Wat is Zero Trust?
Zero Trust is een beveiligingsmodel waarin geen enkele gebruiker, apparaat, applicatie of verbinding automatisch wordt vertrouwd op basis van zijn plek in het netwerk, en waarin elke toegang per sessie expliciet wordt geverifieerd en tot het strikt noodzakelijke wordt beperkt. Het motto is “nooit vertrouwen, altijd verifiëren”. De technische uitwerking heet Zero Trust Architecture (ZTA), met NIST SP 800-207 als bekendste referentiemodel. Klassieke beveiliging vertrouwt alles wat zich binnen de firewall bevindt. Zero Trust gaat er juist van uit dat een aanvaller al binnen kan zijn en zet de beveiliging zo dicht mogelijk bij de systemen en data die u wilt beschermen.
🕰️ Waar komt Zero Trust vandaan?
Het idee is ouder dan de term doet vermoeden:
| Jaar | Mijlpaal |
|---|---|
| 1994 | Stephen Paul Marsh gebruikt de term zero trust in zijn proefschrift aan de Universiteit van Stirling |
| 2004 | Het Jericho Forum pleit voor de-perimeterisatie: de netwerkgrens is geen betrouwbare verdedigingslinie meer |
| 2010 | John Kindervag, analist bij Forrester, publiceert No More Chewy Centers en introduceert het Zero Trust-model |
| 2014 | Google beschrijft BeyondCorp, zijn eigen Zero Trust-aanpak na de Operation Aurora-aanvallen van 2009 |
| 2019 | Gartner publiceert de eerste marktgids voor Zero Trust Network Access (ZTNA) |
| 2020 | NIST publiceert SP 800-207 Zero Trust Architecture (augustus) |
| 2021–2022 | Amerikaanse Executive Order 14028 en memo M-22-09 verplichten federale diensten tot Zero Trust |
| 2023 | CISA brengt versie 2.0 van het Zero Trust Maturity Model uit (april) |
| 2025 | NIST publiceert SP 1800-35 met 19 voorbeeldimplementaties (juni) |
| 2026 | CISA en partners publiceren een gezamenlijke gids voor Zero Trust in OT (april) |
Kindervag beschreef het oude model als een “harde buitenkant met een zachte kern”: wie eenmaal binnen is, kan vrij rondlopen. Zero Trust maakt van die kern een reeks kleine, apart bewaakte gebieden.
🎯 Welk doel heeft Zero Trust?
- Laterale beweging voorkomen - een aanvaller die één systeem overneemt, komt niet automatisch bij de rest
- Minimale toegangsrechten verlenen volgens Least Privilege, zo kort als nodig
- Identiteit, apparaatstatus en context gebruiken als basis voor toegang, niet het IP-adres of netwerksegment
- Schade beperken bij insider threats, Ransomware en supply chain-aanvallen
- Compliance ondersteunen - NIS2, ISO 27001 en de BIO schrijven Zero Trust niet letterlijk voor, maar vragen wel om toegangsbeheer, sterke authenticatie en logging die Zero Trust levert
🔐 Wat zijn de kernprincipes van Zero Trust?
Leveranciers en overheden formuleren de principes verschillend, maar de kern is overal gelijk:
| Principe | Uitleg |
|---|---|
| Verifieer expliciet | Authenticeer en autoriseer elke toegang op basis van identiteit, MFA, apparaatstatus en context |
| Least privilege access | Gebruikers en systemen krijgen alleen toegang tot wat strikt nodig is, waar mogelijk just-in-time |
| Assume breach | Ga ervan uit dat aanvallers al binnen zijn en beperk hun verspreiding |
| Microsegmentatie | Deel het netwerk op in kleine zones rond afzonderlijke systemen of functies (Microsegmentatie) |
| Continue monitoring | Verzamel logging en telemetrie en beoordeel vertrouwen steeds opnieuw |
De eerste drie zijn de bekende formulering van Microsoft. NIST SP 800-207 noemt zeven tenets, waaronder: alle databronnen en rekendiensten zijn resources, alle communicatie is beveiligd ongeacht netwerklocatie, toegang wordt per sessie verleend, en beleid is dynamisch.
🛠️ Hoe werkt een Zero Trust Architecture (ZTA) volgens NIST?
NIST SP 800-207 (augustus 2020, geschreven door Scott Rose, Oliver Borchert, Stu Mitchell en Sean Connelly) beschrijft Zero Trust Architecture als een leveranciersonafhankelijk logisch model: een architectuur van samenwerkende componenten, geen product. Het hart bestaat uit drie componenten:
- Policy Engine (PE) - beslist of een subject toegang krijgt tot een resource. NIST noemt de PE het “brein” van de architectuur.
