De meeste verklaringen van het zero trust beveiligingsmodel lezen alsof ze geschreven zijn voor een Fortune 500 security operations center met 40 analisten en een budget van zeven cijfers. Dat is niet handig als je IT-afdeling drie mensen heeft, een groeiende lijst met SaaS-abonnementen en een NIS2-audit in aantocht is.
Wat is zero trust beveiliging eigenlijk? Het is een model dat elke verbinding als niet-vertrouwd behandelt totdat het tegendeel is bewezen. Geen enkele gebruiker, apparaat of applicatie krijgt toegang op basis van alleen de netwerklocatie. Elk verzoek wordt geverifieerd, tot het noodzakelijke minimum beperkt en opnieuw geëvalueerd als de context verandert. Het motto vat het samen: vertrouw nooit, verifieer altijd.
Deze gids behandelt de vijf zero trust-principes in termen die aansluiten bij de dagelijkse werkzaamheden van organisaties met 50 tot 400 gebruikers. Elk principe bevat de redenering erachter, hoe het er in de praktijk uitziet en waar het aansluit op Europese compliance-eisen. Als je al weet hoe je een Zero Trust architectuur moet implementeren, behandelt deze post het “waarom” achter elke ontwerpbeslissing.
Waar het zero trust-model vandaan komt
Zero Trust ontstond in 2010 toen Forrester-analist John Kindervag stelde dat vertrouwen zelf een kwetsbaarheid is. Zijn uitgangspunt: vertrouw verkeer niet langer alleen omdat het van binnen je netwerk komt. Vertrouw nooit, maar verifieer altijd. NIST heeft deze denkwijze later vastgelegd in Special Publication 800-207, waarin zeven basisprincipes worden gedefinieerd die ten grondslag liggen aan de meeste beveiligingsstrategieën van overheden en bedrijven. Microsoft distilleerde deze tot drie algemeen geaccepteerde pijlers: verifieer expliciet, gebruik toegang met de minste privileges en ga uit van inbreuk.
Alle drie de raamwerken zijn het eens over de kerngedachte: geen enkele gebruiker, apparaat of verbinding verdient impliciet vertrouwen, ongeacht waar het vandaan komt. De verschillen zitten in hoeveel principes elk raamwerk telt, niet in wat ze aanbevelen.
Wat zijn de drie principes van zero trust?
De drie principes waarnaar het vaakst wordt verwezen zijn de formulering van Microsoft: verifieer expliciet, gebruik toegang met de minste privileges en ga uit van inbreuk. Deze drie principes vormen de basis van elk zero trust beveiligingsmodel en zijn terug te vinden in de documentatie van vrijwel elke leverancier. NIST SP 800-207 brengt dezelfde concepten in kaart, maar verdeelt ze in zeven meer verfijnde grondbeginselen.
Drie principes zijn een goed uitgangspunt. Voor teams in het middensegment zijn ze niet genoeg.
Waarom teams in het middensegment er vijf nodig hebben in plaats van drie
Het vierde en vijfde principe, apparaathouding en voortdurende evaluatie, worden door bedrijfsleveranciers vaak behandeld als implementatiedetails. Maar voor organisaties die BYOD, agentless apparatuur en dunne IT-teams beheren, verdienen ze evenveel aandacht. Het overslaan van een van beide principes creëert de blinde vlekken waar aanvallers het vaakst gebruik van maken.
| Kader | Principes gedefinieerd | Wat het mist voor de middenmarkt |
|---|---|---|
| NIST SP 800-207 | 7 basisprincipes voor middelen, sessies, dynamisch beleid, bewaking | Geschreven voor federale agentschappen, niet voor bedrijven van 200 personen |
| Microsoft | 3 pijlers: expliciet verifiëren, laagste privilege, inbreuk veronderstellen | Sterk op identiteit, zwak op agentloze apparaten en OT |
| Forrester ZTX | 7 pijlers voor netwerk, data, personeel, werklast, apparaat, analyse, automatisering | Bedrijfskader, geen Europese compliance in kaart brengen |
| NCSC UK | 8 ontwerpprincipes voor netwerkarchitectuur | Overheidsfocus, geen afstemming op NIS2 of CyFun |
Een SASE-platform dat ZTNA, webbeveiliging, firewallbeleid en apparaatcontroles integreert, biedt alle vijf de principes vanuit één console. Dit is belangrijk omdat middelgrote teams geen vijf afzonderlijke tools voor vijf afzonderlijke principes kunnen beheren. Een wildgroei aan tools is de vijand van zero trust op deze schaal.
