij hoort komen. Maar wat is Zero Trust eigenlijk? Het betekent dat alleen toegang wordt verleend na voortdurende expliciete validatie van een toegangsverzoek aan de hand van het toegangsbeleid. Zo kun je er bijvoorbeeld voor zorgen dat ook onbekende en misschien zelfs onvertrouwde gebruikers onder bepaalde voorwaarden en tot op zekere hoogte, op basis van het toegangsbeleid, toch toegang kunnen krijgen tot bepaalde informatie. En daarmee wordt ook de veiligheid verhoogd.

Dat is toch een utopie?

In beveiliging is Zero Trust Architecture een vrij dominant nieuw beveiligingsparadigma. En nadenken over Zero Trust doet je afvragen: als er geen vertrouwen is, hoe kun je dan toegang krijgen?

Vertrouwen is een oud beveiligingsprincipe: je kunt toegang krijgen tot een van mijn bronnen als ik je vertrouw. Dus, geen vertrouwen betekent geen toegang. Alleen ik kan toegang krijgen tot mijn bronnen, want ze zijn van mij. Ik ben de eigenaar en ik kan toegang verlenen. Toegang staat onder mijn controle. Ik kan je toegang geven als en voor zolang ik je vertrouw.

Maar dit is een zeer beperkende manier om de toegang te beheren. In feite blokkeert het de toegang en beperkt daardoor de samenwerking en het delen van gegevens. Als ik wil dat anderen samenwerken, beperk ik ofwel de groep van potentiële partners, ofwel definieer ik vertrouwen op zo’n manier dat toegang wordt verleend, net iets meer vertrouwen dan geen vertrouwen, net genoeg vertrouwen om samen te werken.

Dus, nul vertrouwen betekent nul toegang. Hoe krijg je toegang in een Zero Trust omgeving?

Betekent dat ook dat je volledige vertrouwen nodig hebt om volledige toegang te krijgen? Of is de toegangscontrole een binaire beslissing?

“Vertrouwen is vertrouwen in of vertrouwen op een persoon of een kwaliteit, terwijl zekerheid de handeling is van het verzekeren; een verklaring die neigt naar het wekken van volledig vertrouwen; dat wat ontworpen is om vertrouwen te geven. (wikidiff.com/assurance/trust)

Dit impliceert dat vertrouwen een zekere mate van onzekerheid kent. En controle verhoudt zich slecht tot onzekerheid. Daarom moeten wij zekerheid hebben over de betrouwbaarheid van het verzoek om toegang. En daarom moeten we er zeker van zijn dat toegang alleen wordt verleend als de aanvrager van de toegang voldoet aan het toegangsbeleid van de eigenaar van de bron. Dus, in zekere zin is Zero Trust een slim idee.

Maar hoe kunnen we toegang beheren op een minder binaire manier?

In toegangsbeheer zijn er een paar basisconcepten beschikbaar om toegang te controleren. Basismodellen zijn Access Control Lists (ACL, denk aan bestandssystemen of SharePoint), Role Based Access Control (RBAC, toegang verlenen tot specifieke applicatiefuncties aan mensen met een specifieke rol) en Attribute Based Access Control (ABAC, toegang verlenen als een specifieke parameter wordt opgegeven door de toegangsaanvrager). Maar al deze controles geven toegang of niet, het is een soort binaire beslissing. Men geeft niet een beetje toegang, omdat de gebruikte infrastructuur (applicatie, middelware, besturingssystemen) bestaat uit binaire denksystemen. Je krijgt toegang of niet. In RBAC als je een rol hebt, krijg je toegang die bij die rol hoort.

Is dit realiseerbaar of is dit een utopie?

Terug naar Zero Trust: geen vertrouwen betekent geen toegang en volledig vertrouwen impliceert volledige toegang. Of niet?

Naar mijn mening is vertrouwen, zelfs volledig vertrouwen, niet genoeg. We hebben zekerheid nodig. Assurance is niet alleen een sterkere vorm van vertrouwen, het is de ruggengraat voor bedrijfscontinuïteitsbeheer. Elk verzoek om toegang moet meer dan vertrouwd zijn, het moet betrouwbaar zijn. Het moet in overeenstemming zijn met het toepasselijke toegangsbeleid, zodat de eigenaar van de gegevens, de proceseigenaar en de systeemeigenaar andere belanghebbenden altijd kunnen verzekeren dat elke toegang niet wordt vertrouwd, maar bewezen betrouwbaar is. Zero Trust gaat over bewijs, over volledig afgedwongen naleving van het toegangsbeleid.

Een utopie? Echt niet! We zijn het al aan het ontwerpen en bouwen. We voegen Zero Trust mogelijkheden toe aan bestaande omgevingen. We ontwerpen architecturen en gebruiken software-oplossing om de werkwijze te ondersteunen. Deze utopie ligt al voor ons, maar je moet wel vooruit kijken!

Chief Evangelist André Koot richt zich al 20 jaar op het domein Identity and Access management (IAM). In het begin als één van de weinigen, maar inmiddels staat IAM bij organisaties volop in de belangstelling. Intussen is IAM geen innovatie opzich, maar zijn er wel veel innovatie kansen voor organisaties door IAM optimaal in te richten. In deze blogreeks stellen we kritische vragen over innovaties die een mogelijke impact hebben op IAM of zelfs kansen bieden. In deze eerste blog gaan we in op Zero Trust. 

Achtergrond blogreeks

Identity and Access management (IAM) staat vollop in de belangstelling. Er liggen namelijk veel kansen voor ‘operational excelence’ (efficiëntie, slagkracht, kosten besparen) en de nood is hoog. Enerzijds zorgde de digitalisering voor meer systemen en gebruikers en daarmee voor nieuwe behoefte om dit werkbaar te houden. Anderzijds heeft regelgeving zoals AVG gezorgd voor een stijgende behoefte aan IAM oplossingen. Het wordt simpelweg vereist.

Maar er is meer. Met IAM kun je ervoor zorgen dat ketenpartners digitaal kunnen samenwerken. Het biedt kansen tot interoperabiliteit. IAM is geen innovatie opzich, maar er zijn wel veel innovatie kansen voor organisaties door IAM optimaal in te richten. Denk bijvoorbeeld aan nieuwe vormen van organisatie aansturing, zoals holacratisch werken. Nieuwe concepten, zoals Zero Trust. En nieuwe technologieën zoals blockchain. In hoeverre heeft dat impact of biedt het zelfs synergie kansen voor toegangsmanagement? Deze blogreeks gaat hierop in.