Zero Trust: você deve confiar na sua própria rede?

De acordo com a Forrester, não.

A reconhecida empresa norte-americana de pesquisa de mercado criou, em 2010, o conceito de Zero Trust, que informava que as organizações não deveriam, por princípio, confiar em nada que esteja dentro ou fora de sua rede ou perímetro.

Diferentemente do modelo de segurança perimetral, cuja premissa é “confiar e verificar”, o modelo de segurança “confiança zero” parte do princípio de que as organizações devem desconfiar sempre. Essa postura se torna ainda mais necessária na era da computação em nuvem e do big data, em que ameaças avançadas fazem com que o perímetro da arquitetura de segurança tradicional se desintegre cada vez mais.

Nesse contexto, a implementação dessa arquitetura para redes de TI cresce rapidamente no mundo todo. Uma pesquisa realizada pela Cybersecurity Insiders, em parceria com a Pulse Secure, revelou que 72% das organizações planejam implementar o Zero Trust.

Mas quais são os fundamentos desse modelo de segurança? Neste artigo, vamos explicar como ele funciona e dar dicas de como aplicá-lo em sua empresa.

Conheça o modelo de segurança Zero Trust

O princípio básico desse modelo é “nunca confie, sempre verifique”. Ele pressupõe sempre a possibilidade de haver invasores dentro e fora de nossa rede e que todas as redes podem ser violadas. Portanto, os relacionamentos de confiança implícitos de outrora devem ser substituídos por uma política de autenticação explícita e de controle de acesso.

O livro Zero Trust Networks, de Evan Gilman e Doug Barth, considera que essa arquitetura é construída a partir de cinco princípios fundamentais:

* A rede é sempre considerada um ambiente hostil.

* Ameaças internas e externas existem na rede o tempo todo.

* O perímetro da rede não é suficiente para decidir a confiança em uma rede.

* Todos os dispositivos, usuários e fluxos de rede devem ser autenticados e autorizados.

* As políticas de segurança devem ser dinâmicas e calculadas a partir do maior número possível de fontes de dados.

Portanto, a “confiança zero”é uma abordagem de ponta a ponta para a segurança de rede,  que abrange identidade, credenciais, gerenciamento de acesso, operações, terminais, ambientes de hospedagem e infraestrutura de interconexão. O seu objetivo principal é realizar um controle de acesso refinado com base na identidade para lidar com o risco cada vez maior de invasões.

Como o Zero Trust funciona na prática

Além dessas premissas, essa arquitetura de segurança estabelece um perímetro baseado em identidade digital dinâmico, com quatro recursos principais:

* esquema de segurança baseado em identidade;

* acesso seguro a recursos com autorização dinâmica;

* avaliação de confiança contínua com medição de risco;

* controle de acesso adaptável com automação de gerenciamento.

Para implementar esse modelo, as empresas precisam atentar ainda para três questões fundamentais:

* Visibilidade: As soluções de segurança devem garantir a visibilidade de todos os recursos que pertencem à organização ou que têm acesso a ela. Desse modo, será possível identificar os dispositivos e ativos que devem ser protegidos e monitorados.

* Políticas: Deve pressupor controles de acessos minuciosos. Apenas pessoas específicas devem poder ter acesso a perímetros específicos, sob condições específicas. Um usuário deve receber direitos de acesso a um determinado sistema ou arquivo apenas para realizar uma tarefa específica e pelo tempo necessário para concluir aquela tarefa. Posteriormente, esses direitos devem ser rescindidos.

* Automação: a automação de processos garante a correta aplicação das políticas de segurança e permite a rápida aplicação de medidas contra possíveis desvios.

Vale reforçar que para se ter uma proteção verdadeira é preciso combinar diversas proteções. Afinal, com o aumento do trabalho remoto após a crise da COVID-19, a migração rápida para a cloud introduziu uma série de novas ameaças e desafios em termos de segurança. Com o aumento exponencial de malwares e o surgimento de ameaças cada vez mais poderosas, ter apenas um antivírus não é mais suficiente.

A sua empresa possui os procedimentos básicos de segurança capazes de garantir a proteção de seus dados? Faça o download do checklist de segurança e saiba onde deve investir.

Compartilhe este artigo

Share on facebook
Share on twitter
Share on linkedin
Share on whatsapp
Share on email
Share on telegram

Confira os próximos assuntos

Segurança da Informação na área da Saúde

Com a pandemia da Covid-19, o número de ataques de malwares aumentou muito, atingindo empresas dos mais diversos setores, especialmente o da Saúde. Veja como garantir a Segurança da Informação na área da Saúde