Definitie
Zero trust is een beveiligingsmodel dat ervan uitgaat dat geen enkel apparaat, account of netwerk standaard te vertrouwen is, ook niet als het zich binnen het bedrijfsnetwerk bevindt. Elke aanvraag wordt geverifieerd op identiteit, apparaat-status en context voordat toegang wordt verleend. Het motto luidt: “never trust, always verify”.
Concreet betekent het dat de oude denkwijze (“binnen de firewall is veilig, daarbuiten gevaarlijk”) wordt losgelaten. In plaats daarvan krijgt elke applicatie zijn eigen toegangscontrole, gebaseerd op wie iemand is, welk apparaat hij gebruikt en wat hij precies wil doen. Toegang is niet binair, maar nuanced en herhaald gecontroleerd.
Waarom het ertoe doet voor MKB
De klassieke bedrijfsmuur is poreus geworden. Medewerkers werken thuis, op telefoons, met privé-apparaten, en raken bij data via tientallen cloud-diensten. Een netwerkgrens trekken die alles netjes binnen of buiten houdt, lukt simpelweg niet meer. Zero trust accepteert die realiteit in plaats van ertegen te vechten.
Voor MKB betekent het pragmatisch: per applicatie nadenken over wie er bij hoort, hoe sterk de inlog moet zijn, en welke signalen aanleiding zijn om de toegang opnieuw te bevragen. Geen big-bang project, maar een richting waar je stap voor stap heen werkt bij elke nieuwe applicatie of vervanging.
Concreet voorbeeld
Een productiebedrijf met 80 medewerkers werkte voorheen met VPN voor thuiswerkers. Wie eenmaal binnen was, had toegang tot vrijwel alles: ERP, fileserver, productieplanning, klantgegevens. Toen een phishing-aanval het wachtwoord van een externe boekhouder buitmaakte, lag een aanzienlijk deel van de IT-omgeving open.
De vervolgstap was niet “VPN beter beveiligen”, maar het toegangsmodel kantelen. Single-sign-on werd centraal ingericht, multi-factor authenticatie werd verplicht voor elke applicatie, en toegangsrechten werden teruggebracht tot het minimum per rol. Het ERP staat sindsdien achter een aparte poort die alleen kantoorapparaten met up-to-date beveiliging accepteert. Implementatie kostte negen maanden en circa €35.000 aan begeleiding en licenties. Een vergelijkbaar phishing-incident vorig jaar liep nu dood na de inloggegevens, omdat de tweede factor en apparaatcontrole de toegang blokkeerden.
Misverstanden en valkuilen
- “Zero trust is een product dat je koopt.” Het is een architectuurprincipe, geen knop. Verschillende leveranciers verkopen onderdelen, maar de organisatorische keuzes (rollen, processen, beleid) blijven jouw werk.
- “Het is alleen voor enterprises.” De basis-principes (multi-factor authenticatie, minimale toegangsrechten, apparaatcontrole) zijn juist voor MKB goed haalbaar met moderne SaaS-tooling. De labels verschillen, de praktijk niet.
- “Zero trust vervangt VPN morgen.” Voor legacy-systemen die niet met moderne authenticatie werken, blijft VPN voorlopig nodig. Een gefaseerde aanpak is realistischer dan een schoneslag.
- “Meer controles, dus minder productiviteit.” Goed ingericht wordt zero trust juist soepeler, omdat single-sign-on en automatische apparaatcontroles veel handmatige stappen wegnemen. Het foutief inrichten levert wel die frustratie op.
Wanneer moet je hiervan wakker liggen, wanneer niet
Wakker liggen: als jouw bedrijf nog draait op het oude model van “binnen het netwerk vertrouwen we elkaar” en tegelijk meerdere remote werkplekken, externe partners en cloud-diensten gebruikt. Dat is een mismatch die vroeg of laat ergens wringt. Bij een aanval ontdek je dan dat lateral movement binnen het netwerk vrijwel niets in de weg legt.
Niet wakker liggen: als jouw bedrijf al gebouwd is rond moderne cloud-diensten met single-sign-on, multi-factor authenticatie en duidelijke rollenbeheer. Dan ben je in de praktijk al een eind op weg richting zero trust, ook zonder dat label. Het hoeft geen apart project te worden.
Gerelateerde termen
- Two-factor authentication: fundament onder elke zero-trust implementatie, want wachtwoord alleen is geen identiteit.
- SSO: centraal inlogpunt waar zero-trust beleid en controles op aangrijpen.
- OAuth: standaard voor het delegeren van toegang tussen applicaties zonder wachtwoorden door te geven.
- NIS2: Europese richtlijn die zero-trust principes praktisch verplicht maakt voor steeds meer sectoren.
- Penetration testing: methode om te toetsen of zero-trust controles in de praktijk standhouden.