Zero Trust uitgelegd voor kleine bedrijven en websites

Zero trust is een werkwijze, geen product: u vertrouwt geen enkele inlog, apparaat of persoon automatisch en toetst elke toegang aan wat die persoon echt nodig heeft. Voor een klein bedrijf komt dat neer op een paar gewoonten: aparte accounts, minimale rechten, meerstapsverificatie, geheimen die u kunt vervangen en een vaste routine als iemand vertrekt. Daar hebt u geen groot budget voor nodig.

Wat is zero trust in gewone woorden?

Het oude beveiligingsmodel was een kasteel: een sterke muur om het kantoornetwerk en iedereen binnen de muur wordt vertrouwd. Dat werkt niet meer als uw website bij een hoster in het buitenland draait, uw team thuiswerkt en uw freelancer inlogt vanaf een laptop die u nooit hebt gezien.

Zero trust laat het kasteel los. Het gaat ervan uit dat elk account gestolen kan worden en elk apparaat besmet kan raken, dus elke toegang moet zich bewijzen. Er zitten drie vragen achter: wie is dit echt, wat heeft deze persoon nodig, en wat gebeurt er als dit account in verkeerde handen valt?

Vooral die laatste vraag is nuttig. U probeert niet te garanderen dat er nooit iets misgaat. U beperkt hoe ver één gestolen wachtwoord kan komen.

Is zero trust een product dat u kunt kopen?

Nee. Leveranciers verkopen tools die helpen, maar het resultaat koopt u niet. Een firewall met het label “zero trust” helpt niet als vijf mensen hetzelfde beheerderswachtwoord gebruiken.

Hulpmiddelen zoals een wachtwoordmanager of authenticator-app ondersteunen dit. Maar de keuze wie waar bij mag, blijft aan u.

Hoe past u zero trust toe op de website van uw bedrijf?

Zie uw site als een gebouw met meerdere deuren: het hostingpaneel, het CMS-beheer, de database, FTP of SSH, uw domeinregistrar, uw e-mail en eventuele koppelingen met betaal- of nieuwsbrieftools. Zero trust vraagt u elke deur te bekijken. Met deze vijf principes dekt u het meeste af.

1. Eén persoon, één account. Geen gedeelde logins, zodat u ziet wie wat deed en één persoon kunt verwijderen zonder alles te wijzigen.
2. Minimale rechten. Een blogschrijver hoeft geen plugins te installeren. Een freelancer die pagina’s ontwerpt, heeft geen hostingtoegang nodig.
3. MFA overal waar het kan. Begin bij e-mail, hosting, domein en CMS-beheer.
4. Geheimen die u kunt vervangen. Wachtwoorden, API-sleutels en tokens moeten te vervangen zijn zonder crisis.
5. Kijken en opruimen. Houd logs bij, controleer accounts en sluit toegang als een opdracht klaar is.

Hoe ziet “minimale rechten” er in de praktijk uit?

Neem de freelancer die uw site twee jaar geleden bouwde. Het project was klaar, de factuur betaald en niemand verwijderde het beheerdersaccount. Die inlog werkt vandaag nog steeds, vanaf een laptop die u niet beheert, met een wachtwoord dat hij in 2023 koos.

Er hoeft niets mis te zijn met de freelancer om hier een probleem van te maken. Wordt zijn e-mail gehackt, dan erft de aanvaller volledige toegang tot uw site. De oplossing kost vijf minuten: verlaag of verwijder het account en geef toegang pas weer als er een nieuwe opdracht is.

Hetzelfde geldt voor uw eigen account. Schrijft u blogberichten met een beheerdersaccount, dan geeft één phishingklik terwijl u ingelogd bent alles weg. Een apart beheerdersaccount, alleen voor beheertaken, verkleint dat risico.

Waarom zijn gedeelde logins zo'n probleem?

