Zero Trust Network Access (ZTNA): wat het is en waarom het VPN vervangt
Volgens het Kaseya State of the MSP-rapport uit 2026 biedt 55% van de MSP’s identiteits- en toegangsbeheer als dienst aan, waardoor ZTNA en dit alternatief voor op VPN gebaseerde externe toegang een steeds centralere rol gaan spelen in het dienstenaanbod van MSP’s . Download het volledige rapport.
VPN is al meer dan twee decennia de standaardtechnologie voor toegang op afstand. Het creëert een versleutelde tunnel tussen een apparaat op afstand en het bedrijfsnetwerk, waardoor de gebruiker op afstand zich logisch gezien ‘binnen’ de perimeter bevindt. In het netwerkmodel van de jaren negentig en 2000 was dit een redelijke manier om betrouwbare toegang te verlenen aan gebruikers op afstand.
Het probleem is dat het model niet goed verouderd is. Een VPN biedt toegang op netwerkniveau, niet op applicatieniveau. Een gebruiker die via een VPN is verbonden, heeft in principe hetzelfde netwerkbereik als iemand die fysiek op kantoor zit, wat betekent dat een gecompromitteerd apparaat met een actieve VPN-sessie een aanvaller toegang op netwerkniveau tot de bedrijfsomgeving verschaft. Van daaruit is laterale beweging een fluitje van een cent. Het bereik van één gestolen inloggegeven omvat het gehele netwerk.
Zero Trust Network Access (ZTNA) pakt dit probleem rechtstreeks aan door toegang op netwerkniveau te vervangen door toegang op applicatieniveau, die continu wordt toegepast op basis van geverifieerde identiteit en de status van het apparaat. Als u meer wilt weten over het bredere kader waarbinnen dit past, raadpleeg dan onze gids over Zero Trust-beveiliging als architectuur. Dit artikel richt zich op de netwerktoegangslaag: hoe ZTNA werkt, hoe het zich verhoudt tot VPN, hoe het verband houdt met SASE en hoe MSP’s het kunnen implementeren.
VPN vervangen door Zero Trust-netwerktoegang
Kaseya Secure Edge biedt toegangscontrole op applicatieniveau met continue identiteitsverificatie en handhaving van de apparaatstatus via SafeCheck, waardoor het risico op laterale beweging dat VPN in clientomgevingen met zich meebrengt, wordt geëlimineerd.
Wat is ZTNA?
ZTNA is een beveiligingsraamwerk dat gebruikers toegang verleent tot specifieke applicaties en diensten – en niet tot het netwerk – op basis van voortdurende verificatie van hun identiteit, de status van hun apparaat en de context. De gebruiker maakt nooit ‘verbinding met het netwerk’ in de traditionele VPN-zin van het woord. Hij of zij authenticeert zich bij het ZTNA-systeem, dat de identiteit en de conformiteitsstatus van het apparaat controleert, waarna de verbinding uitsluitend wordt doorgestuurd naar de specifieke applicatie die de gebruiker nodig heeft, en verder niets.
Dit model op applicatieniveau implementeert het Zero Trust-principe van minimale rechten op het niveau van de netwerktoegang: gebruikers hebben alleen toegang tot de applicaties waarvoor ze bevoegd zijn, en die bevoegdheid wordt voortdurend opnieuw beoordeeld op basis van de context.
Het concept van ZTNA bestaat al sinds ongeveer 2010, maar de eerste implementaties waren complex en duur. Dankzij moderne, cloudgebaseerde ZTNA-platforms is het model nu ook toegankelijk geworden voor kleine en middelgrote bedrijven, en niet langer voorbehouden aan grote ondernemingen met omvangrijke beveiligingsteams.
Hoe ZTNA werkt
Een typische ZTNA-architectuur werkt via drie componenten die achtereenvolgens worden uitgevoerd.
Identiteitscontrole. De gebruiker meldt zich aan bij de ZTNA-dienst, doorgaans met MFA, waarna de dienst zijn identiteit controleert aan de hand van de identiteitsprovider van het bedrijf. Deze stap stelt vast wie toegang aanvraagt.
