Zero Trust é uma abordagem de segurança que deixa de dar confiança automática a um acesso por vir da rede da empresa: cada pedido de acesso é verificado com a identidade da pessoa, o estado do dispositivo e outros sinais, e autorizado apenas para o recurso concreto de que precisa. É uma forma de conceber o acesso, não um produto.
Como funciona
O modelo tradicional assemelha-se a um castelo com fosso: quem atravessa o perímetro (por exemplo, com uma VPN) costuma circular livremente lá dentro. O Zero Trust parte do princípio de que a rede pode ser hostil, incluindo a própria, e exige verificar cada acesso segundo uma política: quem é a pessoa, a partir de que dispositivo, em que estado e o que tenta abrir. O NIST define-o como um conjunto em evolução de paradigmas que deslocam o foco das defesas de perímetros de rede estáticos para utilizadores, ativos e recursos.
O NCSC, o organismo de cibersegurança do Reino Unido, resume as suas bases em princípios como conhecer a arquitetura e as identidades, avaliar o comportamento dos utilizadores e o estado dos dispositivos, decidir com políticas, autenticar e autorizar em todo o lado, vigiar utilizadores, dispositivos e serviços, e não confiar em nenhuma rede.
Exemplo
Exemplo ilustrativo, não um caso real. Uma empresa com colaboradores remotos dá acesso por VPN a toda a rede interna. Decide começar pelo mais sensível: a aplicação de contabilidade e as consolas de administração. A partir de agora só abrem se a pessoa iniciar sessão com um segundo fator e o seu equipamento estiver gerido e atualizado; os restantes recursos migram mais tarde.
Antes de ativar, testa-se o que acontece quando um sinal falha, por exemplo se um equipamento deixa de comunicar o seu estado. A regra é negar ou dar um acesso limitado, nunca aprovar em silêncio.
Limites
O NCSC insiste em que o Zero Trust não é um produto, nem uma solução rápida, nem significa não confiar em ninguém, nem obriga a abandonar a VPN, e que nunca fica concluído: é um compromisso estratégico que se adota de forma deliberada e que pode exigir vários anos. Implica também mais controlos de segurança, não menos, e pode ser dispendioso e disruptivo: convém avaliar primeiro se controlos mais direcionados dariam benefícios semelhantes. Uma ferramenta com a etiqueta Zero Trust não prova que os acessos reais seguem estes princípios.
As decisões dependem de sinais cuja qualidade tem de ser vigiada, e os sistemas antigos exigem soluções intermédias. Para uma empresa pequena, os primeiros passos úteis tendem a coincidir com os controlos básicos: segundo fator, privilégio mínimo, equipamentos protegidos e atualizados, e inventário de aplicações e acessos.
Quando chamar um especialista
Convém pedir ajuda quando há trabalho remoto ou híbrido, aplicações na cloud a par de sistemas antigos, acessos de fornecedores externos, uma VPN que abre toda a rede ou quando um cliente ou uma auditoria pede que justifique como o acesso é controlado. Um diagnóstico prévio ajuda a priorizar os recursos mais críticos e as alterações que compensam mais.
Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: revemos identidades, acessos e dispositivos e aplicamos os controlos técnicos adequados. Consulte o nosso serviço de cibersegurança, o guia do plano de segurança informática ou conte-nos o seu caso.
Saber mais
Termos relacionados do glossário: MFA, VPN, endpoint e NAC.
Fontes oficiais (em inglês): a publicação do NIST SP 800-207, Zero Trust Architecture e as orientações do NCSC Demystifying Zero Trust e Zero trust architecture design principles, pensadas para grandes organizações.