Auteur: Vlad Mihai, Expert Lead Security bij Conclusion Mission Critical

Geen enkele organisatie heeft identiteit volledig in de hand, en dat is het probleem. Toch koppelt iemand vol enthousiasme zomaar een AI-assistent aan SharePoint, zonder dat er bij stilgestaan wordt dat dit een aparte identiteit is.

Precies zo groeit de blinde vlek rond wie of wat toegang heeft tot de IT-omgeving, stapje voor stapje en onopgemerkt. Waar identiteit vroeger simpelweg een middel was om ergens bij te kunnen, is het inmiddels uitgegroeid tot een eigen domein binnen security. Dat domein is kwetsbaar, want in verkeerde handen wordt het de springplank naar Office 365, OneDrive, HR-systemen, cloudomgevingen en de browser vol opgeslagen wachtwoorden. Bij missiekritische organisaties reikt die springplank zelfs tot in de OT-systemen. Hoog tijd dus om te kijken hoe groot jouw blinde vlek daadwerkelijk is en wat je eraan kunt doen. 

Hoeveel admin-accounts heeft je organisatie eigenlijk, en wie heeft welke rechten in welke applicatie? De meeste organisaties hebben op die vraag geen scherp antwoord, en die onduidelijkheid groeit naarmate de organisatie groter wordt. Privilege creep is daar een goed voorbeeld van. Rechten uit een oude functie blijven gewoon staan wanneer iemand doorgroeit, waardoor de toegang ongemerkt breder wordt dan nodig. Dat dit niet opvalt, komt doordat netwerken en endpoints de meeste aandacht krijgen. Dat zijn belangrijke securitypijlers, maar het gevolg is wel dat identiteit een blinde vlek blijft. Bovendien leeft de riskante aanname dat het EDR-systeem vanzelf aan de bel trekt zodra het misgaat met identiteiten. Dat klopt deels, maar dan ben je vaak al te laat. Dankzij de zogeheten dwell time hebben kwaadwillenden zich meestal al toegang verschaft. Alerts blijven bovendien vaak uit zodra iemand eenmaal administratorrechten heeft bemachtigd, simpelweg omdat een admin nu eenmaal meer mag dan een gewone gebruiker. Je wordt je met andere woorden pas bewust van het probleem als het al te laat is.

Letterlijk levensgevaarlijk wordt deze blinde vlek binnen OT-omgevingen. Het idee is vaak dat OT door netwerksegmentatie losstaat van IT en niet aan internet hangt. Maar met een gekaapte IT-identiteit spring je toch relatief simpel naar OT-systemen over. En hier gaat het om fysieke installaties die als ze stilvallen of ontregeld raken impact kunnen hebben op mensenlevens. Zorg er daarom voor dat je goed begrijpt welke IT-identiteiten je gebruikt en hoe die zich verhouden tot je OT-systemen. Toegangswegen afsluiten vanuit identiteit, en niet alleen op netwerkniveau, dat is waar het uiteindelijk om draait.

Op papier is Zero Trust de oplossing, omdat het de impact van een gecompromitteerde identiteit beperkt zou houden. In de praktijk is de term echter uitgehold. Leveranciers plakken hem als keurmerk op hun oplossingen, en op LinkedIn claimt iedereen volgens Zero Trust te werken. Maar volledige implementatie van Zero Trust is onwerkbaar. Dat geldt al helemaal voor hybride omgevingen, waar systemen deels in de cloud en deels on-prem draaien, want om Zero Trust daar goed neer te zetten moet je je omgeving door en door kennen. Bouw je vanaf nul op, dan valt Zero Trust een stuk makkelijker in te bakken vanaf het begin. Maar dat scenario is zelden realistisch, en dus heeft geen enkele organisatie dit volledig op orde. De onderliggende principes zijn wat telt, niet Zero Trust als keurmerk.

Een perfecte afstelling bestaat niet als het gaat om veilig werken met identiteiten. Het blijft altijd een balans tussen veiligheid en werkbaarheid. Ook het andere uiterste, werken met losse accounts, is geen oplossing, want dat brengt eigen risico's met zich mee en is lastig te monitoren. Het draait er dus om de juiste concessies te doen, passend bij de risico's die bij jouw organisatie horen. Sterke monitoring is daarbij het startpunt. Wat heb ik allemaal draaien, en welke toegang verschaf ik daarmee tot mijn omgeving? Mensen zijn daarbij niet het enige aandachtspunt, want ook credentials, serviceaccounts en AI horen steeds vaker tot de groep identiteiten. Doorlopend toetsen en verifiëren wordt mogelijk zodra identiteit als primaire bron in je SIEM wordt opgenomen. Kwalitatieve kenmerken verdienen daarbij ook aandacht, zoals de locatie en het apparaat waarmee iemand inlogt. Een patroon als impossible travel is op die manier eenvoudig te detecteren, bijvoorbeeld wanneer hetzelfde account binnen enkele minuten vanaf twee continenten inlogt. Pas dan komen just-in-time access en just-enough-access binnen bereik, met toegang en rechten alleen op het moment dat ze nodig zijn. Zo breng je Zero Trust minimaal in de praktijk.

Overal zit identiteit doorheen verweven. Het is geen afgebakend systeem dat je even apart kunt zetten. Juist daardoor is het anno 2026 het grootste en aantrekkelijkste aanvalsoppervlak voor kwaadwillenden. Met elke nieuwe koppeling, zoals die AI-assistent in SharePoint, groeit dat aanvalsoppervlak verder. Eerlijkheid over waar je staat met identiteiten is dan ook het beste vertrekpunt. Volledige controle krijg je er nooit over, net zomin als honderd procent Zero Trust ooit haalbaar is. Zie dat onder ogen, en richt je monitoring in vanuit die waarheid. Perfect wordt het nooit, maar zo maak je van identiteit wél steeds minder een blinde vlek.