Wat is geen zero trust-principe?
Vertrouwen op locatie is geen nul-vertrouwensprincipe. Hetzelfde geldt voor “de perimeter beveiligen” of “intern verkeer vertrouwen”. Het zero trust model verwerpt expliciet het idee dat het zich bevinden binnen het bedrijfsnetwerk enig niveau van vertrouwen geeft. Een verbinding vanuit het kantoor wordt even kritisch bekeken als een verbinding vanuit een koffieshop. Als je architectuur nog steeds bredere toegang verleent aan gebruikers op locatie dan aan gebruikers op afstand, dan is er geen sprake van zero trust, ongeacht het label dat de leverancier erop plakt.
Principe 1: expliciet verifiëren
Elk verzoek om toegang moet aantonen wie erom vraagt, vanaf welk apparaat en onder welke omstandigheden. Geen enkele verbinding wordt vertrouwd omdat deze afkomstig is van een bekend IP-adres of zich achter de bedrijfsfirewall bevindt.
In de praktijk betekent dit dat je elke verbinding koppelt aan een geverifieerde identiteit via je identity provider, dat je multi-factor authenticatie afdwingt en dat je toegangsbeslissingen neemt op basis van de context: locatie, tijd van de dag, gezondheid van het apparaat en de gevoeligheid van de resource die wordt opgevraagd.
De kloof tussen het middensegment van de markt is groot. Organisaties met minder dan 100 werknemers hebben ongeveer een derde van de MFA-acceptatiegraad van grote ondernemingen. Toch ontbrak MFA in de overgrote meerderheid van de gecompromitteerde accounts. Het inschakelen van MFA in je kernapplicaties is de actie met de grootste impact die de meeste teams in het middensegment dit kwartaal kunnen ondernemen.
Voor een bedrijf van 200 personen vereist “expliciet verifiëren” geen voorwaardelijke toegang op bedrijfsniveau met tientallen beleidsregels. Vijf tot tien goed gedefinieerde beleidsregels dekken de meeste scenario’s: één voor standaardtoegang, één voor gevoelige applicaties, één voor administratieve taken, één voor BYOD en één voor externe contractanten.
In een Zero Trust Network Access architectuur gebeurt deze verificatie voor elke sessie. Een verkoper die CRM opent vanaf zijn gebruikelijke laptop in Brussel kan naadloos inloggen. Dezelfde account die zich authentiseert vanaf een onbekend apparaat op een onverwachte locatie, zorgt voor een getrapte verificatie. De applicatie is onzichtbaar voor iedereen die niet door de identiteitsverificatie en apparaatstatus heen is gekomen. Die combinatie van identiteitsbewustzijn en toegang op applicatieniveau is wat ZTNA onderscheidt van een traditioneel VPN, dat brede netwerktoegang verleent na een enkele authenticatie.
Principe 2: dwing least privilege af
Elke identiteit, of het nu een mens, service account of machine is, zou alleen toegang moeten hebben tot de bronnen die het nodig heeft voor zijn huidige taak. Niets meer. Dit is het principe dat het zero trust beveiligingsmodel van theorie verandert in meetbare risicoreductie.
Dit klinkt vanzelfsprekend. In de praktijk is dit het principe waar de meeste organisaties in falen. Onderzoek toont consequent aan dat identiteiten ruwweg één procent gebruiken van de rechten die ze krijgen. De overige 99 procent is onnodig aanvalsoppervlak. Wanneer een aanvaller een inlogcode in gevaar brengt, is de schade recht evenredig met hoeveel die inlogcode kan bereiken. Accounts met te veel machtigingen maken van één enkele phishingklik een incident voor het hele bedrijf.
