Zero-trust architectuur is een beveiligingsmodel waarbij geen enkel apparaat, gebruiker of netwerkverbinding standaard als vertrouwd wordt beschouwd, ongeacht of die zich binnen of buiten het bedrijfsnetwerk bevindt. Voor Europese organisaties die hun data willen losmaken van Amerikaanse cloudproviders, vormt dit model de technische ruggengraat van een aantoonbaar soevereine infrastructuur.
Van perimeterbeveiliging naar continue verificatie
Het klassieke beveiligingsmodel gaat uit van een vertrouwde binnenkant en een onbetrouwbare buitenkant: wie door de firewall komt, mag alles. Dat model werkt niet meer.
Traditionele perimeterbeveiliging veronderstelt dat iedereen op het interne netwerk betrouwbaar is. Die aanname is achterhaald zodra medewerkers thuiswerken, apparaten worden gestolen, of aanvallers via phishing toegang krijgen tot één account. Volgens het Verizon Data Breach Investigations Report 2023 speelden gestolen of zwakke inloggegevens bij 74% van alle datalekken een rol. Een aanvaller met geldige credentials beweegt in een traditioneel model vrijwel ongehinderd door het netwerk.
Zero-trust draait dit om: elke toegangspoging wordt geverifieerd op basis van identiteit, apparaatstatus, locatie en gedragscontext, ongeacht het netwerkpunt van waaruit de verbinding wordt gemaakt. Dit sluit nauw aan op de definitie in NIST SP 800-207 (Zero Trust Architecture), het toonaangevende referentiedocument dat de conceptuele basis en de zeven kernprincipes beschrijft.
“Zero trust is not a product or a service; it is a strategy and a framework that requires continuous verification of every user, device, and connection, regardless of network location.”
Scott Rose, hoofdauteur NIST SP 800-207, National Institute of Standards and Technology
Voor hybride werkplekken, waarbij medewerkers afwisselend op kantoor, thuis en onderweg werken, is dit model direct toepasbaar: het maakt niet uit waar iemand inlogt, de verificatielogica is identiek.
Waarom zero-trust past bij soevereine migraties
Organisaties die migreren van Microsoft 365 of Google Workspace naar een on-premise of Europese cloudoplossing verlaten tegelijk de beveiligingsperimeter van die platformaanbieder. Die perimeter verdwijnt, maar het beveiligingsniveau mag niet dalen.
Bij een migratie naar een zelfgehoste Nextcloud-werkplek of een hybride omgeving op Zwitserse servers ontstaat een duidelijke keuze: opnieuw een perimeter bouwen (met VPN en firewall) of een principieel ander model invoeren. Zero-trust is de tweede optie en de meest toekomstbestendige. Het model elimineert ook de afhankelijkheid van de identity- en access management (IAM) diensten van de vertrekkende leverancier, zoals Microsoft Entra ID (voorheen Azure AD).
Implementatie: IAM, microsegmentatie en least privilege zonder Amerikaanse lock-in
Zero-trust valt uiteen in drie technische pijlers die elk zelfstandig kunnen worden geïmplementeerd met open-source of Europese tooling.
Identiteitsverificatie met Keycloak
Keycloak is een open-source IAM-platform, oorspronkelijk ontwikkeld door Red Hat, dat volledig on-premise kan draaien. Het ondersteunt SAML 2.0, OpenID Connect en LDAP, en kan worden geconfigureerd als centrale identity provider voor Nextcloud, interne applicaties en VPN-authenticatie. Keycloak biedt ingebouwde ondersteuning voor meervoudige authenticatie (MFA) en hardware security keys (FIDO2/WebAuthn), twee mechanismen die essentieel zijn in een zero-trust beleid. Er is geen afhankelijkheid van Amerikaanse diensten: alle authenticatiedata blijft binnen de eigen infrastructuur.
