Wat is Zero Trust?
Zero Trust is een beveiligingsmodel dat uitgaat van het principe:
“Never trust, always verify.”
Waar traditionele beveiliging iedereen binnen het bedrijfsnetwerk automatisch vertrouwt, gaat Zero Trust ervan uit dat elk verzoek om toegang tot systemen of data eerst moet worden gecontroleerd en gevalideerd ongeacht of dit van binnen of buiten de organisatie komt.
Zero Trust toegepast op data
Zero Trust voor data betekent dat de beveiliging niet stopt bij het netwerk of de systemen, maar dat de data zelf centraal staat. De belangrijkste vraag wordt dan: Wie mag welke data zien, wanneer en waarom?
Op basis van de drie pijlers van Zero Trust — Verify explicitly, Use least privileged access en Assume breach kun je dit model ook toepassen op data.
1. Verify explicitly
Controleer elke toegang expliciet. Gebruik sterke authenticatie en contextbewust toegangsbeleid.
Voorbeelden:
- Multi-Factor Authenticatie (MFA) — Verplicht meerdere vormen van verificatie.
- Device compliance checks — Controleer of apparaten voldoen aan beveiligingsbeleid.
- Conditional Access — Beperk toegang op basis van locatie, risico of tijdstip.
2. Use least privileged access
Beperk toegangsrechten tot wat strikt noodzakelijk is. Voorkom permanente of te brede rechten.
Middelen:
- Just-In-Time (JIT) — Tijdelijke toegang die automatisch vervalt.
- Justification — Gebruikers moeten aangeven waarom toegang nodig is.
- Least privilege — Alleen toegang tot de data die echt nodig is.
3. Assume breach
Ga ervan uit dat er ooit een indringer binnenkomt. Beveilig data daarom zowel in rust als in beweging.
Beveiligingsmaatregelen:
- Data at rest — Versleutel harde schijven, databases en back-ups (bijv. BitLocker, Azure Disk Encryption).
- Data in transit — Gebruik TLS/HTTPS of end-to-end encryptie.
- Segmentatie — Scheid gevoelige van minder gevoelige data via classificatie, zones en netwerkscheiding.
Zo beperk je de impact van een eventueel datalek.
Daarnaast is het cruciaal om alle datatoegang te loggen en afwijkingen te detecteren:
- Wie heeft welke data geraadpleegd?
- Wanneer en met welk doel?
- Was het gedrag afwijkend?
Hoe Microsoft Purview ondersteunt bij Zero Trust voor data
Microsoft Purview is het centrale platform binnen Microsoft 365 en Azure voor databescherming, classificatie en monitoring.
Het sluit goed aan op het Zero Trust-principe door zichtbaarheid en controle over data te bieden, ongeacht waar die zich bevindt — in de cloud, on-premises of hybride omgevingen.
Purview biedt onder andere twee belangrijke oplossingen die essentieel zijn voor Zero Trust op data:
1. Microsoft Purview Audit
Purview Audit registreert gedetailleerd wie wat doet met data binnen Microsoft 365.
Hiermee kun je:
- Activiteiten van gebruikers en beheerders inzien (bijv. in SharePoint, Teams, Exchange, OneDrive).
- Controleren wie toegang heeft gehad tot gevoelige bestanden of e-mails.
- Onregelmatigheden of verdacht gedrag detecteren (zoals massale exports of toegang op ongebruikelijke tijdstippen).
- Bewijs verzamelen voor forensisch onderzoek of compliance-audits.
Toepassing in Zero Trust:
Audit ondersteunt de pijler “Monitor & Verify” — niets wordt vertrouwd zonder controle, en alle activiteiten zijn herleidbaar.
2. Microsoft Information Protection (MIP)
Met MIP kun je data classificeren, labelen en automatisch beveiligen op basis van gevoeligheid (bijv. Publiek, Vertrouwelijk, Zeer Vertrouwelijk).
Belangrijke functies:
- Automatische detectie van gevoelige informatie (zoals BSN, IBAN of vertrouwelijke bedrijfsgegevens).
- Dynamische labels die automatisch rechten en encryptie toepassen.
- Integratie met Office, SharePoint, Teams en externe applicaties.
- Data Loss Prevention (DLP) om te voorkomen dat gevoelige informatie per ongeluk wordt gedeeld.
Toepassing in Zero Trust:
MIP zorgt ervoor dat de data zelf beveiligd is, ongeacht waar deze zich bevindt — dus ook buiten het bedrijfsnetwerk.
Conclusie
Zero Trust voor data betekent dat vertrouwen binnen de organisatie niet vanzelfsprekend is. Met Microsoft Purview kun je dit principe in de praktijk brengen door:
- Toegang expliciet te verifiëren
- Rechten tot toegang te beperken
- Uit te gaan van een mogelijke inbreuk.
Zo blijft je organisatie in controle over haar meest waardevolle bezit: data.