In beide gevallen is het een kwestie van vertrouwen. Als het een bekende is of als de persoon een officiële functie heeft, kan je die met een gerust hart binnenlaten. Zo niet, dan weet je niet wat iemands bedoelingen is en kan je die persoon beter op de stoep laten staan.
Voorkennis
Toen iedereen nog op kantoor werkte en verbonden was via een ethernet-kabel of een intern draadloos netwerk, was het gemakkelijker om te controleren en te beheren wie er op het netwerk kwam. Je kon er vrij zeker van zijn dat er geen ongewenste bezoekers konden aanmelden. Iedereen met criminele of kwaadwillende bedoelingen zou eerst toegang tot het gebouw moeten krijgen - of op zijn minst binnen het bereik van de wifi-toegangspunt moeten zijn. Vervolgens zouden ze gebruik moeten maken van iemands werkstation of inbreken op het interne draadloze netwerk, wat - als de beveiliging goed is opgezet - niet eenvoudig zou moeten zijn. En dan zouden ze bovendien dicht genoeg bij de hub of het toegangspunt moeten zijn om verbinding te kunnen maken als verdacht te worden opgemerkt.
Geen grenzen
Bedrijfsnetwerken van vandaag gaan veel verder dan de fysieke grenzen van het kantoor. Het is zeer waarschijnlijk dat in de toekomst minstens de helft van de werknemers op het netwerk van afstand verbonden zal zijn, vanuit huis, een andere externe locatie, of terwijl ze onderweg zijn. Dit maakt authenticatie moeilijk. Er zijn geen fysieke barrières die overwonnen moeten worden en de gebruiker op afstand hoeft alleen maar online te zijn en te weten hoe hij zich moet aanmelden. Wat de netwerkbeheerder betreft, kan dit iedereen zijn.
Dan is er nog het probleem dat je niet weet of het apparaat dat wordt gebruikt om in te loggen al dan niet goed beveiligd is. Dit is belangrijk omdat je niet weet of het apparaat zelf voldoende beschermd is, ook al vertrouw je de individuele gebruiker van dat apparaat en ben je in staat hem te authentiseren. Is er bijvoorbeeld antivirus of een actieve firewall op het apparaat geïnstalleerd?
Voorbij de twijfel
Het belangrijkste is om in te kunnen schatten in welke mate je iemand kunt vertrouwen die toegang probeert te krijgen tot je netwerk. Het is net als iemand thuis uitnodigen. Eerst moet je die persoon kennen of in staat zijn om te bevestigen dat hij, zonder enige twijfel, is wie hij zegt dat hij is. Pas dan open je de deur en laat je ze binnen.
Je hebt misschien honderd procent vertrouwen in je familie en vrienden, buren en officiële vertegenwoordigers van overheidsinstanties of dienstverlenende organisaties. Maar wat doe je als er op een dag een volslagen vreemde voor je deur staat? Het vertrouwen in hem of haar zal nul zijn.
Zero trust
Als er iemand bij je op de stoep staat, is het voordeel dat je die persoon kunt zien. Maar als het een gebruiker is die op afstand toegang probeert te krijgen tot je netwerk, dan kan je dat niet. Het kan iedereen zijn, en zelfs als het vertrouwde personen zijn, kunnen ze onbedoeld een achterdeur openlaten waardoor mensen met minder goede bedoelingen het netwerk kunnen infiltreren.
Dit is het dilemma waar we het over hebben als we de term zero trust gebruiken. Bij dit concept moet je uitgaan van het standpunt dat iedereen die probeert in te loggen op je netwerk een volslagen vreemde is. Voordat je ze binnenlaat, moet je er daarom alles aan doen om er zeker van te zijn dat ze goede bedoelingen hebben - én een geldige reden hebben om daar te zijn.
Reacties
Beetje vreemd verhaal want als werkgever moet je vertrouwen hebben in je werknemers, het zijn geen vreemden. Natuurlijk moet je wel een goede Id(AAA)M hebben zodat degene die zegt dat hij/zij is dat ook daadwerkelijk is. Deze authenticatie kan trouwens meerlaags gedaan worden omdat je ook eisen kunt stellen aan het device waarmee ingelogd wordt zodat er geen achterdeuren open staan. Vervolgens zal toegang tot bepaalde resources verkregen worden middels de autorisaties die bij een bepaalde rol horen omdat niet iedereen domain admin rechten nodig heeft. En als laatste zul je de toegang tot resources moeten auditen want vertrouwen is goed maar controle is beter. De rol van een Id(AAA)M oplossing is bepalend, niet alleen in de toegang tot het netwerk en het gebouw maar ook voor allerlei (micro)service in de cloud omdat steeds meer business processen hiermee beschikbaar worden gemaakt. En vaak ook niet alleen voor de eigen medewerkers omdat we in de samenwerking met anderen vertrouwen moeten hebben want ook de toegangscontrole tot objecten veranderd steeds meer door een gedeeld gebruik. En wij van WC-eend adviseren dan ook MFA met logging voor de toegang tot bepaalde kritische ruimten.