- Policy Administrator (PA) - zet de beslissing om in actie door een sessie op te zetten of te beëindigen; PE en PA samen vormen het Policy Decision Point (PDP).
- Policy Enforcement Point (PEP) - staat tussen subject en resource en dwingt de beslissing af, bijvoorbeeld een gateway, proxy of Firewall
PE, PA en PEP praten met elkaar over een apart control plane; de applicatiedata zelf loopt over het data plane. Die twee moeten logisch gescheiden zijn, zodat een aanvaller op het datanetwerk de beslislogica niet kan bereiken.
Welke informatie gebruikt de Policy Engine?
De PE neemt geen beslissing op basis van alleen een wachtwoord. NIST noemt deze databronnen:
| Databron | Wat levert het aan de beslissing? |
|---|---|
| CDM-systeem (continuous diagnostics and mitigation) | Status van het apparaat: patchniveau, toegestane software, bekende kwetsbaarheden |
| Compliancesysteem | Beleidsregels die volgen uit wet- en regelgeving |
| Threat Intelligence | Nieuwe aanvallen, malware en kwetsbaarheden waarop toegang geweigerd moet worden |
| Netwerk- en activiteitenlogs | (Bijna) realtime beeld van wat er op het netwerk gebeurt |
| Data access policies | De basisrechten per rol, account en applicatie |
| PKI (certificaatbeheer) | Certificaten voor gebruikers, apparaten en diensten |
| Identiteitsbeheer | Accounts, rollen en attributen, bijvoorbeeld in een LDAP-directory |
| SIEM | Beveiligingsgebeurtenissen om beleid te verfijnen en aanvallen te signaleren |
Het trust algorithm van de PE verwerkt die signalen. Een criteria-based algoritme verleent toegang alleen als aan alle ingestelde voorwaarden is voldaan. Een score-based algoritme berekent een vertrouwensscore en vergelijkt die met een drempel per resource. Daarnaast kan het algoritme elke aanvraag los beoordelen (singular) of de recente geschiedenis van het subject meewegen (contextual). Die laatste vorm herkent eerder een aanvaller met gestolen inloggegevens die zich anders gedraagt dan de echte gebruiker; dat sluit aan op anomaliedetectie.
Welke implementatievarianten beschrijft NIST?
NIST noemt drie benaderingen: op basis van verbeterd identiteitsbeheer (enhanced identity governance), op basis van microsegmentatie, en op basis van netwerkinfrastructuur en het Software Defined Perimeter. Een SDP maakt applicaties pas zichtbaar nadat gebruiker en apparaat zijn geverifieerd. Daarnaast beschrijft de publicatie vier manieren om het PEP neer te zetten:
| Deploymentmodel | Werking | Bruikbaarheid in OT |
|---|---|---|
| Device agent/gateway | Agent op het apparaat van de gebruiker, gateway direct vóór elke resource | Goed voor engineeringlaptops; vaak niet mogelijk vóór elke PLC |
| Enclave-based | Eén gateway aan de rand van een groep resources, zoals een datacenter | Past bij een productiecel of zone met legacy-systemen; beschermt de groep, niet elk apparaat apart |
| Resource portal | Eén portaal als toegangspoort, zonder agent op de client | Geschikt voor leveranciers zonder beheerde laptop; het portaal moet bestand zijn tegen DDoS |
| Device application sandboxing | Goedgekeurde applicaties draaien afgeschermd in een VM of container | Nuttig voor engineeringsoftware op een werkstation waarvan u de rest niet vertrouwt |
Het enclave-model is in OT vaak de realistische keuze, omdat veel PLC’s en HMI’s zelf geen agent of gateway ondersteunen. NIST erkent dat de meeste organisaties lange tijd in een hybride vorm werken, met Zero Trust-onderdelen naast een klassieke perimeter.
Welke bouwstenen ziet u in de praktijk?
| Component | Beschrijving |
|---|---|
| Identiteitsbeheer | IAM, MFA, RBAC, IAM-diensten zoals Microsoft Entra ID (voorheen Azure AD) of Okta |
| Apparaatbeheer | EDR, MDM, Asset Management en controle van de apparaatstatus |
| Netwerksegmentatie | VLAN, SDN, Zone and Conduits-model volgens IEC 62443 |
| Toegangscontrole | ZTNA in plaats van of naast een klassieke VPN, PAM en firewallbeleid op sessieniveau |
| Monitoring & detectie | SIEM, UEBA, XDR, SOC |
📊 Wat is het CISA Zero Trust Maturity Model?