Beoordeling van de apparaatstatus. De ZTNA-agent op het apparaat controleert of het endpoints voldoet aan het beveiligingsbeleid: besturingssysteem binnen een bepaald tijdsbestek gepatcht, EDR-agent actief, schijf versleuteld, schermvergrendeling ingeschakeld. Apparaten die de statuscontrole niet doorstaan, krijgen geen toegang of beperkte toegang, afhankelijk van de beleidsconfiguratie. Datto Secure Edge dit via SafeCheck, een continue controle van de apparaatstatus die is geïntegreerd met Datto RMM. Wanneer zowel Datto RMM als Secure Edge geïmplementeerd, controleert SafeCheck of endpointsen voldoen aan de patchstatus- en antivirusvereisten voordat ze verbinding mogen maken. Apparaten die de controle niet doorstaan, krijgen geen toegang totdat ze aan het beleid voldoen, met een configureerbare respijtperiode voor de patchstatus om scenario's te dekken zoals een apparaat dat een weekend offline was.
Applicatieproxy. Zodra de identiteit en de status van het apparaat zijn geverifieerd, leidt de ZTNA-dienst de verbinding van de gebruiker door naar de specifieke applicatie waartoe hij toegang heeft. De gebruiker heeft nooit een directe netwerkverbinding met applicaties waarvoor hij geen toestemming heeft, en heeft nooit toegang op netwerkniveau tot de bredere omgeving.
Deze architectuur beperkt laterale bewegingen op een concrete manier. Een aanvaller die een apparaat met een actieve ZTNA-sessie compromitteert, heeft alleen toegang tot de specifieke applicaties waarvoor die gebruiker toestemming had, en niet tot het volledige netwerk achter de VPN-tunnel.
—
ZTNA versus VPN: de belangrijkste verschillen
In de onderstaande tabel worden de operationele verschillen weergegeven die van belang zijn voor MSP’s die de overgang overwegen.
| VPN | ZTNA | |
|---|---|---|
| Toegangsmodel | Op netwerkniveau | Op applicatieniveau |
| Veronderstelling van vertrouwen | Eenmaal verbonden, is het betrouwbaar | Voortdurend opnieuw gecontroleerd |
| Risico op zijwaartse beweging | Hoog; er is ruime toegang tot het netwerk | Minimaal; toegang wordt per aanvraag verleend |
| Handhaving van apparaatconfiguraties | Meestal beperkt of handmatig | Continu en op beleid gebaseerd |
| Gebruikerservaring | Vaak traag, vereist handmatige verbinding | Snel, kan continu actief zijn en transparant zijn |
| Ondersteuning voor cloud en SaaS | Slecht; het verkeer wordt via het bedrijfsnetwerk geleid | Inheems; kan cloudverkeer optimaal sturen |
| Schaalbaarheid | Complex en hardware-afhankelijk | Cloud-native modellen zijn eenvoudig schaalbaar |
Het verbeteren van de gebruikerservaring verdient meer aandacht dan het doorgaans krijgt. VPN is een voortdurende bron van klachten van eindgebruikers: trage verbindingen, verbroken sessies en de noodzaak om handmatig verbinding te maken voordat ze toegang krijgen tot applicaties. ZTNA-architecturen die zijn geconfigureerd als ‘always-on’ bieden betere prestaties en nemen de verbindingsproblemen weg die gebruikers ertoe aanzetten hun toevlucht te nemen tot schaduw-IT-oplossingen.
Een MSP die herhaaldelijk helpdesktickets heeft ontvangen over de prestaties van VPN, ziet dit onmiddellijk als een kwestie van servicekwaliteit, en niet alleen als een veiligheidskwestie. Door VPN te vervangen door Datto Secure Edge wordt een terugkerende categorie tickets weggenomen, terwijl tegelijkertijd de beveiligingspositie van de klant wordt verbeterd.
SASE en ZTNA: hoe deze twee met elkaar verband houden
SASE (Secure Access Service Edge) is een bredere architectuur die netwerkbeveiligingsfuncties samenbrengt in één enkele, via de cloud geleverde dienst. Een volledige SASE-stack omvat ZTNA, Secure Web Gateway (SWG), Cloud Access Security Broker (CASB), Firewall-as-a-Service (FWaaS) en SD-WAN.
