Zero Trust wordt verkocht als eindbestemming en geleverd als platformaankoop. Beide benaderingen falen, omdat het moeilijke deel nooit de technologie was. Het gaat erom een draaiende organisatie los te maken van impliciet netwerkvertrouwen, zonder de mensen die ervan afhankelijk zijn te hinderen.
Een volgorde die werkt
- Inventariseer identiteiten vóór applicaties. Je kunt geen autorisatiebeslissingen per verzoek nemen als je niet weet wie de aanvragers zijn. Consolidatie van directories komt eerst.
- Maak de status van apparaten zichtbaar. Niet afdwingen. Zichtbaar maken. Meet hoeveel apparaten niet aan je beoogde beleid zouden voldoen voordat je het aanzet. Het aantal zal je verrassen.
- Kies één applicatie, van begin tot eind. Iets betekenisvols, maar niet bedrijfskritisch. Bewijs het patroon: identity-aware proxy, conditional access, logging, break-glass-route.
- Dwing eerst af in report-only-modus. Elk groot identityplatform ondersteunt dit. Laat het een volledige bedrijfscyclus draaien, inclusief maandafsluiting en je seizoenspiek.
- Schaf de VPN als laatste af, niet als eerste. Het is de zichtbare winst, dus wordt het naar voren gehaald. Het hoort de laatste stap te zijn, zodra niets het meer nodig heeft.
De break-glass-route is niet optioneel
Elke afdwingende maatregel heeft een gedocumenteerde, geteste en geaudite manier nodig om eromheen te gaan, voor het geval dat de maatregel zelf het probleem is. Teams die dit overslaan, dwingen nooit af, of dwingen één keer af en branden hun vingers zo erg dat ze het nooit meer doen.
Wat je het bestuur vertelt
Zero Trust is geen product dat je in één keer aanschaft. Het is een verschuiving van waar de autorisatiebeslissing plaatsvindt: van de rand van het netwerk naar elk afzonderlijk verzoek. Zo gebracht is de roadmap in stappen te financieren, en elke stap is op zichzelf nuttig.