Het Zero Trust Maturity Model van CISA (versie 2.0, april 2023) helpt organisaties hun voortgang te meten. Het model kent vijf pijlers: Identity, Devices, Networks, Applications & Workloads en Data. Daar lopen drie dwarsdoorsnijdende capaciteiten doorheen: Visibility & Analytics, Automation & Orchestration en Governance.
Per pijler doorloopt u vier volwassenheidsfasen: Traditional, Initial, Advanced en Optimal. De fase Initial is in versie 2.0 toegevoegd, omdat de sprong van traditioneel naar geavanceerd te groot bleek.
🔄 Wat is het verschil tussen Zero Trust en perimeterbeveiliging?
| Aspect | Perimeterbeveiliging | Zero Trust |
|---|---|---|
| Vertrouwen | Binnen = vertrouwd, buiten = onbetrouwbaar | Niemand standaard vertrouwd, ook niet intern |
| Controlepunt | Eén grens (firewall, VPN) | Bij elke resource of elk segment (PEP) |
| Toegangsbasis | Netwerklocatie en IP-adres | Identiteit, apparaatstatus en context |
| Na inloggen | Brede netwerktoegang | Toegang tot één applicatie of systeem per sessie |
| Laterale beweging | Relatief eenvoudig | Beperkt door microsegmentatie |
| Monitoring | Vooral aan de rand | Overal, continu |
Zero Trust vervangt de perimeter niet volledig. Het werkt het best als onderdeel van Defense in Depth, waarbij de grensbeveiliging één laag van meerdere is.
🏭 Hoe past u Zero Trust toe in OT en industriële netwerken?
In OT is Zero Trust uitdagend, maar haalbaar met de juiste aanpassingen. De gids Adapting Zero Trust Principles to Operational Technology, die CISA eind april 2026 samen met onder meer het Amerikaanse ministerie van Energie en de FBI publiceerde, stelt nadrukkelijk dat IT-gerichte Zero Trust-maatregelen niet één-op-één op OT kunnen worden toegepast. De gids legt de nadruk op zones en conduits, volledig zicht op assets, sterker identiteits- en toegangsbeheer en risico’s in de toeleveringsketen. Beschikbaarheid en veiligheid gaan voor.
Waar Zero Trust in OT tegen grenzen aanloopt:
- Legacy-systemen - veel PLC’s ondersteunen geen moderne authenticatie, en protocollen zoals Modbus kennen geen authenticatie of versleuteling; DNP3 heeft wel een optie voor Secure Authentication, maar die wordt in de praktijk zelden gebruikt
- Geen agents - op veel OT-apparaten kunt u geen endpointsoftware installeren
- Realtime en beschikbaarheid - een PEP mag geen vertraging of storing in een regelkring veroorzaken; beleid moet fail-safe zijn
- Lange levensduur - installaties draaien twintig jaar of langer en worden zelden vervangen
Hoe vertaalt u IT-maatregelen naar OT?
| IT (klassieke ZTA) | OT-toepassing |
|---|---|
| ZTNA of VPN met controle van de apparaatstatus | Geharde Jump Server of ZTNA met identiteitsverificatie als enige toegangsweg (Remote Access) |
| MFA voor webapplicaties | Authenticatie met MFA voor remote toegang tot SCADA en HMI |
| Microsegmentatie in datacenters | Segmentatie per functie of cel (SCADA, Historian, PLC), in lijn met zones en conduits uit IEC 62443-3-3 |
| Gebruikersgedragsanalyse (UEBA) | Passieve monitoring en anomaliedetectie met kennis van industriële protocollen |
| Permanente beheerrechten afbouwen | Tijdelijke, goedgekeurde toegang voor technici en leveranciers, met sessieopname via PAM |
Ook specifiek protocolverkeer kunt u beperken: Modbus zelf kent geen read-only-modus, maar een industriële firewall met protocolfiltering kan alleen leesfuncties doorlaten en schrijfopdrachten blokkeren. Combineer dit met IDS/IPS en een actuele Asset Inventory, en scan OT-apparaten niet actief zonder afstemming.
Voor apparaten die zelf niets kunnen verifiëren, legt u de controle in het netwerk ervoor: de conduit wordt het handhavingspunt, precies zoals in het enclave-model van NIST. Het Purdue Model blijft bruikbaar als indeling, maar vertrouwen tussen de lagen wordt niet meer verondersteld. De ISA Global Cybersecurity Alliance liet in 2024 in een whitepaper zien hoe IEC 62443 Zero Trust-doelen ondersteunt.
🧭 Hoe implementeert u Zero Trust stap voor stap?
Kindervag beschrijft een aanpak in vijf stappen, die ook in OT goed werkt:
- Bepaal het protect surface - welke data, applicaties, assets en diensten zijn kritisch? In OT bijvoorbeeld de SCADA-server, de safety-systemen en het engineering station.
