Welke beschrijving van toegangscontrole op basis van het idee van zero trust is juist?

Antwoord: A. Niemand wordt vertrouwd alleen omdat hij zich in het interne netwerk bevindt; bij elk verzoek worden de gebruiker en de toestand van het apparaat gecontroleerd en wordt alleen de minimaal nodige toegang toegestaan

De traditionele perimeterbeveiliging beschouwde het interne netwerk als een vertrouwde binnenkant en hield indringers aan de grens tegen. Doordat clouddiensten en thuiswerk wat beschermd moet worden tot buiten het bedrijf uitbreiden, en omdat een aanvaller die binnen de grens komt zich vrij kan bewegen, heeft het idee van zero trust, dat geen vertrouwen verleent op basis van de plaats in het netwerk, zich verspreid. In SP 800-207, gepubliceerd in 2020, heeft het Amerikaanse NIST principes vastgelegd zoals niet impliciet vertrouwen op basis van de plaats in het netwerk, toegang tot resources per verzoek verlenen en beslissen met dynamische beleidsregels op basis van onder meer de toestand van gebruikers en apparaten. Het wordt samengevat als „never trust, always verify” (nooit vertrouwen, altijd controleren).