Least privilege en zero trust in het mkb: begin bij wie waar precies bij mag

De meeste bedrijfsnetwerken zijn ingericht als een kantoorpand met één goede voordeur. Buiten sta je nergens, maar ben je eenmaal binnen, dan kun je overal naar binnen lopen: de administratie, het archief, de kamer van de directeur.

Digitaal werkt het vaak net zo. Eén keer inloggen en je kunt bij de gedeelde schijf, het CRM, de map met contracten en de netwerkprinter. Handig, tot iemand met een gestolen wachtwoord binnenkomt. Vanaf dat moment heeft die persoon precies dezelfde vrijheid als jouw medewerker.

Zero trust draait dat om: niemand krijgt vertrouwen op basis van waar hij vandaan komt. Elke toegang wordt apart beoordeeld. Het principe daaronder heet least privilege: elke gebruiker krijgt alleen de toegangsrechten die hij voor zijn werk nodig heeft. Dat klonk jarenlang als iets voor banken en techbedrijven, maar het grootste deel ervan zit inmiddels gewoon in abonnementen die je al betaalt.

Waar dit artikel over gaat, en waar niet

Zero trust is een breed begrip en het is makkelijk om erover te praten zonder iets te veranderen. We hebben eerder de valkuilen bij zero trust beschreven — wat er misgaat als je het als product ziet of te ingewikkeld maakt. Dit artikel gaat over de twee onderdelen die in de praktijk het meeste opleveren en die je zelf kunt aanpakken: zo min mogelijk rechten en een opgedeeld netwerk.

Sterke inlog met meerdere factoren hoort er ook bij, maar dat hebben we apart uitgewerkt in het stappenplan voor MFA en in waarom sms-codes niet meer genoeg zijn. Hier houden we het kort: als dat nog niet staat, begin daar. De rest van dit artikel bouwt daarop voort.

Het probleem: iedereen mag overal bij, en niemand weet het

Toegangsrechten groeien vanzelf. Iemand helpt een keer mee met de facturatie en krijgt toegang tot de financiële map. Een halfjaar later doet hij iets anders, maar de toegang blijft. Een stagiair krijgt tijdelijk rechten die na afloop niemand intrekt. Een medewerker groeit door van support naar verkoop en houdt beide sets.

Na een paar jaar heeft de gemiddelde medewerker toegang tot veel meer dan hij gebruikt. Dat is geen kwestie van slordigheid, het is de natuurlijke uitkomst van rechten uitdelen zonder ze ooit terug te nemen.

Waarom dat gevaarlijk is, zie je pas als er iets misgaat. Wordt één account overgenomen — via phishing, een hergebruikt wachtwoord, een besmette laptop — dan is de vraag niet of de aanvaller binnen is, maar hoe ver hij kan komen. Bij ruime rechten is dat: overal. Dat is precies waarom ransomware in het ene bedrijf één map raakt en in het andere de hele administratie.

Pijler 1: least privilege, alleen wat iemand echt nodig heeft

Het principe heet least privilege en het is minder ingewikkeld dan het klinkt: geef mensen toegang tot wat ze voor hun werk nodig hebben, en niet meer. Je marketingmedewerker hoeft niet bij de salarisadministratie. Je boekhouder hoeft niet bij de broncode.

De valkuil is dat mensen dit per persoon gaan regelen. Dan heb je bij dertig medewerkers dertig unieke situaties en is er na een jaar geen touw meer aan vast te knopen. Werk in plaats daarvan met een handjevol groepen die bij rollen horen: verkoop, administratie, buitendienst, directie. Iemand krijgt toegang doordat hij in een groep zit, niet doordat iemand handmatig een vinkje zet.

Dat heeft een prettige bijwerking: als iemand van rol wisselt of vertrekt, hoef je één ding aan te passen in plaats van tien plekken af te gaan. Dat sluit direct aan op de checklist voor digitale offboarding en op hoe je toegang van externen intrekt.

Twee dingen om extra scherp op te zijn. Beheerrechten horen niet in een dagelijks account te zitten — ook niet bij de directeur, ook niet bij de IT-er. Wie beheerwerk doet, doet dat met een apart account dat verder nergens voor gebruikt wordt. En gedeelde mappen die openstaan voor iedereen zijn vaak het grootste gat; lees hoe je dat aanpakt in gedeelde cloudopslag organiseren.

Pijler 2: het netwerk opdelen

De tweede pijler gaat niet over mensen maar over apparaten. Segmentatie betekent dat je je netwerk in stukken knipt, zodat iets wat in het ene stuk misgaat niet vanzelf in het andere terechtkomt.

Denk aan brandcompartimenten. Een brand in het magazijn hoort niet door te slaan naar het serverhok. Digitaal is het net zo: de printer, de camera’s, de klimaatinstallatie en de laptop van een bezoeker horen niet in hetzelfde netwerk als je administratie.

Voor een mkb-bedrijf is dit haalbaarder dan het lijkt. Zakelijke wifi-apparatuur kan standaard meerdere gescheiden netwerken aan. Een praktische indeling ziet er zo uit:

Werknetwerk voor laptops en werkplekken van medewerkers. Apparatennetwerk voor printers, camera’s, slimme apparaten en alles wat wel een netwerkverbinding heeft maar geen mens erachter. Gastennetwerk voor bezoekers, volledig los van de rest — hoe je dat goed doet staat in een gastnetwerk veilig inrichten. En als er kritieke apparatuur is, bijvoorbeeld op een werkvloer, geef die dan een eigen hoek met een strak dichtgezette verbinding.

