Introdução à Segurança Zero Trust: CISA e NIST
A CISA (Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos) e o NIST (Instituto Nacional de Padrões e Tecnologia) desempenham papéis cruciais na proteção da infraestrutura crítica contra ameaças cibernéticas e físicas. Ambas as organizações fornecem diretrizes e padrões para agências governamentais e o setor privado, com foco na segurança da informação e na inovação tecnológica.
Modelo de Segurança Zero Trust: definição e importância
O modelo de segurança zero trust é uma abordagem inovadora e eficaz que assume que nenhum elemento da rede é confiável por padrão. Em contraste com os modelos tradicionais, que baseiam a segurança em perímetros e credenciais, o zero trust verifica continuamente todos os acessos. Isso garante que qualquer tentativa de acesso, seja de usuários internos ou externos, seja rigorosamente autenticada e autorizada.
Popularidade e diretrizes do Zero Trust
Nos últimos anos, o zero trust se destacou, especialmente após o memorando M-19-17 do Escritório de Gestão e Orçamento dos Estados Unidos em 2019. Em 2020, o NIST publicou o documento SP 800-207, definindo a arquitetura de zero trust (ZTA) e orientando seu planejamento e implantação. Em 2021, a CISA lançou o Modelo de Maturidade de Zero Trust (ZTMM) para ajudar as agências federais na adoção desse modelo. Essas diretrizes são essenciais para qualquer organização que deseje implementar uma estratégia de segurança robusta e moderna.
Abordagem do NIST sobre Zero Trust
Definição e princípios
O NIST define zero trust como um conjunto de paradigmas cibernéticos focados em usuários, ativos e recursos. A ZTAproposta pelo NIST não é uma solução única, mas um conjunto de componentes lógicos, incluindo:
- Agente da Política: Comunica as regras de acesso aos dados.
- Sistema da Política: Armazena as regras definidas.
- Sistema Controlador da Política: Aplica as regras aos pedidos de acesso.
Princípios básicos do NIST
Os princípios básicos do NIST para zero trust incluem:
- Todos os recursos são protegidos.
- Pedidos são verificados dinamicamente.
- Acesso baseado no mínimo necessário.
- Proteção dos dados em repouso e em trânsito.
- Verificação da integridade dos componentes.
- Coleta e análise de dados para melhorar a segurança.
- Independência das tecnologias existentes.
Abordagem da CISA sobre Zero Trust
Definição e estrutura
A CISA define zero trust como uma abordagem que exige verificação contínua do acesso aos dados, redes e infraestrutura. O ZTMM proposto pela CISA é baseado nos seguintes pilares de zero trust:
- Identidade: Verificação de usuários e dispositivos.
- Dispositivo: Verificação da integridade dos dispositivos.
- Rede: Segmentação em microperímetros.
- Dados: Proteção por criptografia e controle de acesso.
- Aplicação: Proteção das aplicações usadas para acessar dados.
Capacidades transversais da CISA
Além dos pilares, a CISA enfatiza a importância de capacidades transversais, como:
- Visibilidade: Coleta e análise de dados de eventos.
- Automação: Processos automatizados de verificação e proteção.
- Orquestração: Integração de soluções e ferramentas para uma segurança coesa.
Comparação das abordagens do NIST e da CISA
Semelhanças
As abordagens do NIST e da CISA para zero trust possuem várias semelhanças:
- Ambas são baseadas na definição de zero trust do NIST.
- Utilizam um conjunto de componentes lógicos em vez de uma solução única.
- Enfatizam a verificação contínua de usuários, dispositivos e redes.
- Destacam a importância da coleta e análise de dados para melhorar a segurança.
Diferenças
Apesar das semelhanças, existem algumas diferenças entre as abordagens:
- NIST: Tem uma abordagem mais conceitual e genérica, focada nos componentes lógicos.
- CISA: É mais prática e específica, com foco nos pilares funcionais de zero trust.
Complementaridades
As abordagens do NIST e da CISA se complementam de maneira significativa:
- NIST: Fornece uma definição clara e consistente de zero trust.
- CISA: Oferece um modelo prático para implementação nas agências federais.
Conclusão
A adoção do modelo de segurança zero trust é fundamental para proteger dados e infraestrutura em um cenário de ameaças cibernéticas em constante evolução. As diretrizes do NIST e da CISA oferecem uma base sólida e prática para organizações públicas e privadas implementarem essa abordagem de segurança inovadora. Ao seguir essas diretrizes, as organizações podem garantir uma proteção contínua e integrada, essencial para a segurança moderna.
