Zero Trust: a transição necessária para as empresas
Um pouco de história e sobre o que é de fato o Zero Trust
O modelo de segurança Zero Trust (ZT) é uma abordagem inovadora que visa reduzir os riscos de ataques cibernéticos e violações de dados. Ele se baseia na premissa de que nenhum usuário ou dispositivo deve ser confiado automaticamente, independentemente de sua localização na rede. Esse modelo requer a verificação e a autorização contínuas de todos os acessos aos recursos da rede, além da segmentação e do monitoramento constante das atividades dos usuários e dispositivos. O Zero Trust é uma evolução das abordagens tradicionais de segurança, que se baseiam em perímetros fixos e na confiança implícita em tudo que está dentro da rede.
A Origem do Modelo Zero Trust
O conceito de segurança Zero Trust foi proposto em 2010 pelo analista da Forrester Research, John Kindervag. Ele se inspirou nas práticas de segurança adotadas por empresas como Google, Amazon e Netflix, que utilizavam uma arquitetura de rede baseada em microssegmentação. Esse método divide a rede em pequenas zonas com controles de acesso rigorosos. Kindervag observou que essas empresas empregavam tecnologias como criptografia, autenticação multifator e monitoramento contínuo para proteger seus dados e recursos. Ele então cunhou o termo "Zero Trust" para descrever esse modelo de segurança, fundamentado na ideia de "nunca confiar, sempre verificar".
Em uma entrevista ao podcast DrZeroTrust, Kindervag contou como chegou ao conceito de Zero Trust. Ele estava trabalhando em um projeto para um cliente do setor financeiro, que tinha uma rede complexa e vulnerável. Percebendo que o modelo tradicional de segurança, baseado em firewalls e VPNs, não era eficaz, ele começou a pesquisar outras formas de segurança. Foi então que encontrou o trabalho de Stephen Paul Marsh, que usou o termo “zero trust” em sua tese de doutorado sobre segurança da informação em 1994. Kindervag também se inspirou nas ideias do Jericho Forum, um grupo de especialistas em segurança que defendia a eliminação dos perímetros de rede.
Kindervag desenvolveu seu próprio modelo de Zero Trust baseado em cinco pilares:
- Garantir identidades seguras
- Avaliar a postura dos dispositivos
- Inspecionar e registrar todo o tráfego da rede
- Aplicar políticas dinâmicas e adaptativas
- Minimizar os privilégios dos usuários e dispositivos
Ele publicou seu primeiro relatório sobre Zero Trust em 2010 e desde então tem promovido esse modelo em diversos eventos, publicações, podcasts e consultorias. Kindervag é considerado o "pai do Zero Trust" por sua contribuição pioneira ao campo da segurança cibernética.
A Transição para o Modelo Zero Trust
Adotar o modelo de segurança Zero Trust é um desafio para as empresas no Brasil, que precisam se adaptar às novas demandas do cenário atual.
Alguns fatores que impulsionam essa mudança incluem:
- Aumento do Trabalho Remoto e Híbrido: Com a expansão do trabalho remoto, os perímetros tradicionais se tornam obsoletos, exigindo acesso seguro aos recursos da rede de qualquer localização.
- Crescimento das Ameaças Cibernéticas: Ataques cibernéticos estão cada vez mais sofisticados e diversificados, explorando vulnerabilidades nos sistemas, aplicações e usuários.
- Lei Geral de Proteção de Dados (LGPD): A LGPD estabelece regras e sanções para o tratamento de dados pessoais no Brasil, exigindo que as empresas garantam a privacidade e a segurança dos dados dos titulares.
Vantagens do Zero Trust para Empresas
A adoção do modelo Zero Trust oferece várias vantagens para as empresas, como:
- Melhoria da Proteção dos Dados Sensíveis: Dados são criptografados, classificados e monitorados em todo o seu ciclo de vida, impedindo acessos não autorizados.
- Redução de Custos e Complexidade da Segurança: A segurança é simplificada e padronizada por meio de uma plataforma integrada, eliminando a necessidade de múltiplas soluções pontuais.
