Zero Trust na prática: um roteiro para organizações de médio porte

Durante anos, a segurança corporativa funcionou como um castelo cercado por um fosso. Quem estava dentro da rede era considerado confiável; quem estava fora, não. A VPN baixava a ponte levadiça e, uma vez dentro, o usuário alcançava quase tudo.

Esse modelo não resiste ao trabalho remoto, aos sistemas em nuvem, aos aplicativos SaaS e aos fornecedores conectados à rede. Quando uma única senha roubada abre acesso amplo, o perímetro deixa de proteger. O Zero Trust nasce dessa constatação.

O que é Zero Trust, e o que não é

A publicação NIST SP 800-207, de 2020, descreve o Zero Trust como um conjunto de princípios que desloca a defesa do perímetro da rede para usuários, ativos e recursos. Nenhuma confiança é concedida apenas pela localização na rede ou pela posse do equipamento. Na prática, três ideias guiam o modelo:

• Verificar explicitamente. Cada acesso é avaliado com base em identidade, estado do dispositivo e contexto.
• Menor privilégio. Cada pessoa e cada sistema recebe apenas o acesso necessário, pelo tempo necessário.
• Assumir a violação. O ambiente é desenhado para limitar o estrago caso algo seja comprometido.

A arquitetura descrita pelo NIST tem uma lógica simples. Um ponto de decisão avalia cada pedido de acesso com base em políticas e sinais, como a identidade do usuário, a saúde do equipamento, o horário e a localização. Pontos de aplicação, posicionados entre o usuário e o recurso, liberam ou bloqueiam a conexão conforme essa decisão. Nada passa direto só porque está dentro da rede.

Zero Trust não é um produto que se compra pronto. Fornecedores vendem componentes, como autenticação forte, acesso por aplicação e microssegmentação, mas a arquitetura depende de decisões da própria organização: quais recursos proteger primeiro, quais sinais considerar e quem aprova as exceções.

Por que a identidade virou o novo perímetro

Os dados recentes mostram que o atacante raramente arromba a porta. Ele entra com uma credencial válida ou pelo acesso de um terceiro.

Se a identidade é o caminho preferido do invasor, ela também precisa ser o primeiro ponto de controle. Por isso quase todo roteiro de Zero Trust começa por autenticação forte e governança de acessos.

Os cinco pilares do modelo

O Modelo de Maturidade Zero Trust da CISA, agência de cibersegurança dos Estados Unidos, teve sua versão 2 publicada em 2023 e organiza o tema em cinco pilares. Embora tenha sido criado para órgãos federais americanos, a própria agência recomenda que todas as organizações revisem a orientação.

O modelo também prevê três capacidades transversais (visibilidade e análise, automação e orquestração, e governança) e quatro estágios de maturidade: tradicional, inicial, avançado e otimizado. Cada pilar pode avançar no próprio ritmo.

Um roteiro em seis passos

Para uma organização de médio porte, o objetivo não é chegar ao estágio otimizado em um ano, e sim reduzir os riscos mais prováveis com o orçamento disponível.

A ordem das ondas deve seguir o risco. Um bom critério é começar pelos sistemas que combinam dados sensíveis, muitos usuários e exposição à internet, como e-mail, ERP e portais de atendimento. Acessos de fornecedores e de administradores merecem atenção desde a primeira onda, porque costumam ser os mais amplos e os menos revisados.

Erros comuns no caminho

• Tratar Zero Trust como compra. Uma ferramenta nova sem revisão de acessos só muda o problema de lugar.
• Querer tudo de uma vez. Projetos grandes demais travam. Avance por ondas, começando pelos sistemas mais críticos.
• Esquecer contas de serviço e terceiros. Integrações, robôs e fornecedores costumam ter privilégios amplos e senhas que nunca expiram.
• Criar exceções eternas. A diretoria sem MFA ou o sistema legado liberado para todos viram a porta de entrada preferida.
• Ignorar a experiência do usuário. Controles que atrapalham demais geram atalhos. Login único e autenticação sem senha ajudam a equilibrar segurança e produtividade.

Como medir o avanço

Indicadores simples mostram se o programa está saindo do papel:

• Percentual de contas, inclusive administrativas e de terceiros, com MFA ativo.
• Percentual de aplicações acessadas por login único.
• Tempo entre o desligamento de um colaborador e a revogação de todos os seus acessos.
• Percentual de dispositivos gerenciados e em conformidade.
• Quantidade de regras de firewall que liberam qualquer origem para qualquer destino.

Apresente esses números à gestão a cada trimestre, com metas claras. Eles transformam um conceito abstrato em evolução visível e ajudam a justificar os próximos investimentos.

Próximos passos

Escolha um sistema crítico e aplique o roteiro a ele de ponta a ponta: quem acessa, de qual dispositivo, por qual caminho e com qual registro. O aprendizado desse piloto orienta as ondas seguintes. A Midnal apoia organizações públicas e privadas no desenho e na operação de controles de segurança, do diagnóstico ao monitoramento; saiba mais em Cibersegurança, NOC e SOC.