De hoofdoorzaak in organisaties in het middensegment van de markt is meestal privilege creep. Een medewerker begint bij de klantenservice, gaat naar accountbeheer en vervolgens naar operations. Elke rol voegt toegangsrechten toe. Geen enkele rol verwijdert ze ooit. Na twee functiewisselingen kan één account tegelijk toegang krijgen tot supporttickets, financiële gegevens en operationele systemen.
Om dit op te lossen is geen grootschalig identity governance project nodig. Drie acties maken een meetbaar verschil:
Definieer eerst vijf tot tien rolgebaseerde toegangssjablonen die overeenkomen met hoe uw organisatie echt werkt. Niet één sjabloon per persoon, maar één per functie. Ten tweede, dwing aparte accounts af voor administratieve taken. De persoon die uw cloudomgeving beheert, mag niet hetzelfde account gebruiken om e-mail te controleren. Ten derde, voer elk kwartaal een toegangscontrole uit. Dit kan een spreadsheet zijn die wordt gedeeld met afdelingsmanagers: “Hebben deze mensen nog toegang nodig tot deze systemen?”. Verwijder wat ze niet nodig hebben.
ZTNA dwingt structureel de laagste privileges af. Gebruikers authenticeren zich voor specifieke applicaties, niet voor hele netwerksegmenten. Een lid van het financiële team kan het facturatiesysteem bereiken, maar heeft geen toegang tot technische bronnen. Als hun referenties worden gecompromitteerd, krijgt de aanvaller toegang tot één applicatie, niet tot het hele netwerk. Het platform van Jimber gaat nog een stap verder door applicaties volledig te verbergen voor het openbare internet. Als een aanvaller de applicatie niet kan zien, kan hij deze ook niet aanvallen. De gids met 10 veelvoorkomende ZTNA-fouten behandelt de valkuilen die least privilege ondermijnen in echte implementaties, inclusief hoe brede toegangsgroepen zich in de loop van de tijd rustig ophopen.
Principe 3: uitgaan van schending
Ontwerp elk systeem alsof er al een aanvaller in zit. Want statistisch gezien zijn ze dat waarschijnlijk ook, of zullen ze dat binnenkort zijn.
Bijna negen op de tien organisaties heeft het afgelopen jaar een incident met een laterale verplaatsing meegemaakt. De gemiddelde tijd tussen eerste toegang en laterale beweging is gedaald tot 29 minuten, waarbij de snelste gevallen in seconden worden gemeten. Meer dan 80 procent van de gedetecteerde inbraken maakt nu gebruik van geldige referenties en vertrouwde tools om zich door omgevingen te bewegen. Geen malware, geen exploit. Gewoon een gestolen wachtwoord en een plat netwerk.
Voor organisaties in het middensegment van de markt vertaalt een inbreuk zich naar één vraag: nadat iemand op een phishing-link heeft geklikt, hoe ver kan de aanvaller gaan? Als het antwoord “overal” is, heeft uw architectuur een segmentatieprobleem.
Inperking begint met elementaire netwerksegmentatie: HR, financiën, productie en gast-WiFi op afzonderlijke segmenten met gebruik van bestaande apparatuur. Microsegmentatie in een SASE-architectuur gaat nog een stap verder. In plaats van netwerken op te delen in zones en te hopen dat firewallregels standhouden, zorgt identiteitsgebaseerde toegang ervoor dat elke verbinding individueel wordt geverifieerd. Gebruikers maken verbinding met specifieke applicaties, niet met netwerksegmenten. Elke zonegrens is een muur die een aanvaller afzonderlijk moet doorbreken. Meer muren, kleinere straal.
Voor apparaten die geen softwareagenten kunnen uitvoeren, zoals printers, IoT-sensoren, vergaderruimtesystemen en industriële apparatuur, beperkt inline isolatiehardware de communicatie tot alleen expliciet goedgekeurde bestemmingen. De NIAC-hardware van Jimber is hier speciaal voor gebouwd. Het creëert een veilige brug tussen IT- en OT-omgevingen zonder productiesystemen te verstoren of software op het apparaat zelf te hoeven installeren. Hiermee wordt de kloof gedicht die in het ransomwarepreventie draaiboek wordt geïdentificeerd als het primaire toegangspunt voor laterale beweging in productie- en gezondheidszorgomgevingen.