Stel u het hostingwachtwoord voor dat in een oude e-mailketen staat: “Hierbij de gegevens van de server, bewaar ze goed.” Drie mensen hebben het, een van hen is vertrokken en de mailbox is doorzoekbaar voor iedereen die in dat account komt.

Een gedeelde inlog breekt drie dingen tegelijk. U ziet niet wie een wijziging deed. U kunt niemand verwijderen zonder het wachtwoord voor iedereen te wijzigen. En het wachtwoord is meestal verstuurd op een manier die een blijvende kopie achterlaat.

• Geef iedereen een persoonlijk account in plaats van één gedeelde inlog.
• Bewaar gedeelde geheimen in een wachtwoordmanager met deelfunctie, niet in e-mail of chat.
• Wijzig elk wachtwoord dat ooit per e-mail is verstuurd.
• Gebruik een apart e-mailadres voor beheer, niet uw gewone inbox.

Hoe gaat u om met API-sleutels en andere geheimen?

Een API-sleutel is een wachtwoord voor software: uw betaalprovider, nieuwsbriefdienst of kaartenservice. Sleutels belanden vaak in themabestanden, schermafbeeldingen of code-repositories, waar ze jarenlang blijven staan.

Pas dezelfde logica toe. Geef elke sleutel de kleinste set rechten die hij nodig heeft, houd hem uit gedeelde code en weet waar hij wordt gebruikt, zodat u hem snel kunt vervangen. Weet u niet welke sleutels er zijn, dan kunt u ze ook niet vernieuwen als iemand vertrekt.

Wat moet er gebeuren als iemand vertrekt?

Bij vertrek bewijst zero trust zijn waarde. Mensen gaan op goede voet weg en houden toch toegang, simpelweg omdat niemand heeft opgeschreven waar ze die hadden.

Houd een korte lijst bij van wie waar bij kan: hosting, domein, CMS, statistieken, e-mail, betaaltools, coderepository. Verwijder of wijzig elk onderdeel dezelfde dag dat iemand vertrekt. Vervang gedeelde zaken, zoals het databasewachtwoord of een API-sleutel.

Waarom zijn logs en controles belangrijk?

“Altijd controleren” werkt alleen als u kunt zien wat er gebeurt. Logs leggen inlogpogingen, mislukte pogingen, nieuwe gebruikers en bestandswijzigingen vast. Zonder logs lijkt een inbraak precies op een rustige week.

U hoeft logs niet dagelijks te lezen. Zet ze aan, bewaar ze een redelijke tijd en stel meldingen in voor wat telt, zoals een nieuwe beheerder of een inlog vanaf een ongebruikelijke plek. Loop elk kwartaal de accountlijst na en verwijder wat niemand kan uitleggen.

Vindt u een account of bestand dat u niet kunt verklaren, neem het dan serieus. Onze uitleg over wat u het eerste uur na een hack moet doen geeft de stappen, en op de pagina over het herstellen van een gehackte website leest u hoe wij dat aanpakken.

Waar begint u, en wat kunnen wij voor u doen?

Begin met een audit van een half uur. Maak een lijst van elk account dat uw site kan wijzigen, zet MFA aan op de belangrijkste, verwijder wat ongebruikt is en zet wachtwoorden in een manager. Dat brengt u al voorbij de meeste kleine bedrijven. Meer gewoonten die hierbij passen vindt u in zeven eenvoudige maatregelen voor cybersecurity.

Wij kunnen die controle voor u doen. Wij herstellen en beveiligen websites op afstand, met een gratis diagnose, een vaste prijs vooraf en een back-up vóór elke wijziging. Onze onderhoudsplannen voor websites automatiseren het routinewerk, zoals dagelijkse off-site back-ups, beveiligingsscans en updates met terugdraaien. De keuze wie toegang krijgt blijft de uwe, dus we beloven niet dat elke aanval wordt voorkomen. Eerst een vraag? Neem contact op.