Een zero trust architectuur voor een soevereine werkplek is een beveiligingsmodel waarbij geen enkele gebruiker, geen enkel apparaat en geen enkel netwerkpad standaard wordt vertrouwd, ongeacht of de verbinding van binnen of buiten de organisatie komt. Dit principe, geformaliseerd in NIST SP 800-207 (Zero Trust Architecture), staat haaks op het klassieke perimeterdenken waarbij een firewalled netwerk per definitie als veilig werd beschouwd.
Voor Europese overheidsorganisaties, advocatenkantoren en gereguleerde sectoren is zero trust inmiddels geen theoretische best practice meer: het is een operationele noodzaak die samenkomt met jurisdictionele risico’s van de CLOUD Act, toenemende ransomware-dreiging en de inwerkingtreding van de NIS-2-richtlijn.
Kernprincipes van zero trust zonder Amerikaanse cloudinfrastructuur
Zero trust rust op drie ononderhandelbare principes: verifieer altijd expliciet, gebruik het minimale bevoegdheidsniveau, en ga ervan uit dat een inbreuk heeft plaatsgevonden. Het essentiële verschil met traditionele architecturen is dat de identiteit van de gebruiker en de gezondheid van het apparaat worden geverifieerd bij elke toegangsaanvraag, niet eenmalig bij het inloggen op het netwerk.
De vraag die compliance officers en IT-beslissers stellen: kan dit zonder Microsoft Entra (voorheen Azure Active Directory) of Google Identity? Het antwoord is ja, maar het vereist een bewuste keuze voor een soeverein Policy Decision Point (PDP), het component dat toegangsbeslissingen neemt op basis van beleid, identiteit en context.
Open-source en Europese alternatieven voor identiteits- en toegangsbeheer
Keycloak, ontwikkeld door Red Hat en nu een zelfstandig open-source project onder de Cloud Native Computing Foundation, is de meest volwassen open-source identiteitsprovider voor enterprise-omgevingen. Keycloak ondersteunt OpenID Connect, OAuth 2.0 en SAML 2.0, biedt ingebouwde multi-factor authenticatie, en kan volledig on-premise of op een Europese soevereine cloud worden gehost. Als PDP integreert Keycloak met beleidsengines zoals Open Policy Agent (OPA) voor fine-grained autorisatie.
Andere opties zijn Authentik (Python-gebaseerd, eveneens open-source) en de Franse oplossing LemonLDAP::NG, die breed wordt ingezet bij Franse overheidsinstellingen. Voor organisaties die een volledig Europees gecertificeerde stack willen, biedt de catalogus van BSI-gecertificeerde producten aanknopingspunten.
“Zero trust is not a product or a service; it is a strategy and a framework that requires continuous verification of every user, device, and network flow.”
Scott Rose, lead auteur NIST SP 800-207, National Institute of Standards and Technology
Nextcloud als soevereine werkplek in een zero trust-model
Nextcloud is meer dan een alternatief voor SharePoint of Google Drive: het is een platform dat als Policy Enforcement Point kan fungeren wanneer het correct is geconfigureerd binnen een zero trust-omgeving. De integratie verloopt via drie lagen.
Microsegmentatie: Nextcloud-instanties worden op het netwerkniveau geïsoleerd via software-defined networking. Elk verzoek aan de Nextcloud-API passeert een PEP (bijvoorbeeld een reverse proxy met mTLS-verificatie) voordat het de applicatieserver bereikt.
Device health checks: Via de Nextcloud-app op werkstations en mobiele apparaten kan een apparaatcertificaat worden geverifieerd. In combinatie met Mobile Device Management (MDM)-oplossingen zoals Nextcloud MDM of een externe MDM die een attest levert aan Keycloak, kan toegang worden geweigerd als het apparaat niet voldoet aan de patching- of encryptievereisten.
Context-aware access control: Keycloak evalueert bij elke token-uitgifte de context: IP-regio, tijdstip, apparaatcertificaat en gebruikersrisiconiveau. Nextcloud ontvangt een JWT-token met scopes die bepalen welke mappen, features en deelfuncties beschikbaar zijn. Dit maakt het mogelijk om contractors uitsluitend toegang te geven tot een afgeschermd projectmap zonder dat zij de volledige instantie zien.