Principe 4: apparaatstatus valideren
Identiteit alleen is niet genoeg. Een geverifieerde gebruiker op een gecompromitteerd apparaat is nog steeds een risico.
Apparaatstatuscontroles verifiëren beveiligingssignalen voordat toegang wordt verleend: is het besturingssysteem actueel? Is volledige schijfversleuteling ingeschakeld? Is endpointbeveiliging actief? Apparaten die niet voldoen aan deze controles krijgen beperkte toegang, geen volledige weigering, maar een beperktere reikwijdte die de blootstelling beperkt totdat het apparaat is hersteld. De volledige apparaatposturegids behandelt de configuratie stap voor stap, inclusief hoe u posturecontroles kunt koppelen aan specifieke CyberFundamentals controles voor uw NIS2-audit.
De uitdaging voor teams in het middensegment is de agentless gap. Beheerde laptops kunnen posture agents uitvoeren. Printers, IoT-sensoren, CCTV-camera’s en industriële controllers kunnen dat niet. Dit zijn geen randgevallen. Uit onderzoek blijkt dat driekwart van de cyberbeveiligingsincidenten te maken heeft met onbekende of onbeheerde bedrijfsmiddelen, en de overgrote meerderheid van de ransomware-aanvallen van de afgelopen jaren had onbeheerde apparaten als toegangspunt.
Traditionele zero trust frameworks erkennen dit probleem, maar bieden zelden een praktische oplossing. Jimber pakt dit probleem aan met NIAC-hardware: inline isolatie-apparaten die communicatiestromen op basis van een toestemmingslijst afdwingen zonder dat hiervoor software op het apparaat nodig is. Een printer communiceert alleen met de printserver. Een PLC op de fabrieksvloer bereikt alleen het MES-systeem en de updateserver. Al het andere wordt standaard geweigerd. Dit is hoe “validate device posture” eruit ziet voor apparaten die zelf niet kunnen deelnemen aan authenticatie.
Een praktische gefaseerde aanpak werkt voor de meeste teams in het middensegment van de markt. Fase 1 omvat de verplichte baseline: OS currency, volledige schijfversleuteling en actieve endpointbeveiliging. Fase 2 voegt schermvergrendeling, veilig opstarten en browserversiecontroles toe. Fase 3 introduceert op certificaten gebaseerde apparaatidentiteit. Organisaties moeten vanaf het begin tweeledige toegang implementeren: apparaten die aan de eisen voldoen en beheerd worden, krijgen volledige toegang; BYOD-apparaten of apparaten die niet aan de eisen voldoen, krijgen browser-toegang met beperkte reikwijdte. Het ZTNA-platform van Jimber dwingt deze niveaus automatisch af, waarbij de evaluatie van de houding voor elke sessie plaatsvindt en niet alleen bij de eerste aanmelding.
Principe 5: voortdurend evalueren
Vertrouwen is geen permanente toestand. Een sessie die begint als laag-risico kan hoog-risico worden op het moment dat de context verandert. Dit principe onderscheidt een echt zero trust-model van een traditioneel VPN met extra stappen.
Continue evaluatie betekent het opnieuw beoordelen van toegangsbeslissingen tijdens een sessie, niet alleen bij het inloggen. Als de houding van een apparaat halverwege een sessie verslechtert, als het gedrag van een gebruiker afwijkend wordt of als een sessie migreert naar een niet-vertrouwd netwerk, moet het toegangsbereik automatisch worden aangepast. In een traditioneel VPN-model gebeurt de authenticatie één keer en blijft de tunnel urenlang open. In een zero trust beveiligingsmodel is elke verandering in de context een nieuw beslissingsmoment.
