NIST SP 800-207

Wat is NIST SP 800-207?

NIST SP 800-207 is de publicatie Zero Trust Architecture van het Amerikaanse National Institute of Standards and Technology (NIST), die leveranciersonafhankelijk beschrijft hoe een organisatie toegang tot systemen en data inricht zonder impliciet vertrouwen op basis van netwerklocatie of eigendom van een apparaat. De gids verscheen in augustus 2020 en is geschreven door Scott Rose, Oliver Borchert, Stu Mitchell en Sean Connelly. Hij definieert Zero Trust in zeven basisprincipes, een logisch model van samenwerkende componenten, drie aanpakken, vier inzetmodellen en een migratiepad. Voor IT is het document de feitelijke referentie geworden; in OT dient het als denkkader dat u aanpast aan de eisen van het fysieke proces.

🧠 Wat staat er in NIST SP 800-207?

NIST SP 800-207 is geen norm met toetsbare eisen, maar een Special Publication: een richtlijn die voor Amerikaanse federale instanties de basis vormt en voor alle andere organisaties vrijwillig en gratis is. Het document telt zeven hoofdstukken en twee bijlagen:

De samenvatting stelt dat Zero Trust de verdediging verschuift van statische netwerkgrenzen naar gebruikers, assets en resources. Authenticatie en autorisatie van zowel gebruiker als apparaat vinden plaats vóórdat een sessie met een resource start. Opvallend voor deze kennisbank: NIST noemt expliciet dat Zero Trust-principes bedoeld zijn voor “industriële en zakelijke infrastructuur”.

🎯 Wat zijn de zeven basisprincipes van NIST SP 800-207?

NIST formuleert Zero Trust niet als product, maar als zeven tenets. Het document erkent dat niet elk principe in zijn zuiverste vorm haalbaar is.

1. Alle databronnen en rekendiensten zijn resources - ook kleine apparaten die data naar een aggregator sturen en systemen die opdrachten aan actuatoren geven.
2. Alle communicatie is beveiligd, ongeacht netwerklocatie - een verzoek van binnen het bedrijfsnetwerk moet aan dezelfde eisen voldoen als een verzoek van buiten.
3. Toegang wordt per sessie verleend - met minimale rechten, en toegang tot de ene resource geeft niet automatisch toegang tot een andere.
4. Toegang volgt uit dynamisch beleid - op basis van identiteit, applicatie, de staat van het apparaat en eventueel gedrags- en omgevingskenmerken.
5. De organisatie bewaakt de integriteit en securitystatus van alle assets - geen enkel apparaat wordt bij voorbaat vertrouwd.
6. Authenticatie en autorisatie zijn dynamisch en worden strikt afgedwongen - met IAM, assetbeheer en MFA, en herbeoordeling tijdens de sessie.
7. De organisatie verzamelt zoveel mogelijk informatie over assets, netwerk en communicatie, en gebruikt die om het beleid te verbeteren - met logging en anomaliedetectie als basis.

🔧 Uit welke componenten bestaat een Zero Trust Architecture?

Het hart van het model is een beslis- en handhavingsketen. NIST scheidt een control plane (waarover de componenten onderling communiceren) logisch van een data plane (waarover applicatieverkeer loopt).

Het PDP voedt zich met databronnen: een systeem voor Continuous Diagnostics and Mitigation (CDM), compliance-informatie, threat intelligence, netwerk- en activiteitslogs, beleidsregels voor datatoegang, een PKI, een identiteitsbeheersysteem en een SIEM.

Het trust algorithm kent twee keuzes. Criteria-based verleent alleen toegang als aan alle ingestelde eisen is voldaan; score-based berekent een vertrouwensscore en vergelijkt die met een drempel per resource. Daarnaast beoordeelt een singular algoritme elk verzoek los, terwijl een contextual algoritme de recente historie meeweegt en zo misbruik van gestolen inloggegevens eerder herkent.

🔄 Welke aanpakken en inzetmodellen beschrijft NIST?

NIST beschrijft drie aanpakken, die in de praktijk vaak worden gecombineerd:

• Enhanced identity governance - identiteit en attributen van gebruikers en apparaten zijn de kern van het beleid, zoals bij ABAC.
• Microsegmentatie - resources worden in kleine segmenten geplaatst achter een gateway of host-firewall die als PEP fungeert.
• Netwerkinfrastructuur en Software Defined Perimeter - het netwerk zelf (bijvoorbeeld een overlay of SDN) wordt dynamisch geconfigureerd door de PA.

Daarnaast zijn er vier inzetmodellen: device agent/gateway (agent op het apparaat, gateway vóór de resource), enclave-based (gateway vóór een groep resources, bijvoorbeeld legacy-systemen), resource portal (één toegangsportaal zonder agent) en device application sandboxing (vertrouwde applicaties draaien geïsoleerd op het apparaat). Voor OT is vooral het enclave-model relevant: PLC’s en veldapparaten kunnen zelf geen agent draaien, dus een gateway vóór de cel neemt de handhaving over.

🏭 Hoe past u NIST SP 800-207 toe in OT?

De principes zijn universeel, maar de techniek uit SP 800-207 is geschreven voor IT. NIST SP 800-82 Rev. 3 (september 2023) stelt dat Zero Trust vooral haalbaar is op de hogere niveaus van het Purdue Model en in de OT-DMZ. De gids Adapting Zero Trust Principles to Operational Technology, die CISA eind april 2026 met onder meer het Amerikaanse ministerie van Energie en de FBI publiceerde, benadrukt dat IT-maatregelen zoals actief scannen of dynamisch isoleren een regelkring of veiligheidsfunctie kunnen verstoren.

