Gartner: Volwassenheid van zero-trust programma blijft achter

Zero trust staat bij de meeste organisaties hoog in het vaandel als een cruciale strategie om risico's te verminderen. Slechts weinig organisaties hebben zero-trust-implementaties daadwerkelijk voltooid, meldt Gartner. De marktonderzoeker voorspelt dat tegen 2026 10% van de grote ondernemingen een volwassen en meetbaar zero-trust-programma zal hebben, ten opzichte van minder dan 1% vandaag.
 
Gartner definieert zero trust als een beveiligingsparadigma dat gebruikers en apparaten expliciet identificeert en hen precies de juiste hoeveelheid toegang verleent, zodat het bedrijf met minimale wrijving kan werken terwijl de risico's worden verminderd. “Veel organisaties hebben hun infrastructuur opgezet met impliciete in plaats van expliciete vertrouwensmodellen om de toegang en bewerkingen voor werknemers en workloads te vereenvoudigen. Aanvallers misbruiken dit impliciete vertrouwen in de infrastructuur om malware op te zetten en vervolgens zijwaarts te bewegen om hun doelen te bereiken”, zegt John Watts, VP Analyst bij Gartner. "Zero trust is een verschuiving in het denken om deze bedreigingen aan te pakken door continu beoordeeld, expliciet berekend en adaptief vertrouwen tussen gebruikers, apparaten en bronnen te vereisen."

Effectieve zero-trust-strategie ontwikkelen

Om organisaties te helpen de reikwijdte van hun zero-trust-implementaties te voltooien, is het van cruciaal belang dat Chief Information Security Officers (CISO's) en risicobeheerleiders beginnen met het ontwikkelen van een effectieve zero-trust-strategie die de behoefte aan beveiliging in evenwicht brengt met de noodzaak om het bedrijf te runnen. "Het betekent beginnen met de strategie van een organisatie en een reikwijdte definiëren voor zero-trustprogramma's", aldus Watts. “Als de strategie eenmaal is gedefinieerd, moeten CISO's en leiders op het gebied van risicobeheer beginnen met identiteit - het is de basis voor zero-trust. Ze moeten ook niet alleen de technologie verbeteren, maar ook de mensen en processen om die identiteiten op te bouwen en te beheren.
 
“CISO's en leiders op het gebied van risicomanagement moeten er echter niet van uitgaan dat zero trust cyberdreigingen elimineert. Integendeel, zero trust vermindert juist het risico en beperkt de impact van een aanval.”

Aanvallers werken om zero-trust controles heen

Gartner-analisten voorspellen dat tot 2026 meer dan de helft van de cyberaanvallen gericht is op gebieden die niet door zero-trust controles worden gedekt en niet kunnen worden beperkt. "Het aanvalsoppervlak van ondernemingen breidt zich sneller uit en aanvallers zullen snel overwegen om activa en kwetsbaarheden buiten het bereik van zero-trust architecturen (ZTA's) te draaien en te richten", aldus Jeremy D'Hoinne, VP Analyst bij Gartner. "Dit kan de vorm aannemen van het scannen en exploiteren van openbare API's of het targeten van werknemers door middel van social engineering, pesten of het uitbuiten van gebreken doordat werknemers hun eigen 'bypass' creëren om een strikt zero-trustbeleid te vermijden."
 
Gartner raadt organisaties aan om zero trust te implementeren om eerst de risicobeperking voor de meest kritieke bedrijfsmiddelen te verbeteren, omdat daar het grootste rendement op risicobeperking zal worden behaald. Zero trust lost echter niet alle beveiligingsbehoeften op. CISO's en leiders op het gebied van risicobeheer moeten ook een doorlopend CTEM-programma (Threat Exposure Management) uitvoeren om hun blootstelling aan bedreigingen buiten het bereik van ZTA beter te inventariseren en te optimaliseren.
 
Gartner-klanten kunnen meer informatie vinden in "Predicts 2023: Zero Trust Moves Past Marketing Hype Into Reality." Lees daarnaast in het gratis Gartner ebook '3 Must-Haves in Your Cybersecurity Incident Response Plan' hoe u zich kunt voorbereiden op elke cyberbeveiligingsaanval.