Voor een IT-team van twee tot vijf personen is handmatige monitoring niet realistisch. De sleutel is consolidatie en automatisering. Vooraf geconfigureerde waarschuwingen vervangen de handmatige logboekcontrole: pieken bij mislukte aanmeldingen, onmogelijke reispatronen, aanmaken van nieuwe beheerdersaccounts, downloaden van bulkgegevens. Auto-respons op basis van beleid verlaagt niet-conforme apparaten naar beperkte toegang zonder menselijke tussenkomst.
Dit is waar het monitoren van oost-west verkeer een krachtvermeerderaar wordt. In plaats van te vertrouwen op perimeter logs die alleen verkeer zien dat je netwerk binnenkomt en verlaat, legt het monitoren van interne stromen de laterale beweging bloot die de echte bedreiging vormt. In een verenigd SASE-platform vinden detectie en reactie plaats in dezelfde console. Er hoeft niet te worden gewisseld tussen tools, er hoeven geen handmatige firewallregels te worden gewijzigd en er hoeft niet te worden gewacht tot een netwerkengineer een ACL heeft bijgewerkt.
De enkele beheerconsole van Jimber dekt ZTNA, Secure Web Gateway, Firewall-as-a-Service en SD-WAN in één door de cloud beheerde interface. Dat betekent één uniforme logboekstroom in plaats van vijf, geautomatiseerd compliance-bewijs in plaats van handmatige rapportage en consistente beleidshandhaving voor alle gebruikers, locaties en apparaten. Voor servicepartners die meerdere klanten beheren, biedt de multi-tenant architectuur zichtbaarheid per klant vanaf hetzelfde platform. Continue evaluatie wordt operationeel haalbaar omdat het platform de evaluatie uitvoert. Uw team bekijkt de resultaten.
Waarom NIS2 van zero trust-principes een nalevingsvereiste maakt
In overweging 89 van de NIS2 worden de zero-trustbeginselen expliciet genoemd als basispraktijk voor cyberhygiëne voor essentiële en belangrijke entiteiten in de hele EU. Dit is geen leidraad of aanbeveling. Het is een nalevingsverwachting.
De vereisten van artikel 21 komen rechtstreeks overeen met de vijf beginselen:
| NIS2 Artikel 21 vereiste | Zero Trust-principe dat overeenkomt met |
|---|---|
| Beleid voor toegangscontrole en meerfactorauthenticatie | Expliciet verifiëren, minimale privileges afdwingen |
| Netwerkbeveiliging en segmentatie | Uitgaan van inbraak |
| Incidentafhandeling en 24-uursrapportage bij vroegtijdige waarschuwing | Voortdurend evalueren |
| Beveiliging van de toeleveringsketen en toegangscontroles voor leveranciers | Minimaal privilege afdwingen |
| Encryptie en cryptografisch beleid | Uitgaan van inbreuk |
| Managementverantwoordelijkheid en persoonlijke aansprakelijkheid | Bestuur over alle vijf principes |
België was de eerste EU-lidstaat die NIS2 volledig heeft omgezet. Het CyberFundamentals (CyFun)-raamwerk, dat in oktober 2025 is bijgewerkt om op één lijn te komen met NIST CSF 2.0, is het primaire traject voor naleving. Uit de eigen analyse van het CCB blijkt dat CyFun-controles op basisniveau de overgrote meerderheid van veelvoorkomende aanvallen aanpakken, terwijl controles op belangrijk en essentieel niveau steeds geavanceerdere bedreigingen afdekken.
De deadline is reëel: Belgische NIS2-gereguleerde entiteiten moeten hun CyFun-zelfevaluatie of ISO 27001-documentatie indienen tegen april 2026. Cyberaanvallen in België stegen in 2025 met 165 procent tot een gemiddelde van 275 per dag. Slechts 46 procent van de Belgische organisaties heeft MFA op externe verbindingen geïmplementeerd. Het rapport ‘ The state of mid-market cybersecurity in Belgium’ behandelt het volledige bedreigingslandschap en wat er daadwerkelijk werkt.
