Ex-legergeneraal John Davis: ‘Vertrouw nooit, verifieer altijd’

Onze wereld verandert dramatisch. Technologie heeft naast grote vooruitgang en kansen ook ongekende risico’s en gevaren ontketend. Met de exponentiële uitbreiding van gegevens en apparaten als gevolg van Internet of Things, de snelheid van verbindingen door 5G-netwerken en de opkomst van automatisering door kunstmatige intelligentie, bevindt het aanvalsoppervlak voor cyberdreigingen zich in een onvoorstelbare groeicurve.

Het gaat niet alleen om de grootte van deze bedreigingen. Het gaat erom wat er kan gebeuren. We hebben nu landen die agressief en straffeloos handelen, gericht op de overheid, de industrie en vitale infrastructuur, zoals onze energienetten. We hebben situaties waarin ze mogelijk onbetrouwbare derde partijen zoals criminele organisaties – ‘patriottische’ hackers en ‘onderzoeksorganisaties’ -, sponsoren om hun bevelen uit te voeren. We leven in een complexe wereld waarin we nog steeds grip proberen te krijgen met het definiëren van de regels voor de volgende generatie cyberoorlogvoering.

Als gepensioneerde generaal-majoor van het Amerikaanse leger vind ik het niet overdreven om cybersecurity te beschouwen als een kwestie van leven en dood. Het gaat niet langer om het beschermen van onze netwerken; het gaat nu om apparaten die auto’s besturen, vliegtuigen besturen, energie leveren en kerncentrales ondersteunen. En bijvoorbeeld ook apparaten die onze gezondheid controleren, zoals pacemakers.

Niemand weet precies wat we in deze omgeving met elkaar gaan verbinden en een deel ervan zal levensbedreigend zijn, op individuele schaal en op wereldwijde schaal door onze transport-, militaire- en andere netwerken, en operationele systemen. We staan op een cruciaal kruispunt in onze werkwijze van cyberbeveiliging. Het is veel moeilijker om consistente zichtbaarheid en beveiligingscontroles te garanderen in alle verschillende, diffuse en evoluerende omgevingen van mobile, virtueel en cloud. Daarom hebben we Zero Trust nodig.

Zero Trust is een noodzaak

In deze nieuwe wereld realiseren cybersecurityleiders zich dat de oude aanpakken niet langer werken en dat we iets nieuws nodig hebben. Bij het zoeken naar nieuwe modellen is het belangrijk om te onthouden dat de aanvalsmethoden vrijwel hetzelfde zijn als altijd, de zogenaamde zeven-staps kill-chain van een aanval: verkenning, bewapening, aflevering, exploitatie, installatie, commando en besturing, en actie/uitvoering.

Als je deze stappen begrijpt en de mogelijkheid hebt om een bedreiging op elk moment in het proces van een cyberaanval te zien en te stoppen, heb je een voordeel. Je tegenstanders moeten bij elke stap succesvol zijn; jij hoeft ze alleen maar op één of meer punten onderweg te stoppen. Dat was relatief eenvoudig om te doen, hoewel we het niet altijd heel goed deden. Nu, met cloud, mobile en virtualisatie, is het veel uitdagender.

Het oude model van verdediging van buitenaf benaderen werkt niet meer. Je moet van binnenuit verdedigen en voor mij is dat één van de concepten waardoor Zero Trust noodzakelijk is.

Een inbreuk herinnerd door velen

Elke organisatie moet begrijpen waar haar prioriteiten liggen én waar en wat haar kroonjuwelen zijn. In het leger noemen we dit ‘cyber key terrain’. Dit zijn de functies waarop het leger vertrouwt om zijn belangrijkste missies uit te voeren. We brengen dat in kaart voor onze netwerken, systemen, gegevens en mensen.

Het is vergelijkbaar aan wat we het ‘beschermingsoppervlak’ noemen in een Zero Trust-omgeving - het identificeren van wat moet worden beschermd en waar het zich bevindt. Wanneer mensen me vragen om Zero Trust te beschrijven, vertel ik ze meestal dit:

In de hedendaagse wereld van cybersecurity moet je een werkwijze hebben waarbij alleen geautoriseerde gebruikers geautoriseerde functies mogen uitvoeren in geautoriseerde applicaties met geautoriseerde inhoud op geautoriseerde apparaten. Al het andere is niet toegestaan, behalve bij uitzondering. Als je dat niveau van gedetailleerde controle rond jouw kroonjuwelen hebt, kan je risico’s veel effectiever beheren.

Ik ging voor het eerst geloven in het concept van Zero Trust in 2008. Ik was net een ‘één-ster generaal’ geworden en mijn eerste opdracht was een gezamenlijke task force die verantwoordelijk was voor de aansturing van de operaties en verdediging van alle netwerken binnen het Ministerie van Defensie. Binnen twee maanden kreeg ik een telefoontje, natuurlijk in het weekend, met de boodschap om direct naar het werk te komen om een beveiligde telefoon te gebruiken. Ik wist dat het iets groots was. En iets slecht.

Buckshot Yankee

Dat was toen we Operatie Buckshot Yankee lanceerden om te verdedigen tegen wat algemeen wordt beschreven als de ergste inbreuk op militaire computers in de geschiedenis. Ik zette een bed in mijn kantoor en bleef maanden. We hebben de inbreuk gevonden, beperkt en in slaap gebracht. Als onze vertrouwelijke informatie was vrijgegeven, had dit de veiligheid van ons hele leger kunnen ondermijnen.

Maar omdat de inbreuk van binnenuit was ingesloten, konden we verifiëren dat er niets uitkwam. Alle verbindingspunten tussen onze gevoelige netwerken en internet waren in wezen geblokkeerd - door het ontwerp - dus het gaf ons een hoge mate van vertrouwen dat er niets uitkwam.

Met Zero Trust kunnen organisaties nu hetzelfde hoge niveau van vertrouwen bereiken door een vergelijkbare benadering van cybersecurity van binnenuit. Tegenstanders kunnen misschien binnenkomen, maar met de juiste aanpak van cybersecurity - of we het nu hebben over Operatie Buckshot Yankee of Zero Trust - zal het exponentieel moeilijker zijn voor hen om succesvol te zijn en eruit te komen.

Je kunt de stappen in een aanvalsproces niet stoppen omdat ze gaan gebeuren. Daarnaast gaan mensen van binnen fouten maken: ze gaan op de verkeerde links klikken, ze blijven niet op de hoogte van beveiligingspatches of ze gaan iets doen om onschuldige óf schuldige redenen. Je moet ervan uitgaan dat mensen de verkeerde dingen zullen doen en daarom moet je visie op wat je inzet om bedreigingen te stoppen consistent en continu zijn in de hele omgeving.

We weten misschien niet waar de volgende aanval vandaan komt, wie erachter zit, of hoe groot deze zal zijn - maar we moeten weten dat we over de mechanismen beschikken om ervoor te zorgen dat we deze kunnen stoppen voordat het te ver in het cyberaanvalproces is. Daarom is Zero Trust zo cruciaal voor het succes van cybersecurity. In de wereld waarin we leven, is het belang voor cybersecurity nooit hoger geweest. Zoals het motto van Zero Trust luidt: ‘Vertrouw nooit, verifieer altijd.’