Statistiek: Volgens het Verizon Data Breach Investigations Report 2023 was bij 74 procent van alle datalekken een menselijke factor betrokken, waaronder gestolen of zwakke inloggegevens. Context-aware access control reduceert dit risico aanzienlijk omdat gestolen wachtwoorden zonder valide apparaatcertificaat en juiste context geen toegang verlenen.
NIS-2 en AVG: wat zero trust afdekt en wat niet
De NIS-2-richtlijn artikel 21 verplicht essentiële en belangrijke entiteiten tot het nemen van passende technische en organisatorische maatregelen. De richtlijn noemt expliciet: toegangscontrole, multi-factor authenticatie, encryptie, netwerksegmentatie en beleid voor beveiligde communicatie. Een correct geïmplementeerde zero trust architectuur vult al deze vereisten direct in.
“Operators of essential services must implement state-of-the-art technical and organisational measures proportionate to the risks posed, including access control and multi-factor authentication.”
ENISA, European Union Agency for Cybersecurity, toelichting op NIS-2-implementatie
De AVG vereist onder artikel 32 technische maatregelen die de vertrouwelijkheid, integriteit en beschikbaarheid van persoonsgegevens waarborgen. Zero trust draagt hieraan bij via least-privilege-toegang en continue logging, maar het is geen vervanging voor een DPIA, een verwerkingsregister of incidentmelding aan de Autoriteit Persoonsgegevens binnen 72 uur.
| Verplichting | Gedekt door zero trust | Aanvullende maatregel vereist |
|---|---|---|
| Toegangscontrole en MFA (NIS-2 art. 21) | Ja, via PDP/PEP en Keycloak MFA | Nee, mits volledig geïmplementeerd |
| Netwerksegmentatie (NIS-2 art. 21) | Gedeeltelijk, microsegmentatie | Aanvullende firewallregels en VLAN-beleid |
| Incidentmelding binnen 72 uur (NIS-2 art. 23) | Nee | Incident response procedure en SIEM |
| Verwerking persoonsgegevens (AVG art. 32) | Gedeeltelijk, encryptie en logging | DPIA, verwerkersovereenkomsten, retentiebeleid |
Statistiek: Meer dan 40 procent van de organisaties in de EU had in 2022 te maken met ten minste één significant cybersecurity-incident, aldus het ENISA Threat Landscape 2022. Zero trust vermindert de blast radius van succesvolle aanvallen door laterale beweging te beperken.
Post-kwantumcryptografie in een zero trust-architectuur
Zero trust leunt zwaar op cryptografie: TLS voor transportbeveiliging, JWT-tokens voor identiteitspropagatie en PKI voor apparaatcertificaten. Al deze mechanismen zijn kwetsbaar voor kwantumcomputers die het RSA- en elliptische-curve-algoritme kunnen breken via het algoritme van Shor.
NIST publiceerde in augustus 2024 de eerste definitieve post-kwantumstandaarden: FIPS 203 (ML-KEM, voorheen CRYSTALS-Kyber voor sleuteluitwisseling), FIPS 204 (ML-DSA, voor digitale handtekeningen) en FIPS 205 (SLH-DSA). Voor een soevereine zero trust-architectuur betekent dit concreet:
- TLS 1.3 moet worden uitgebreid met hybride sleuteluitwisseling (X25519 gecombineerd met ML-KEM) zodra bibliotheken als OpenSSL dit stabiel ondersteunen.
- Apparaatcertificaten in de PKI moeten worden hergegeven met ML-DSA-sleutels voor langlevende certificaten.
- Keycloak-token-signing moet worden gemigreerd naar post-kwantumbestendige algoritmen zodra de JOSE/JWA-standaarden dit formaliseren.
NIST SP 1800-35 (Implementing a Zero Trust Architecture) besteedt specifieke aandacht aan cryptografische agiliteit: de capaciteit om algoritmen te vervangen zonder de architectuur te herontwerpen. Dit is bij uitstek relevant voor organisaties die nu investeren in een soevereine zero trust-omgeving en over tien jaar geen volledige herbouw willen doorvoeren.