- Otimização da Experiência do Usuário: A autenticação é ágil e transparente, permitindo acesso rápido e seguro aos recursos da rede.
No entanto, a transição para o modelo Zero Trust requer uma mudança cultural e organizacional, além de etapas e requisitos técnicos bem planejados.
Tendências e Recomendações para a Transição
O modelo de segurança Zero Trust ganhou popularidade nos últimos anos, especialmente após a publicação do memorando M-19-17 pelo Escritório de Gestão e Orçamento (OMB) dos Estados Unidos em 2019. Em 2020, o National Institute of Standards and Technology (NIST) publicou o documento SP 800-207, que define a arquitetura de Zero Trust e fornece orientações para seu planejamento e implantação. Em 2021, a Agência de Segurança Cibernética e de Infraestrutura (CISA) publicou o modelo de maturidade de Zero Trust (ZTMM), auxiliando as agências federais no desenvolvimento de estratégias de Zero Trust. Ano passado, a agência atualizou o documento.
Empresas brasileiras podem seguir as orientações das agências de segurança cibernética do Brasil, como a Agência Nacional de Telecomunicações (Anatel) e o Centro Integrado de Segurança Cibernética do Governo Digital (CISC Gov.br). Também é útil acompanhar as tendências e recomendações dos institutos internacionais de pesquisa em segurança cibernética, como o Gartner e o Forrester.
Passos Práticos para Implementar Zero Trust
Para adotar o modelo Zero Trust, as empresas podem seguir os seguintes passos:
- Avaliação da Infraestrutura de Rede: Identificar pontos fracos e vulnerabilidades.
- Definição de Políticas de Confiança Mínima: Especificar quem, o quê, quando, onde e como pode acessar os recursos protegidos.
- Implementação de MFA (Autenticação Multifator): Exigir múltiplos fatores de autenticação para todas as contas de usuário.
- Segmentação da Rede: Dividir a rede em partes menores e isoladas, limitando o acesso com base na necessidade e no contexto.
- Monitoramento Contínuo: Usar ferramentas de inteligência artificial e aprendizado de máquina para detectar comportamentos anormais ou suspeitos.
- Cultura de Confiança Zero: Envolver todas as equipes da organização na adoção da mentalidade de confiança zero.
Zero Trust em Tecnologias Emergentes
Projetos relacionados a IoT, Blockchain e IA também podem se beneficiar do modelo Zero Trust:
- IoT: Garantir a identidade, autenticação e autorização dos dispositivos IoT, isolando e monitorando seu tráfego na rede.
- IA: Proteger sistemas de IA verificando e validando os dados usados para treinar os modelos, criptografando e rastreando os dados.
- Blockchain: Usar blockchain para armazenar e gerenciar identidades, políticas e registros de segurança, facilitando a confiança entre as entidades na rede.
Apoio da Fiandeira Tecnologia
Contar com parceiros especializados pode facilitar a transição para o modelo Zero Trust. A Fiandeira Tecnologia oferece serviços e soluções inovadoras para ajudar as empresas nos desafios de conectividade e segurança da informação para o ambiente de trabalho híbrido.
Entre suas soluções estão:
- Consultoria Estratégica de Classificação da Informação: Identificação, categorização e proteção dos dados sensíveis conforme normas vigentes.
- Fasoo Enterprise Digital Rights Management (EDRM): Controle granular dos direitos de acesso aos dados não estruturados, criptografando e rastreando dados.
- Fasoo Smart Print e Fasoo Smart Screen: Proteção dos dados exibidos nas telas e nas impressões, evitando captura ou cópia não autorizada.
- Ericom Remote Browser Isolation (RBI): Isolamento da navegação web em um ambiente seguro e remoto.
- Rocket Exceed Single e Rocket Exceed TurboX, Ericom Connect e NoMachine: Acesso remoto seguro a aplicações e desktops virtualizados.
- Rocket Socks Client: Protocolo de conectividade e segurança que permite acesso a serviços e aplicações através de uma VPN.
A Fiandeira Tecnologia tem a expertise necessária para ajudar empresas brasileiras a adotarem o modelo Zero Trust de forma eficiente e segura, promovendo uma transformação tecnológica significativa.