ZTNA is een onderdeel van SASE, maar geen synoniem ervan. Een organisatie kan ZTNA implementeren als vervanging voor een VPN, terwijl de bestaande netwerkbeveiligingsmaatregelen van kracht blijven. Bij een volledige SASE-implementatie worden al deze functies gebundeld in één clouddienst, waardoor de complexiteit die ontstaat door het aan elkaar koppelen van afzonderlijke puntoplossingen van verschillende leveranciers wordt weggenomen.
Datto Secure Edge een complete SASE-oplossing die speciaal is ontwikkeld voor implementatie door MSP’s. De beveiligingsstack omvat ZTNA, SWG voor webfiltering en dreigingscontrole, FWaaS voor het afdwingen van firewallbeleid via de cloud, en SD-WAN voor verkeersoptimalisatie. Dankzij integraties met Datto RMM en Autotask kunnen Secure Edge automatisch servicetickets genereren, en Secure Edge software-updates voor Secure Edge gedistribueerd via de VSA 10- en Datto RMM-catalogi, zodat endpointsen up-to-date blijven zonder handmatige tussenkomst.
Voor de meeste kleine en middelgrote bedrijven en klanten uit het middensegment is ZTNA als vervanging voor VPN het praktische uitgangspunt. Volledige SASE is de logische volgende stap voor organisaties met complexere connectiviteitsbehoeften op meerdere locaties en in meerdere clouds, en voor MSP’s die een compleet aanbod op het gebied van beheerde netwerkbeveiliging willen opbouwen.
ZTNA implementeren: een gefaseerde aanpak
De implementatie van ZTNA verloopt stapsgewijs. Het is zelden haalbaar om alle gebruikers en alle toegangsrechten in één keer over te zetten. Een gefaseerde aanpak houdt de complexiteit binnen de perken en toont in elke fase de meerwaarde aan.
Fase 1: Vervanging van VPN voor toegang op afstand. Implementeer ZTNA voor gebruikers op afstand, ter vervanging of als aanvulling op het bestaande VPN. Richt je eerst op de toegangspatronen met het hoogste risico: toegang van bevoegde gebruikers tot beheersystemen, toegang tot opslagplaatsen met gevoelige gegevens en toegang vanaf onbeheerde apparaten of BYOD-apparaten. Dit zijn de scenario’s waarin het risico op laterale beweging via VPN de grootste gevolgen heeft.
Fase 2: Uitbreiding naar alle toegang tot applicaties. Breid de ZTNA-dekking uit tot meer dan alleen gebruikers op afstand, zodat alle toegang tot applicaties wordt gedekt, inclusief gebruikers op locatie die via hetzelfde model voor geverifieerde toegang verbinding maken met interne applicaties. In deze fase is het toegangsmodel consistent, ongeacht waar de gebruiker zich fysiek bevindt.
Fase 3: Verscherp het beleid inzake de apparaatstatus. Integreer de naleving van apparaatvereisten nauwer, waarbij de EDR-status als realtime indicator voor de apparaatstatus wordt gebruikt. Implementeer adaptieve beleidsregels die de toegangsomvang beperken of sessies beëindigen wanneer de apparaatstatus verslechtert tijdens een actieve sessie, en niet alleen op het moment van verbinding. SafeCheck in Datto Secure Edge zorgt voor deze continue handhaving via de Datto RMM-integratie.
Fase 4: Gedragsmonitoring en adaptieve toegang. Implementeer monitoring waarmee de toegang in realtime kan worden beperkt of beëindigd wanneer tijdens een geauthenticeerde sessie afwijkend gedrag wordt gedetecteerd: het in bulk downloaden van bestanden, toegang tot ongebruikelijke applicaties, afwijkingen in de authenticatie of pogingen tot laterale beweging.
Een nuttig referentiepunt: een MSP uit het Datto-partnerprogramma merkte op dat de Datto- Secure Edge en hun klanten hielpen om aan meer dan 10 verschillende controle-eisen uit NIST 800-171 te voldoen, ook al wordt ‘zero trust’ niet expliciet genoemd in het raamwerk. De toegangscontroles, auditlogging en verificatie van de apparaatstatus sluiten van nature aan bij meerdere categorieën van controle-eisen.