Valkuilen bij migratie vanuit Microsoft 365
Organisaties die vanuit Microsoft 365 vertrekken, stuiten op een specifiek patroon van implementatieproblemen dat verschilt van greenfield-implementaties.
Impliciete vertrouwensrelaties: In Microsoft 365 is Entra ID de impliciete identiteitsautoriteit voor alle diensten. Bij migratie worden deze relaties niet altijd volledig in kaart gebracht. Het gevolg is dat legacy-applicaties die via Entra-tokens communiceren, blijven werken op een “vertrouwde” manier die niet past binnen het nieuwe zero trust-model.
Conditionele toegang als schijnzekerheid: Microsoft Conditional Access lijkt op zero trust, maar is gebonden aan de Microsoft-perimeter. Organisaties die dit als referentie nemen, onderschatten het verschil met een identiteitsagnostisch PDP zoals Keycloak in combinatie met OPA.
Schaduw-IT tijdens de transitie: Wanneer Nextcloud nog niet alle workflows ondersteunt die gebruikers gewend zijn vanuit Teams of SharePoint, wijken medewerkers tijdelijk uit naar persoonlijke Dropbox-accounts of WhatsApp-groepen. Dit is het grootste operationele risico in de transitiefase en vereist een expliciete governancebeslissing over de tijdlijn en acceptabele tijdelijke tools.
Statistiek (kwalitatief): NIST SP 1800-35 identificeert “legacy identity dependencies” als een van de vijf meest voorkomende obstakels bij zero trust-implementaties in gevestigde organisaties.
Een gestructureerde aanpak begint met een volledige inventarisatie van service-accounts, API-koppelingen en OAuth-applicaties die zijn geregistreerd in Entra. Pas daarna kan een migratiepad worden uitgestippeld waarbij Keycloak stapsgewijs de rol van Entra overneemt, eerst voor nieuwe applicaties, dan voor gemigreerde bestaande diensten.
Veelgestelde vragen
Kan zero trust architectuur volledig worden geïmplementeerd zonder Microsoft Entra of Google Identity?
Ja. Open-source oplossingen zoals Keycloak bieden volledige functionaliteit als Policy Decision Point, inclusief OAuth 2.0, OpenID Connect, SAML en multi-factor authenticatie, zonder afhankelijkheid van Amerikaanse cloudproviders.
Voldoet een zero trust architectuur automatisch aan de NIS-2-richtlijn artikel 21?
Zero trust invult meerdere vereisten van artikel 21, zoals toegangscontrole, MFA en netwerksegmentatie, maar dekt niet alle verplichtingen af. Risicobeheer, incidentrapportage en bedrijfscontinuïteitsplannen vereisen aanvullende maatregelen.
Hoe snel worden huidige encryptieprotocollen kwetsbaar voor kwantumcomputers?
NIST en BSI schatten dat cryptografisch relevante kwantumcomputers binnen tien tot vijftien jaar operationeel kunnen zijn. NIST publiceerde in 2024 de eerste definitieve post-kwantumstandaarden (FIPS 203, 204 en 205) voor organisaties die nu al willen migreren.
Wat is het grootste praktische risico bij de overgang van Microsoft 365 naar een soevereine Nextcloud-werkplek?
Het grootste risico is het meenemen van onveilige gewoonten: gebruikers die tijdelijk terugvallen op persoonlijke cloudopslag of schaduw-IT inzetten omdat processen nog niet zijn aangepast. Governance en gebruikerstraining zijn daarom even belangrijk als de technische migratie.
Is een on-premise zero trust infrastructuur duurder dan een Microsoft 365-abonnement?
De initiële investeringskosten voor hardware en implementatie liggen hoger, maar op de middellange termijn (drie tot vijf jaar) zijn de totale eigendomskosten vergelijkbaar of lager, zeker wanneer compliance-boetes, datalekrisico’s en valutagebonden licentieverhogingen worden meegewogen.
