Cybersecurity in een wereld zonder vaste werkplek

^“Vroeger keek men vooral naar waar iemand zich bevond. Kon je verbinden vanuit een bepaalde locatie, dan werd je vertrouwd. Vandaag is dat echter niet meer genoeg,” zegt Kameliya Stoeva, Identity and Access Management Programme Manager bij KBC, en een van de covoorzitters van de focusgroep Identiteits- en Toegangsbeheer bij de Belgische Cyber Security Coalition. “Het gaat niet langer alleen om de plaats van waaruit iemand inlogt, maar vooral om wie die persoon is. Identiteit wordt de kern van beveiliging.”

Van netwerkperimeter naar identiteit

Die verschuiving is volgens Roel Peeters een structurele verandering. Peeters is Authentication Technology Architect bij itsme: “Typisch keek je naar je werknemers en hoe die inloggen, en hoe je hun access management organiseert, terwijl het eigenlijk veel breder is. Je hebt ook organisaties die miljoenen klanten en communities beheren. Dat is consumer IAM: itsme is daar een goed voorbeeld van.”

Tussen workforce IAM en consumer IAM bestaan heel wat tussenvormen. Leveranciers, partners of subcontractors hebben vaak beperkte toegang nodig tot systemen. In al die gevallen geldt hetzelfde: de klassieke bedrijfsperimeter verdwijnt. “Vroeger had je je eigen servers en applicaties binnen het bedrijf,” zegt Peeters, die tevens zetelt als expert bij de Cyber Security Coalition. “Vandaag zit veel in de cloud, werk je met SaaS-oplossingen en werken mensen van overal.

Zero Trust 

Die nieuwe realiteit sluit naadloos aan bij het Zero Trust-principe. “Zero Trust gaat ervan uit dat niets en niemand standaard vertrouwd wordt,” legt Stoeva uit. “Beveiliging begint met het centraliseren van identiteiten: één systeem waarin alle gebruikers, accounts en toegangsrechten beheerd worden. Van daaruit kan je multifactor-authenticatie invoeren, rollen en rechten strak afbakenen en continu monitoren wat gebruikers doen.”

Een belangrijk uitgangspunt daarbij is ‘least privilege access’: gebruikers krijgen enkel toegang tot wat ze strikt nodig hebben om hun werk te doen. Peeters ziet in de praktijk vaak het omgekeerde. “Wat je ziet, is dat mensen die al jaren in een organisatie werken en verschillende functies hebben gehad, hun rechten blijven meenemen. Dat vergroot het risico enorm als hun credentials gecompromitteerd raken.” Door centraal identiteitsbeheer te combineren met Single Sign-On (SSO) en sterke multifactor-authenticatie (MFA), wordt de aanvalsvector kleiner. “Je authentificeert je één keer en krijgt daarna toegang tot meerdere applicaties met bepaalde rechten gelinkt aan jouw rol.”

Veiligheid versus gebruiksgemak

Toch is technologie maar één deel van het verhaal. De echte uitdaging ligt in de balans tussen veiligheid en gebruiksvriendelijkheid. “MFA moet eenvoudig zijn als je de gebruiker aan boord wil houden,” benadrukt Peeters. “Je kan iemand niet elke drie seconden opnieuw laten inloggen.”

Daar ligt volgens woordvoerster Hannah Cloetens precies de kern van hun aanpak bij itsme. “Wij gaan over identiteitsdata. We kunnen het ons niet permitteren om niet aan de hoogste veiligheidsnormen te voldoen. Maar tegelijk moet die app werken voor iedereen. Voor jonge mensen, oudere mensen, en ook mensen die digitaal minder sterk staan.” Die inclusieve aanpak is geen luxe. Onderzoek van de Koning Boudewijnstichting toont aan dat 40% van de Belgische bevolking digitaal kwetsbaar is. “Als je weet dat wij vandaag 90% van de actieve Belgische bevolking bereiken, dan weet je dat we ook een groot stuk van die digitale zwakkere groep meenemen,” zegt ze. 

Sterke authenticatie hoeft dus niet complex te zijn. Biometrie, zoals vingerafdruk of gezichtsherkenning, vervangt steeds vaker het klassieke wachtwoord. Dat is geen luxe, benadrukt Stoeva: “Ongeveer 90% van de cyberaanvallen start vandaag met het kraken van wachtwoorden. Daarom zien we een duidelijke verschuiving naar biometrie en andere vormen van sterke authenticatie.”

Meer dan menselijke gebruikers

Identiteit beperkt zich bovendien niet tot werknemers of klanten. “Er bestaan ook technische identiteiten, serviceaccounts en geautomatiseerde processen,” zegt Stoeva. “Die worden vaak over het hoofd gezien, terwijl ze net gevoelig zijn.” Daarom wordt Privileged Access Management steeds belangrijker. Door ook geprivilegieerde accounts en niet-menselijke identiteiten centraal te beheren en te monitoren, kunnen organisaties misbruik sneller detecteren en beperken. 

Het illustreert hoe cybersecurity vandaag werkt: niet door één grote muur rond het netwerk te bouwen, maar door slimme, gelaagde controles rond identiteit, context en gedrag te organiseren. Ze vat samen: “Organisaties lijken misschien kwetsbaarder omdat alles van overal toegankelijk is. Maar dankzij centralisatie van identiteiten, sterke authenticatie en continue monitoring beschikken ze over krachtigere middelen dan ooit om zich te beschermen.” •