ZTNA voor MSP’s
MSP’s hebben twee verschillende redenen om in ZTNA te investeren: het waarborgen van hun eigen toegang tot de omgevingen van hun klanten en het aanbieden van ZTNA als een beheerde dienst.
Intern behoren MSP-inloggegevens tot de meest waardevolle doelwitten in de toeleveringsketen van het MKB. Een aanvaller die een RMM-inlog of een PSA-beheerdersaccount in handen krijgt, verkrijgt toegang tot elke klantomgeving die de MSP beheert. Op ZTNA gebaseerde toegangscontrole, met identiteitsverificatie per sessie en voortdurende handhaving van de apparaatstatus, beperkt de reikwijdte van wat een enkele gecompromitteerde inlog kan bereiken. Een MSP die gebruikmaakt van Datto Secure Edge verwoordde het duidelijk: hun technici kunnen zich niet authenticeren op KaseyaOne zonder eerst verbinding te maken via Secure Edge . De sessieverificatie is geen optionele extra stap; het is de voorwaarde voor toegang.
Voor klanten is het zakelijke overleg eenvoudiger geworden nu de eisen voor cyberverzekeringen zijn aangescherpt. Veel verzekeraars eisen nu MFA en toegangscontroles op applicatieniveau als voorwaarde voor dekking. Een MSP die ZTNA kan leveren als een beheerde netwerkbeveiligingsdienst, met gecentraliseerd beleidsbeheer voor alle tenantomgevingen van klanten en geautomatiseerde waarschuwingen via het PSA, voldoet aan een klantvereiste waarvoor voorheen middelen op bedrijfsniveau nodig waren.
Ook vanuit operationeel oogpunt zijn de voordelen duidelijk. Door VPN te vervangen door Datto Secure Edge neemt het aantal terugkerende helpdeskverzoeken over klachten over de prestaties van het VPN af, wordt de gebruikerservaring voor thuiswerkers verbeterd en zijn de vervangingscycli voor de hardware die bij lokale VPN-apparaten nodig zijn, overbodig. Voor klanten betekent dit een betere IT-ervaring. Voor MSP’s betekent dit een overzichtelijker model voor dienstverlening.
Datto Secure Edge is beschikbaar voor Windows, macOS, iOS en Android. De mobiele client is in juni 2025 uitgebracht, waardoor MSP’s beschikken over één enkele ZTNA-oplossing die geschikt is voor alle apparaten die hun klanten gebruiken.
Belangrijkste punten
- ZTNA vervangt de toegang op netwerkniveau van een VPN door toegang op applicatieniveau, waarbij voortdurend wordt gecontroleerd of de identiteit en de status van het apparaat in orde zijn. Met ZTNA-toegang heeft een gehackte inlogcode alleen toegang tot geautoriseerde applicaties, en niet tot het gehele netwerk.
- Op het gebied van apparaatbeheer is de integratie van ZTNA en RMM van cruciaal belang. SafeCheck in Datto Secure Edge Datto RMM om de naleving van endpointsbeleidsregels continu te controleren, zowel vóór als tijdens toegangssessies.
- ZTNA is een onderdeel van SASE. Voor de meeste MKB-klanten is ZTNA als vervanging voor een VPN het uitgangspunt. Een volledige SASE-oplossing bundelt ZTNA, een webgateway, een cloudfirewall en SD-WAN in één clouddienst.
- De implementatie verloopt stapsgewijs: begin met bevoorrechte en externe toegang, breid dit vervolgens uit naar alle toegang tot applicaties, verscherp daarna de beveiligingsmaatregelen en voeg gedragsmonitoring toe.
- MSP’s hebben zowel interne als commerciële prikkels: het beschermen van de toegang met uitgebreide rechten van MSP’s tot klanten, en het aanbieden van ZTNA als een beheerde dienst die voldoet aan compliance-eisen en het aantal VPN-gerelateerde helpdeskverzoeken terugdringt.