Belangrijk: een tweede netwerknaam aanmaken is niet hetzelfde als scheiden. Het gaat om een echte scheiding met een regel die bepaalt wat er tussen de stukken door mag. Test het ook: pak een laptop op het gastennetwerk en probeer bij een netwerkschijf te komen. Lukt dat, dan is er geen scheiding. Deze gelaagde aanpak is ook waar defense in depth over gaat.

Wat je waarschijnlijk al hebt zitten

Het goede nieuws: als je Microsoft 365 Business Premium of een vergelijkbaar Google Workspace-abonnement hebt, zit er meer in dan je gebruikt.

Met voorwaardelijke toegang bepaal je regels als: inloggen op een beheerd apparaat mag zonder extra gedoe, inloggen vanaf een onbekend apparaat vraagt om een extra bevestiging, en inloggen vanuit een land waar je niet zaken doet mag helemaal niet. Zo verschuift de beoordeling van “heeft hij het juiste wachtwoord” naar “klopt deze poging”. We schreven eerder over de voordelen van voorwaardelijke toegang.

Vergeet daarnaast niet dat het hier gaat om instellen, niet om aankopen. De meeste tijd zit in het bepalen van je regels en het uitleggen aan je team, niet in de techniek.

Een voorbeeld uit de praktijk

Bij een adviesbureau met 26 medewerkers werd het account van een projectleider overgenomen nadat hij op een nagemaakte inlogpagina zijn gegevens had ingevuld. Vervelend, maar niet ongewoon.

Wat het pijnlijk maakte, was wat er daarna kon. Dat ene account had toegang tot alle projectmappen, de map met arbeidsovereenkomsten (ooit toegekend toen hij tijdelijk HR-taken deed), en het hoofdaccount van het facturatiepakket. In de vier uur voordat het werd opgemerkt, zijn er honderden bestanden gedownload.

Bij de opruiming bleek dat 19 van de 26 medewerkers toegang hadden tot mappen die niets met hun werk te maken hadden. Na herinrichting stond dat op nul, verdeeld over zes rollen. Ook is de printer — die met verouderde software aan het gewone netwerk hing — naar een apart netwerkdeel verhuisd. De investering was ongeveer twee dagen werk en geen euro aan nieuwe licenties.

Zo pak je het aan

Breng in kaart waar je kroonjuwelen staan. Klantgegevens, financiële administratie, contracten, personeelsdossiers. Vier tot zes plekken, meer is het meestal niet. Daar begin je.

Kijk wie er nu bij kan. Dit is het moment waarop het schrikken wordt. Maak een lijst van toegangsrechten per map of systeem, niet per persoon.

Bouw rollen in plaats van uitzonderingen. Definieer vier tot zes groepen, zet mensen daarin en haal individuele toekenningen weg.

Deel je netwerk op, te beginnen met apparaten en bezoekers los van je werkplekken.

Zet een halfjaarlijkse controle in de agenda. Wie zit er in welke groep, klopt dat nog? Zonder die herhaling groeit alles binnen een jaar weer dicht. Neem het mee in je IT-beleid zodat het niet van één persoon afhangt.

Veelgestelde vragen

Is zero trust niet veel te duur voor een klein bedrijf?

De onderdelen die het meeste opleveren — rechten opschonen, rollen inrichten, netwerk opdelen, voorwaardelijke toegang aanzetten — kosten geen nieuwe licenties als je al een zakelijk Microsoft 365- of Google Workspace-abonnement hebt. De investering zit in tijd en in het maken van keuzes.

Gaan mijn medewerkers hier last van hebben?

Als je het goed inricht, merken ze er weinig van. Moderne regels vragen alleen om een extra stap in situaties die afwijken: een nieuw apparaat, een vreemde locatie. Waar mensen wél iets van merken, is het weghalen van toegang die ze niet gebruikten — leg dus uit waarom je het doet en zorg dat iemand snel iets kan aanvragen als hij het toch nodig heeft. Een strak beleid waar mensen omheen gaan werken, is slechter dan een soepel beleid dat wordt gevolgd.

Werkt dit ook als mijn team thuis of onderweg werkt?

Juist dan. Deze aanpak kijkt naar wie iemand is en welk apparaat hij gebruikt, niet naar of hij op kantoor zit. Voor een team dat overal werkt, past dat beter dan een model dat draait om een netwerk met een rand eromheen.

Waar merk ik het verschil als er toch iets misgaat?

In hoe ver het komt. Eén overgenomen account of één besmet apparaat blijft beperkt tot dat stukje, in plaats van dat het je hele omgeving raakt. Dat is precies het verschil tussen een vervelende ochtend en een week stilstand — zie ook ransomwareschade beperken.

Wat is least privilege precies?

Least privilege betekent dat elke gebruiker, elke applicatie en elk systeem alleen de rechten krijgt die strikt nodig zijn om het werk te doen. Geen toegang tot gevoelige data “voor het geval dat”, geen beheerrechten in een dagelijks account. Het risico dat je daarmee wegneemt is niet dat iemand binnenkomt, maar hoe ver hij komt als dat gebeurt.

Wil je weten wie er op dit moment eigenlijk bij je belangrijkste gegevens kan? Dat is meestal binnen een dag in kaart gebracht, en het resultaat verrast bijna altijd. Bel 030-7115791 of mail info@okayict.nl.