De uitdaging
Kritieke infrastructuur is wereldwijd het mikpunt van cyberaanvallen. Onze klant had als doel een geavanceerd beveiligingskader te implementeren om zowel de supply chain als de IT-omgeving te beschermen. De traditionele perimeterbeveiliging is meer en meer achterhaald en daarom was er de ambitie om een Zero Trust-strategie op te zetten. Elk toegangspunt en elke communicatie binnen de infrastructuur wordt continu geverifieerd, om de gevoelige processen te beveiligen en potentiële schendingen te voorkomen. Daarbij heeft deze organisatie, net als de rest van de branche, te maken met wetgeving die komend jaar ingrijpend zal worden vernieuwd. Momenteel vallen ze onder de Wbni en met de Cyberbeveiligingswet (op basis van NIS2-richtlijn) in de pijplijn, moeten veel vitale bedrijven hun inspanningen opvoeren. Uiteraard is Eraneos deze ‘never trust, always verify’-uitdaging aangegaan.
De aanpak
De organisatie zocht begeleiding bij het effectief toepassen van Zero Trust-principes binnen hun IT infrastructuur, met een focus op essentiële gebieden, zoals identiteitsbeheer, netwerksegmentatie en endpoint-beveiliging. Eraneos werd betrokken vanwege het vakmanschap en mensgerichte benadering. Om Zero Trust toepasbaar te maken op de specifieke karakteristieken van de organisatie, werden er intensieve workshops gehouden met interne belanghebbenden om de definitie van Zero Trust voor de unieke werkomgeving vast te stellen. Uit deze sessies bleek dat er uiteenlopende interpretaties van Zero Trust waren, wat het belang benadrukte van het vaststellen van duidelijke en eenduidige principes.
Er werd een op maat gemaakte Zero Trust-strategie ontwikkeld, gebaseerd op basis van een veelgebruikt volwassenheidsmodel dat de aanpak onderverdeeld in zes kerngebieden:
- Identiteiten – Specifieke rollen en verantwoordelijkheden in combinatie met strikte verificatie via multi-factor authenticatie (MFA) voor alle gebruikers.
- Endpoints – Alle apparaten weerbaarder maken en uit het bedrijfsnetwerk halen, zodat er nog maar een beperkte impact is bij een cyberincident.
- Applicaties – Isoleren van applicaties om ervoor te zorgen dat elke applicatie functioneert als een veilig, zelfstandig eiland.
- Netwerk – Afstappen van het traditionele firewallmodel door microsegmentatie toe te passen, waarbij elk netwerksegment een zelfstandige beveiligde entiteit wordt.
- Infrastructuur – Het herconfigureren van servers en andere kritieke systemen tot onafhankelijk veilige componenten.
- Data – Geavanceerde toegangscontroles toepassen om ervoor te zorgen dat medewerkers alleen tijdelijke of rolgebaseerde toegang krijgen tot specifieke data-elementen, in plaats van volledige toegang tot alle informatie.
Deze Zero Trust-aanpak legt sterk de nadruk op verificatie, waarbij geen enkele toegang, handeling of apparaat standaard wordt vertrouwd, zelfs niet binnen het interne netwerk van het bedrijf. Om deze verschuiving te beheren, werd de huidige staat van de beveiligingspraktijken in kaart gebracht en afgezet tegen een doelstaat met specifieke mijlpalen en doorlopende evaluaties.
Het Zero Trust-model wordt verder ondersteund door automatisering. De klassieke aanpak vereist handmatige interventies, maar de moderne geautomatiseerde systemen reageren direct op bedreigingen. Dit minimaliseert downtime en vermindert het risico op grote verstoringen in het geval van een cyberaanval aanzienlijk.
Het resultaat
Het Zero Trust-framework stelt de klant in staat om zijn beveiligingspositie te moderniseren en de verdediging te versterken. Belangrijke snel te realiseren maatregelen, zoals beveiligingsmaatregelen binnen de leveranciersketen en het versterken van de individuele endpoints, worden vroegtijdig geïmplementeerd met minimale verstoring van de lopende werkzaamheden. Meer impactvolle acties, zoals een volledige herziening van de netwerkarchitectuur, worden gepland in een gefaseerde aanpak, waardoor het bedrijf soepel kan overstappen zonder de operationele continuïteit te onderbreken. Doordat het framework samen met de klant is opgezet, blijft het niet alleen bij een plan.
Als resultaat werkt de organisatie straks met een veel groter vertrouwen in hun beveiliging, in lijn met de aankomende implementatie van de Cyberbeveiligingswet (Cbw) waarbij er onder andere strengere eisen worden gesteld aan risicomanagement en beveiliging van kritieke infrastructuur.
Met de Zero Trust-principes stevig verankerd in hun strategie, kan het bedrijf risico’s straks effectiever beheersen en zich sneller aanpassen aan toekomstige dreigingen.
Hoewel het een uitdaging is, zijn de eerste stappen naar een Zero Trust-transitie gezet. De koers is bepaald en nu is het tijd voor de uitvoeringsfase, waardoor deze internationale organisatie haar toonaangevende positie kan behouden. Deze transformatie zorgt ervoor dat de beveiliging van zowel de supply chain als de IT-omgeving optimaal wordt ondersteund, volgens de Zero Trust-principes.
Samen werken aan een duurzame verandering?