- Breng de transactiestromen in kaart - welke systemen communiceren met elkaar, via welke protocollen en poorten?
- Ontwerp de architectuur - plaats segmentatie en handhavingspunten zo dicht mogelijk bij het protect surface.
- Stel Zero Trust-beleid op - volgens de Kipling-methode: wie, wat, wanneer, waar, waarom en hoe.
- Monitor en onderhoud - gebruik logging en monitoring om beleid te verfijnen.
Begin klein, bijvoorbeeld met remote access door leveranciers, en breid daarna per protect surface uit. Voor Nederlandse organisaties die onder de Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2) vallen, sluit dat aan op de eisen voor toegangsbeheer en (waar passend) multifactorauthenticatie in artikel 21 van NIS2.
✅ Welke voordelen en uitdagingen heeft Zero Trust?
Voordelen:
- Beperkt de impact van aanvallen, ook als een aanvaller al binnen is
- Beschermt hybride omgevingen (cloud, on-premises, OT, remote werken)
- Ondersteunt compliance en Audit-traceerbaarheid
- Verhoogt zichtbaarheid en controle op alle lagen
Uitdagingen:
- Legacy-systemen en OT-apparaten zonder moderne authenticatie of endpoint agents
- Cultuurverandering: “vertrouwen” is niet langer standaard
- Complexiteit van integraties en beheer; de PE en het portaal worden zelf kritieke systemen
- Zero Trust is een strategie, geen product, en vraagt een gefaseerde aanpak met duidelijke prioriteiten
❓ Veelgestelde vragen
Wie heeft Zero Trust bedacht?
Het Zero Trust-model werd in 2010 geïntroduceerd door John Kindervag, toen analist bij Forrester Research. De term zelf werd al in 1994 gebruikt door Stephen Paul Marsh in een proefschrift. Google, NIST en CISA hebben Zero Trust daarna verder uitgewerkt.
Wat is het verschil tussen Zero Trust en Zero Trust Architecture (ZTA)?
Zero Trust is het beveiligingsprincipe “nooit vertrouwen, altijd verifiëren”. Zero Trust Architecture (ZTA) is het ontwerp waarmee u dat principe uitvoert, met componenten zoals de Policy Engine, Policy Administrator en Policy Enforcement Point uit NIST SP 800-207. Zero Trust is dus geen product: leveranciers leveren onderdelen, de architectuur verbindt ze.
Wat is het verschil tussen ZTNA en een VPN?
Een VPN geeft na het inloggen meestal toegang tot een heel netwerksegment. ZTNA (Zero Trust Network Access) geeft alleen toegang tot één specifieke applicatie of één specifiek systeem, na controle van identiteit en apparaat, per sessie. Daardoor beperkt ZTNA laterale beweging veel beter dan een klassieke VPN.
Kan Zero Trust werken met oude PLC’s zonder authenticatie?
Zero Trust kan ook met oude PLC’s werken, maar de controle ligt dan niet op het apparaat zelf. U plaatst handhavingspunten in het netwerk ervoor, zoals een industriële firewall met protocolfiltering, een jump server met MFA en microsegmentatie per cel. Passieve monitoring vult dat aan zonder de PLC te belasten.
Is Zero Trust verplicht onder NIS2?
NIS2 noemt Zero Trust niet letterlijk als verplichting. De richtlijn eist in artikel 21 wel beleid voor toegangsbeheer en assetbeheer en, waar passend, multifactorauthenticatie, en dat zijn kernonderdelen van Zero Trust. Een Zero Trust-aanpak helpt organisaties dus om aan NIS2 en de Cyberbeveiligingswet te voldoen.
Vervangt Zero Trust het zones-en-conduits-model van IEC 62443?
Zero Trust vervangt het zones-en-conduits-model niet, maar bouwt erop voort. Zones en conduits uit IEC 62443 leveren de segmentatie, en Zero Trust voegt daar identiteitsgebaseerde toegang per sessie en continue verificatie aan toe. In OT werken beide het best samen.
📌 Samengevat
Zero Trust is een beveiligingsmodel dat werkt vanuit het principe “nooit vertrouwen, altijd verifiëren”: toegang wordt per sessie verleend op basis van identiteit, apparaatstatus en context, niet op basis van netwerklocatie. Met Zero Trust Architecture uit NIST SP 800-207 als blauwdruk, het CISA Zero Trust Maturity Model als groeipad en zones en conduits uit IEC 62443 als basis voor OT kunnen organisaties laterale beweging beperken, ook waar legacy-systemen zelf niets kunnen verifiëren.