Waar industriële besturingssystemen zelf niet kunnen authenticeren, verschuift de handhaving naar conduits, gateways en monitoring. Dat sluit aan op IEC 62443-3-3, waarvan de eisen voor identificatie, gebruikerscontrole en beperkte datastroom grotendeels samenvallen met de Zero Trust-principes.

🧭 Hoe migreert u stap voor stap naar Zero Trust?

NIST verwacht dat organisaties jarenlang een hybride situatie houden met deels perimeterbeveiliging en deels Zero Trust. Hoofdstuk 7.3 beschrijft zeven stappen, die NIST koppelt aan het risicobeheerproces van NIST SP 800-37:

1. Identificeer de actoren - medewerkers, leveranciers en ook niet-menselijke entiteiten zoals serviceaccounts en applicaties die met elkaar praten.
2. Identificeer de assets - hardware, software, certificaten en ook onbeheerde of “schaduw”-apparatuur; in OT is een volledige assetinventaris vaak al een project op zich.
3. Breng kernprocessen en risico’s in kaart - kies een eerste kandidaat met beperkte impact, bijvoorbeeld externe toegang voor onderhoud.
4. Formuleer beleid voor die kandidaat - welke gebruikers, apparaten en upstream-systemen zijn nodig en onder welke voorwaarden.
5. Kies oplossingen - op basis van het inzetmodel dat bij de omgeving past.
6. Start met een eerste uitrol in monitoringmodus - beleid eerst observeren en bijstellen voordat het streng wordt afgedwongen.
7. Breid de architectuur uit - proces voor proces, met een vaste cyclus van herinventarisatie.

In een Nederlandse productieomgeving begint u doorgaans bij de toegang van leveranciers, omdat die het grootste risico op laterale beweging vormt en relatief los staat van de procesbesturing.

🔐 Welke risico’s en verwante documenten moet u kennen?

Hoofdstuk 5 waarschuwt dat Zero Trust ook nieuwe risico’s brengt. Het PDP wordt een kroonjuweel: wie dat ondermijnt, bepaalt alle toegang. Een storing in PE of PA kan alle verbindingen blokkeren, wat in OT direct de beschikbaarheid raakt. Andere risico’s zijn gestolen inloggegevens en insiders, versleuteld verkeer dat minder zichtbaar is, afhankelijkheid van propriëtaire formaten en geautomatiseerde beheeraccounts.

Voor Nederlandse organisaties is SP 800-207 niet verplicht. NIS2 en de Cyberbeveiligingswet eisen wel passende maatregelen voor onder meer toegangsbeheer en multifactorauthenticatie; NIST SP 800-207 is een goede manier om die invulling te onderbouwen.

❓ Veelgestelde vragen

Is NIST SP 800-207 verplicht?

NIST SP 800-207 is voor Nederlandse en Europese organisaties niet verplicht; het is een vrijwillige, gratis richtlijn. Amerikaanse federale instanties gebruiken de publicatie wel als basis voor hun Zero Trust-strategie. In Europa kunt u SP 800-207 gebruiken om maatregelen onder NIS2 en de Cyberbeveiligingswet te onderbouwen.

Wat is het verschil tussen Zero Trust en NIST SP 800-207?

Zero Trust is het beveiligingsprincipe “nooit vertrouwen, altijd verifiëren”. NIST SP 800-207 is het document dat dat principe vertaalt naar zeven basisprincipes en een logische architectuur met Policy Engine, Policy Administrator en Policy Enforcement Point. Zero Trust is dus het idee, NIST SP 800-207 de bekendste blauwdruk.

Wat is een Policy Decision Point in NIST SP 800-207?

In NIST SP 800-207 is het Policy Decision Point (PDP) de combinatie van de Policy Engine, die over toegang beslist, en de Policy Administrator, die die beslissing uitvoert. Het Policy Enforcement Point handhaaft de beslissing bij de verbinding zelf. Samen vormen ze de kern van elke Zero Trust Architecture.

Is NIST SP 800-207 bruikbaar voor PLC’s en SCADA?

NIST SP 800-207 is bruikbaar als denkkader voor OT, maar veel PLC’s en veldapparaten kunnen zelf niet authenticeren of een agent draaien. In de praktijk past u Zero Trust daarom toe op de toegang tot SCADA, HMI’s en engineering stations, en beschermt u controllers met een gateway vóór de cel, het enclave-model uit SP 800-207. Beschikbaarheid en veiligheid van het proces gaan altijd voor.

Wordt NIST SP 800-207 herzien?

NIST SP 800-207 uit augustus 2020 is nog steeds de geldende versie. NIST heeft het document aangevuld met SP 800-207A voor cloud-native applicaties (2023) en de praktijkgids SP 1800-35 (2025) in plaats van het te herschrijven. Controleer bij een nieuw project altijd of er inmiddels een revisie is.

Hoe verhoudt NIST SP 800-207 zich tot IEC 62443?

NIST SP 800-207 beschrijft een algemene Zero Trust-architectuur, terwijl IEC 62443 toetsbare securityeisen geeft voor industriële automatisering. De zones en conduits uit IEC 62443 vormen in OT de praktische basis voor microsegmentatie en per-sessie toegang uit SP 800-207. Beide documenten vullen elkaar dus aan.

📌 Samengevat

NIST SP 800-207 is de leveranciersonafhankelijke blauwdruk voor Zero Trust: zeven basisprincipes, een beslisketen van Policy Engine, Policy Administrator en Policy Enforcement Point, en een stapsgewijs migratiepad. In OT gebruikt u het als denkkader voor toegang tot SCADA, HMI’s en engineering stations en voor leverancierstoegang, aangevuld met zones en conduits uit IEC 62443, zodat u impliciet vertrouwen weghaalt zonder de beschikbaarheid van het proces in gevaar te brengen.