Een verenigd SASE-platform vereenvoudigt compliance omdat de controles die zero trust principes afdwingen ook het auditbewijs genereren dat NIS2 vereist. Toegangsbeslissingen, evaluaties van de apparaatstatus, beleidswijzigingen en beveiligingsgebeurtenissen worden centraal bijgehouden en versiegestuurd. Wanneer de conformiteitsbeoordelingsinstantie uw Protect-controles beoordeelt, toont u aan dat de technische controles actief zijn, gemeten worden en verbeteren, allemaal vanuit één console.
Klaar om te zien hoe zero trust-principes er in uw omgeving uitzien? Boek een demo en doorloop de vijf principes toegepast op uw gebruikers, apparaten en sites.
FAQ
Zijn drie of vijf zero trust principles het juiste aantal?
Microsoft en NIST definiëren drie basisprincipes die betrekking hebben op identiteit, toegang en inbraakbeperking. Deze drie vormen de kern van het zero trust-model en komen voor in elk belangrijk raamwerk. Voor organisaties in het middensegment van de markt die BYOD, agentless apparatuur en kleine IT-teams beheren, verdienen validatie van de apparaatstatus en voortdurende evaluatie evenveel aandacht. Het zijn de principes die het vaakst worden overgeslagen en het vaakst worden misbruikt.
Wat is zero trust beveiliging in eenvoudige bewoordingen?
Zero trust beveiliging is een model waarbij geen enkele gebruiker, apparaat of verbinding standaard wordt vertrouwd. Elk verzoek om toegang wordt geverifieerd op basis van identiteit en context, beperkt tot het minimaal vereiste en opnieuw geëvalueerd als de omstandigheden veranderen. Het principe “vertrouw nooit, controleer altijd” vervangt de oudere aanname dat alles binnen het bedrijfsnetwerk veilig is.
Heeft mijn organisatie Zero Trust nodig voor NIS2-compliance?
In overweging 89 van NIS2 worden zero-trustprincipes expliciet genoemd als basispraktijk. Artikel 21 vereist mogelijkheden voor toegangscontrole, segmentatie en incidentafhandeling die direct overeenkomen met Zero Trust. Hoewel Zero Trust niet het enige pad is, is het wel de meest efficiënte manier om gelijktijdig aan meerdere NIS2-eisen te voldoen. De NIS2 compliance checklist omvat de volledige set van controles.
Kan een team in het middensegment met drie IT-medewerkers Zero Trust implementeren?
Ja, als je consolideert. Vijf afzonderlijke beveiligingstools gebruiken is niet haalbaar met een klein team. Een SASE-platform dat ZTNA, webbeveiliging, firewallcontroles en apparaatposture in één console integreert, maakt zero trust beheersbaar. Begin met MFA en toegang per toepassing voor uw meest gevoelige toepassingen en breid daarna uit.
Hoe zit het met apparaten die geen beveiligingsagenten kunnen uitvoeren?
Printers, IoT-sensoren, industriële apparatuur en gebouwbeheersystemen hebben inline isolatie nodig. De NIAC-hardware van Jimber dwingt toegestane communicatiestromen af zonder dat hiervoor software op het apparaat nodig is. Dit sluit de agentless blinde vlek die traditionele zero trust frameworks erkennen, maar zelden oplossen.
Waarin verschilt Zero Trust van traditionele netwerksegmentatie?
Traditionele segmentatie verdeelt netwerken in zones met behulp van VLAN’s en firewallregels. Het zero trust model gaat verder: toegang wordt gekoppeld aan identiteit en apparaatgezondheid, afgedwongen per toepassing en continu opnieuw geëvalueerd. De segmentatie vs microsegmentatie vergelijking legt de praktische verschillen uit in een SASE context.
Waar moeten we beginnen als we vandaag geen Zero Trust-controles hebben?
Drie acties in volgorde: MFA inschakelen op alle extern gerichte applicaties, VPN vervangen door ZTNA per applicatie voor één gebruikersgroep en agentless apparaten isoleren achter gecontroleerde toegangspunten. Deze acties leveren binnen enkele weken een meetbare risicovermindering op en leggen de basis voor een breder zero trust beveiligingsmodel.
