Security

Zo gaat een ISO 27001 audit meestal. Weken voordat de auditor langskomt begint iemand screenshots te verzamelen. Configuratieschermen, firewall regels, een dashboard dat laat zien welke patches zijn uitgerold. Daarna komen de Word documenten die beschrijven wat de systemen geacht worden te doen. Daarna de change tickets, opgediept uit een ticketsysteem, elk refererend aan een vaag “server onderhoud” dat niemand zes maanden later nog volledig kan reconstrueren. Iedereen behandelt dit als de prijs van zakendoen. Ik ook, jarenlang. ...

Zo draaien de meesten van ons Kubernetes nodes. Je installeert een algemene Linux distro, hardent hem met een CIS benchmark script, voegt een SSH key toe, zet een config management tool op om drift in toom te houden, en SSH’t vervolgens twee jaar lang naar binnen om de dingen te fixen die die tool niet ving. Elke node is een sneeuwvlokje met zijn eigen geschiedenis. We hebben dat als normaal geaccepteerd. ...

Een productieserver hapert om 3 uur ’s nachts. Je SSH’t naar binnen. En nu? De engineers die hier rustig blijven zijn degenen die de volgende tien commando’s al uit hun hoofd kennen, omdat ze precies deze loop al honderd keer hebben gedraaid, alleen met het woord “flag” in plaats van “incident”. Ik spendeer mijn avonden aan Hack The Box challenges en CTF competities. Ik heb geen plannen om pentester te worden. Ik zit prima in platform engineering. De reden dat ik ermee doorga is dat de skills rechtstreeks doorwerken in mijn dagelijkse werk, en die overdracht is groter dan het klinkt. ...

“Dus wat is dat zero trust precies waar iedereen het over heeft?” Ik krijg deze vraag vaak. Meestal van managers, directieleden, of iedereen die een security-budget moet goedkeuren zonder technische achtergrond. En de meeste uitleggen die ik tegenkom zijn verschrikkelijk. Ze verdrinken je in jargon, of ze schuren het concept zo ver af dat er niets bruikbaars overblijft. Dus dit is de metafoor waar ik in plaats daarvan naar grijp. Ik heb hem gebruikt om zero trust uit te leggen aan mijn ouders, aan directieleden, en aan die ene collega die de firewall nog steeds “de internetbox” noemt. Hij werkt omdat hij begint met iets dat iedereen heeft vastgehouden: een hotel keycard. Vanaf daar bouwen we het op, laag voor laag, tot je ziet hoe hetzelfde idee helemaal doorloopt tot aan mTLS en identity-aware proxies. ...

Elke vendor pitch deck heeft op dit moment dezelfde slide. “Autonomous cluster management.” Een AI bewaakt je Kubernetes cluster, ziet problemen, diagnosticeert ze, en fixt ze terwijl jij slaapt. Platform engineers stoppen met brandjes blussen en het cluster geneest zichzelf. Ik draai een homelab juist omdat ik wil begrijpen wat er echt gebeurt, in plaats van een black box te vertrouwen. Dus als ik zo’n claim zie, is mijn eerste reflex om het zelf te testen in plaats van de slide te geloven. ...