Netwerksegmentatie met OpenZiti
OpenZiti is een open-source framework voor zero-trust netwerkoverlap (overlay networking). Het creëert versleutelde, identiteitsgebonden verbindingen tussen specifieke applicaties en gebruikers, zonder dat een breed netwerkpad beschikbaar hoeft te zijn. In de praktijk betekent dit dat een medewerker verbinding maakt met alleen de applicaties waarvoor die persoon is geautoriseerd, en niet met het bredere interne netwerk. Dit is de technische invulling van microsegmentatie: elk segment heeft zijn eigen toegangsbeleid. De ENISA Threat Landscape 2023 stelt dat bij meer dan 60% van de ransomware-aanvallen laterale beweging mogelijk was door het ontbreken van effectieve netwerksegmentatie.
Least privilege als beleidsbeginsel
Least privilege houdt in dat elke gebruiker, elk serviceaccount en elk systeem uitsluitend de minimale rechten krijgt die nodig zijn voor de specifieke taak. In een Nextcloud-omgeving vertaalt dit zich naar gedetailleerde maprechten, tijdgebonden deellinks, en rolgebaseerde toegangscontrole (RBAC). In combinatie met Keycloak kunnen rollen dynamisch worden toegewezen op basis van groepslidmaatschap, apparaatstatus en tijdvensters.
| Beveiligingslaag | Traditioneel model | Zero-trust model (soeverein) |
|---|---|---|
| Identiteit | Eenmalige login, breed netwerktoegang | Continue verificatie via Keycloak, MFA, FIDO2 |
| Netwerktoegang | VPN geeft toegang tot geheel intern netwerk | OpenZiti: verbinding alleen naar specifieke app |
| Rechten | Brede lees/schrijfrechten per afdeling | RBAC met least privilege, tijdgebonden sessies |
| Thuiswerkers | Verhoogd risico door perimeterverlies | Zelfde beleid als op kantoor, locatieonafhankelijk |
Aansluiting op NIS-2 en de Cyberbeveiligingswet
NIS-2 en de Cyberbeveiligingswet stellen concrete eisen aan beveiligingsmaatregelen voor essentiële en belangrijke entiteiten. Zero-trust is niet wettelijk verplicht bij naam, maar dekt de relevante artikelen nauwkeurig af.
NIS-2 Richtlijn artikel 21 verplicht organisaties tot technische en organisatorische maatregelen op het gebied van toegangscontrole, netwerksegmentatie, authenticatiebeheer en het beperken van de impact van incidenten. Cyberbeveiligingswet (Cbw) artikel 19, de Nederlandse implementatiewet, werkt deze plicht verder uit en verbindt er handhavings- en meldplichten aan. Een zero-trust architectuur met aantoonbare toegangslogboeken, continue verificatie en gesegmenteerde netwerken biedt compliance officers directe aansluiting op beide bepalingen.
“Organisaties in kritieke sectoren moeten aantonen dat zij technische en organisatorische maatregelen treffen die proportioneel zijn aan de risico’s, inclusief toegangscontrole en netwerksegmentatie.”
NCSC, toelichting op de implementatie van de NIS-2-richtlijn in Nederland
Het aanvullende document NIST SP 800-207A biedt implementatierichtlijnen die specifiek gericht zijn op enterprise-omgevingen met meerdere eigenaarsconstructies, zoals hybride overheids- en semipublieke instellingen. Dit document is nuttig als referentie bij het onderbouwen van architectuurkeuzes tegenover toezichthouders.
Post-kwantumveilige authenticatie in een zero-trust omgeving
Zero-trust bouwt op cryptografische verificatie: certificaten, tokens en sleuteluitwisseling. Dat is tegelijk een kwetsbaarheid wanneer kwantumcomputers de huidige RSA- en ECDSA-algoritmen kunnen kraken. De oplossing is het vervangen van deze algoritmen door post-kwantumveilige varianten.
NIST heeft in 2024 drie post-kwantumveilige standaarden gepubliceerd: CRYSTALS-Kyber (nu ML-KEM) voor sleuteluitwisseling, CRYSTALS-Dilithium (ML-DSA) voor digitale handtekeningen, en SPHINCS+ (SLH-DSA) als alternatief. Deze algoritmen kunnen worden ingezet in de authenticatielaag van Keycloak en in de TLS-verbindingen van OpenZiti, zodat sessies ook bestand zijn tegen toekomstige kwantumcomputers.
