Geef iedereen toegang tot precies wat hij nodig heeft, meer niet.

Er staat een VPN op kantoor die ooit door een leverancier is ingericht. Een handvol mensen gebruikt hem om thuis bij de bestandsserver te komen, en de rest logt in via een programma waarvan niemand meer precies weet wie het heeft neergezet. De accountant heeft een account, de vorige systeembeheerder waarschijnlijk ook nog. Zolang het werkt, kijkt niemand ernaar. Pas als er iemand uit dienst gaat of als de verzekeraar vragen stelt, blijkt dat je niet kunt uitleggen wie er allemaal binnen kan komen.

Waarom een VPN alleen niet genoeg is

Een VPN doet precies een ding: hij trekt een versleutelde tunnel van een laptop naar je netwerk. Dat is nuttig, maar het is ook alles. Wie eenmaal door die tunnel is, staat in het netwerk alsof hij aan een bureau op kantoor zit. Hij ziet de bestandsserver, de printers, de camerarecorder en het pakket van de boekhouding, ook als hij daar niets te zoeken heeft.

Dat was werkbaar toen iedereen op kantoor zat en er twee mensen thuiswerkten. Nu werken je collega's op eigen laptops, komt er een monteur van je machineleverancier op afstand meekijken en logt een boekhoudkantoor in op een enkel pakket. Een wachtwoord dat de hele deur opent, is dan een grover instrument dan je wilt. En zodra een laptop besmet raakt, komt die besmetting via dezelfde tunnel je netwerk in.

Wat zero trust in de praktijk betekent

Zero trust klinkt als een product, maar het is vooral een andere gewoonte: het netwerk vertrouwt niemand op grond van waar hij vandaan komt. Elke aanvraag wordt apart beoordeeld. Wie ben je, op welk apparaat werk je, en mag jouw rol bij dit ene systeem? De monteur krijgt de machine en verder niets. De boekhouder krijgt het boekhoudpakket en niet de map met personeelsdossiers.

In de praktijk betekent dat tweestapsverificatie op elke verbinding van buitenaf, toegangsregels die aan een rol hangen in plaats van aan een apparaat, en logging waarin je terugziet wie wanneer waar was. Iemand uit dienst zetten wordt dan een handeling van een halve minuut in plaats van een zoektocht langs vijf systemen. Je hoeft daarvoor niet alles tegelijk om te bouwen: we zetten de nieuwe laag naast wat er staat en verplaatsen groep voor groep.

Van inventarisatie naar werkende toegang

We beginnen met de saaie stap die meestal wordt overgeslagen: uitzoeken wie er nu eigenlijk binnenkomt. Welke accounts bestaan er, welke leveranciers hebben een ingang, welke apparaten staan open naar buiten. Die lijst is bijna altijd langer dan verwacht, en hij levert vrijwel zonder werk de eerste winst op, omdat er accounts tussen zitten die al jaren van niemand meer zijn.

Daarna richten we de toegang in en testen we met een kleine groep die er echt dagelijks mee werkt. Pas als het bij hen een week zonder gedoe draait, gaat de rest over en zetten we de oude weg dicht. Ligt het netwerk zelf er nog niet netjes bij, dan doen we dat eerst via Netwerkontwerp & installatie, want toegangsregels bovenop een onduidelijk netwerk zijn schijnzekerheid. Draadloze toegang voor gasten en eigen apparaten hoort bij Zakelijke wifi & site survey en pakken we in dezelfde ronde mee.

Waar het draait en wie het beheert

De onderdelen die we neerzetten, draaien op je eigen apparatuur of in onze beheerde omgevingen binnen de EU, en welke keuze het wordt, spreken we vooraf met je af. Je gegevens en je logbestanden blijven binnen de EU, en je bent de eigenaar van de configuratie.

Beheer kun je zelf doen. Je krijgt de accounts, de instellingen en een korte handleiding in gewoon Nederlands, zodat je zelf iemand kunt toevoegen of eruit kunt halen. Wil je het liever uitbesteden, dan doen we dat, maar het inzicht blijft bij jou: je kunt op elk moment zien wie er toegang heeft en die toegang zelf intrekken. Als een wens in onze ogen weinig oplevert of te duur uitvalt voor wat hij oplost, vertellen we je dat direct.