Zero Trust Via Context-Aware Access Instellen

Medewerkers loggen in op Google Workspace vanuit privélaptops op openbaar wifi in een café. Ze hebben toegang tot Google Drive met klantdata, HR-bestanden en bedrijfscontracten. Zonder extra beveiligingslagen is dit een open deur voor datalekken. Context-Aware Access (CAA) is de ingebouwde Zero Trust-oplossing van Google Workspace die dit probleem oplost.

Wat Is Zero Trust?

Zero Trust betekent dat je nooit automatisch vertrouwt wie er inlogt, ook niet als iemand het juiste wachtwoord heeft. Je controleert altijd: wie is het, vanaf welk apparaat, vanaf welk netwerk en vanuit welke locatie. Pas als aan alle voorwaarden is voldaan, wordt toegang verleend.

Context-Aware Access laat je precies dit doen binnen Google Workspace, zonder dat je extra software nodig hebt.

Stap 1: Toegangsniveaus Aanmaken

Ga naar Admin Console > Beveiliging > Context-Aware Access > Access levels. Klik op "Create access level".

Geef het niveau een naam, bijv. "Bedrijfslaptop EU". Voeg de volgende voorwaarden toe:

• IP-subbereik: alleen IP-adressen uit je kantoornetwerk of VPN.
• Apparaatbeleid: het apparaat moet een bedrijfscertificaat hebben of door Endpoint Verification worden herkend.
• Locatie: alleen toegang vanuit EU-landen.

Sla op.

Stap 2: Toegangsniveau Koppelen Aan Apps

Ga naar Context-Aware Access > App access. Selecteer de apps waarvoor je het niveau wilt afdwingen, bijv. Google Drive en Gmail. Koppel het toegangsniveau "Bedrijfslaptop EU" aan die apps.

Gebruikers die niet aan de voorwaarden voldoen, zien een foutmelding en kunnen de app niet openen.

Stap 3: Endpoint Verification Inschakelen

Voor apparaatcondities moet Google het apparaat kunnen identificeren. Dit doe je via Endpoint Verification.

Ga naar Admin Console > Devices > Endpoint Verification. Activeer dit. Medewerkers moeten de Google Endpoint Verification Chrome-extensie installeren. Dit rapporteert het OS-versie, schijfversleuteling en wachtwoordstatus van het apparaat aan Google.

Voorbeeldregels Die Veel Worden Gebruikt

• Blokkeer toegang tot Drive als het apparaat geen versleutelde schijf heeft.
• Sta alleen Gmail toe als het apparaat een up-to-date OS-versie heeft.
• Beperk toegang tot de Admin Console tot IP-adressen van het kantoor.
• Blokkeer alle toegang van buiten de EU voor gevoelige Shared Drives.

Aandachtspunten

Context-Aware Access is beschikbaar in Workspace Business Plus en Enterprise. Niet in Starter of Standard.

BYOD-apparaten (prive-telefoons en laptops) worden alleen herkend als de gebruiker Endpoint Verification heeft geinstalleerd. Communiceer dit duidelijk aan medewerkers.

Test altijd eerst met een kleine groep voordat je een strikt beleid organisatiebreed uitrolt.