De combinatie van zero-trust (continue verificatie) met post-kwantumcryptografie (toekomstvaste sleutels) vormt een architectuur die zowel huidige als toekomstige aanvalsvectoren adresseert, zonder afhankelijkheid van Amerikaanse cloudplatforms voor de cryptografische infrastructuur.
Naar schatting bedragen de gemiddelde kosten van een datalek wereldwijd USD 4,45 miljoen (IBM Cost of a Data Breach Report 2023), een getal dat de businesscase voor preventieve architectuurinvesteringen concreet maakt tegenover het bestuur en de raad van bestuur.
Praktische stappenlogica voor compliance officers en IT-beslissers
Een succesvolle zero-trust migratie verloopt in fasen. Inventariseer eerst alle identiteiten: gebruikers, serviceaccounts en apparaten. Vervang daarna de centrale identity provider door Keycloak, inclusief MFA-afdwinging. Segmenteer vervolgens het netwerk met OpenZiti of vergelijkbare tooling, zodat elke applicatie een eigen toegangspad heeft. Stel daarna least-privilege-beleid in per rol en per datapakket. Zorg ten slotte voor continue logging en monitoring, zodat afwijkend gedrag direct detecteerbaar is: dit is ook wat NIS-2 artikel 21 sub (f) vereist op het gebied van detectie en incidentrespons.
Organisaties in de juridische sector, de overheid en gereguleerde sectoren zoals de financiële dienstverlening hebben extra reden om dit model te combineren met soevereine dataopslag, omdat de CLOUD Act en de Patriot Act Amerikaanse providers kunnen verplichten data te overhandigen aan Amerikaanse autoriteiten, zelfs wanneer die data fysiek in Europa is opgeslagen. Een volledig on-premise of Zwitsers gehoste infrastructuur met zero-trust toegangscontrole elimineert deze jurisdictionele blootstelling structureel.
Veelgestelde vragen
Wat betekent zero-trust concreet voor een organisatie die wil migreren van Microsoft 365 naar Nextcloud?
Bij zo’n migratie vervangt zero-trust het vertrouwen in de Microsoft-netwerkperimeter door continue verificatie van elke gebruiker en elk apparaat. Dat betekent: een zelfgehoste identity provider zoals Keycloak, apparaatcertificaten, MFA en netwerksegmentatie, zodat ook een gecompromitteerd account geen toegang heeft tot alle data tegelijk.
Is zero-trust architectuur verplicht onder NIS-2 of de Cyberbeveiligingswet?
De term wordt niet letterlijk genoemd, maar NIS-2 artikel 21 en Cyberbeveiligingswet artikel 19 verplichten essentiële en belangrijke entiteiten tot toegangscontrole, netwerksegmentatie en continue risicobeheersing. Een zero-trust model is de meest directe manier om aan deze eisen te voldoen en deze aantoonbaar te maken tegenover toezichthouders.
Welke Europese of open-source alternatieven zijn er voor Microsoft Entra ID als identity provider?
Keycloak is de meest volwassen keuze en ondersteunt SAML, OpenID Connect en LDAP. Het draait volledig on-premise of in een Europese privécloud, zodat er geen authenticatiedata wordt gedeeld met Amerikaanse diensten. Alternatieven zijn Authentik en Zitadel, beide open-source en zelfhostbaar.
Hoe beschermt zero-trust tegen ransomware?
Microsegmentatie voorkomt dat ransomware lateraal door het netwerk beweegt nadat één systeem is gecompromitteerd. Least-privilege-beleid beperkt welke bestanden een gebruiker of proces kan bereiken en overschrijven, wat de schade bij een aanval sterk inperkt. Dit is ook de reden dat ENISA microsegmentatie expliciet noemt als mitigerende maatregel tegen ransomware.
Hoe combineer je zero-trust met post-kwantumveilige cryptografie?
Post-kwantumveilige algoritmen zoals ML-KEM (voor sleuteluitwisseling) en ML-DSA (voor digitale handtekeningen), gestandaardiseerd door NIST in 2024, kunnen worden ingezet als vervanging voor RSA en ECDSA in de authenticatielaag van een zero-trust architectuur. Zo zijn ook toekomstige kwantumcomputers niet in staat om sessies te onderscheppen of verificaties te vervalsen.
