Zero trust is een van de meest gebruikte beveiligingsmodellen binnen ondernemingen. Organisaties investeren fors in identiteitssystemen, toegangsbeleid en moderne beveiligingstools. Op papier lijken deze omgevingen goed beschermd, maar in de praktijk blijkt vaak iets anders. Tijdens incidenten komt regelmatig de vraag naar voren hoe het verkeer überhaupt door de beveiliging heen kon komen. Het antwoord ligt vaak in het inconsistent afdwingen van beveiliging op het verkeersniveau.

Zero trust berust op het principe 'nooit vertrouwen, altijd verifiëren'. In de praktijk ligt de focus vooral op identiteit: gebruikers authenticeren, apparaten worden gevalideerd en toegang wordt bepaald door beleid. Wat vaak over het hoofd wordt gezien, is hoe het netwerkverkeer binnenkomt en zich verplaatst voordat deze controles worden toegepast. Het verkeersniveau omvat onder andere toegangswegen, load balancers, API-gateways, TLS-handhaving, verzoekvalidatie en communicatie tussen diensten. Hier wordt vertrouwen vaak aangenomen of onterecht toegekend.

In veel organisaties ontstaan deze kwetsbaarheden niet door een gebrek aan tools, maar door onduidelijke verantwoordelijkheden tussen netwerk-, beveiligings- en applicatieteams. Een veelvoorkomend patroon is dat sterke identiteitstoepassingen gecombineerd worden met te permissieve toegangspunten. Zo worden moderne identity providers en multi-factor authenticatie ingezet, terwijl aan de rand van het netwerk nog verouderde TLS-versies of zwakke cipherconfiguraties worden toegestaan. Het advies van het National Institute of Standards and Technology over veilige protocolbaselines wordt hierbij vaak niet volledig gevolgd.

Daarnaast is er vaak sprake van gefragmenteerde toegangspunten. Applicaties zijn via verschillende routes bereikbaar, zoals CDN's, directe load balancers, legacy endpoints of nieuwe API's, die elk net iets anders functioneren. Mutual TLS wordt regelmatig slechts gedeeltelijk toegepast, waarbij verbindingen intern worden beëindigd en opnieuw opgezet met minder strenge beveiliging. Ook het zogenaamde east-west verkeer binnen het netwerk wordt vaak als veilig beschouwd, terwijl dit juist een kwetsbare schakel is. Tot slot ontbreekt het vaak aan voldoende zichtbaarheid, waardoor tijdens incidenten niet duidelijk is welke route een verzoek heeft afgelegd. Veel van deze problemen sluiten aan bij patronen die OWASP beschrijft.

Beveiligingsprogramma's slagen er vaak in om beleid te definiëren, maar worstelen met de consistente handhaving ervan. Het verkeersniveau is de plek waar handhaving daadwerkelijk plaatsvindt. Dit is geen probleem van tooling, maar een architectuurvraagstuk. De principes van de Cloud Security Alliance benadrukken het belang van controles bij de toegangspunten.

Organisaties die succesvol zijn, behandelen het verkeersniveau als het primaire punt van handhaving. Ze standaardiseren toegangswegen, handhaven strikte TLS-baselines en elimineren legacy uitzonderingen. Ze definiëren duidelijke regels voor mutual TLS en zorgen dat vertrouwen continu wordt gevalideerd. Verzoeken worden genormaliseerd en gevalideerd voordat de applicatielogica wordt toegepast. Ook implementeren ze consistente telemetrie zodat beveiligingsteams verzoeken van begin tot eind kunnen traceren.

Zero trust wordt vaak omschreven als een verandering in mindset. Dat klopt, maar alleen een mindset is niet voldoende om systemen te beveiligen. Beveiliging draait om handhaving, en die begint bij de manier waarop netwerkverkeer wordt behandeld. Daarom falen de meeste zero-trust architecturen op het verkeersniveau.