A zero trust é uma framework que pressupõe que todas as conexões e endpoints são ameaças, tanto externa quanto internamente, dentro da segurança de rede de uma empresa. Ele permite que as empresas criem uma estratégia de TI completa para atender às necessidades de segurança de um ambiente de nuvem híbrida. A zero trust implementa proteção adaptativa e contínua e fornece a capacidade de gerenciar ameaças de forma proativa.

Em outras palavras, essa abordagem nunca confia em usuários, dispositivos ou conexões para nenhuma transação e verificará tudo isso para cada transação. Isso permite que as empresas ganhem segurança e visibilidade em todo o seu negócio e imponham políticas de segurança consistentes, resultando em detecção e resposta mais rápidas a ameaças.

A zero trust começou na iniciativa "BeyondCorp", desenvolvida pelo Google em 2010. O objetivo da iniciativa era proteger o acesso aos recursos com base na identidade e no contexto, afastando-se do modelo tradicional de segurança baseado em perímetro. Essa estratégia permitiu que o Google fornecesse aos funcionários acesso seguro a aplicações e dados corporativos de qualquer lugar, usando qualquer dispositivo, sem a necessidade de uma VPN.

Em 2014, o analista da Forrester Research, John Kindervag, cunhou o conceito zero trust para descrever esse novo paradigma de segurança em um relatório intitulado "The Zero Trust Model of Information Security". Ele propôs um novo modelo de segurança que pressupõe que não se pode confiar em ninguém, seja dentro ou fora da rede da organização, sem verificação. O relatório delineou o modelo zero trust com base em dois princípios primários: "Nunca confie, sempre verifique".

Todos os usuários, dispositivos e aplicações são considerados não confiáveis e devem ser verificados antes de receberem acesso aos recursos. O princípio do menor privilégio significa que cada usuário ou dispositivo recebe o nível mínimo de acesso necessário para realizar seu trabalho, e o acesso é concedido apenas com base na necessidade de conhecimento.

Desde então, o conceito zero trust continuou a ganhar força, com muitas organizações adotando suas arquiteturas para proteger melhor seus ativos digitais contra ameaças cibernéticas. Ele abrange vários princípios e tecnologias de segurança que são implementados para fortalecer a segurança e reduzir o risco de violações de segurança.

• Zero trust baseada em identidade: esse modelo é baseado no princípio de verificação rigorosa de identidade, onde cada usuário ou dispositivo é autenticado e autorizado antes de acessar qualquer recurso. Ele se baseia na autenticação de multifator, controles de acesso e princípios de privilégio mínimo.
• Zero trust baseada em rede: concentra-se em proteger o perímetro da rede segmentando a rede em segmentos menores. O objetivo é reduzir a superfície de ataque ao limitar o acesso a recursos específicos somente a usuários autorizados. Esse modelo usa tecnologias como firewalls, VPNs e sistemas de detecção e prevenção de intrusões.
• Zero trust baseada em dados: esse modelo visa proteger dados confidenciais, criptografando-os e limitando o acesso a usuários autorizados. Emprega classificação e rotulagem de dados, prevenção contra perda de dados e tecnologias de criptografia para proteger dados em repouso, em trânsito e em uso.
• Zero trust baseada em aplicações: concentra-se na proteção de aplicações e seus dados associados. Pressupõe que todas as aplicações não são confiáveis e devem ser verificadas antes de acessar dados confidenciais. Usa controles em nível de aplicação, como proteção de tempo de execução e conteinerização, para proteger contra ataques como injeção de código e malware.
• Zero trust baseada em dispositivos: esse modelo protege os próprios dispositivos (por exemplo, smartphones, notebooks e dispositivos de IoT). Pressupõe que os dispositivos podem ser comprometidos e devem ser verificados antes de acessar dados confidenciais. Emprega controles de segurança em nível de dispositivo, como proteção de endpoints, criptografia de dispositivos e recursos de limpeza remota.

Esses modelos são projetados para trabalhar juntos para criar uma arquitetura zero trust abrangente, que pode ajudar as organizações a reduzir sua superfície de ataque, melhorar sua postura de segurança e minimizar o risco de violações de segurança. No entanto, é importante observar que os tipos específicos de modelos de segurança zero trust e sua implementação podem variar dependendo do tamanho da organização, do setor e das necessidades específicas de segurança.

A zero trust tornou-se uma abordagem popular para a cibersegurança moderna. Ela foi adotada por muitas organizações para lidar com a crescente ameaça de ataques cibernéticos e violações de dados no mundo complexo e interconectado de hoje. Como resultado, muitos fornecedores de tecnologia desenvolveram produtos e serviços projetados especificamente para serem compatíveis com arquiteturas zero trust.

Existem também muitas frameworks e normas que as organizações podem usar para implementar princípios de segurança zero trust em suas estratégias de cibersegurança com a orientação do National Institute of Standards and Technology (NIST).

O NIST é uma agência governamental não regulatória do Departamento de Comércio dos EUA, com o objetivo de ajudar as empresas a entender, gerenciar e reduzir melhor os riscos de cibersegurança para proteger redes e dados. Ele publicou alguns guias abrangentes altamente recomendados sobre zero trust:

NIST SP 800-207, Zero Trust Architecture

O NIST SP 800-207, Zero Trust Architecture (link externo a ibm.com) foi a primeira publicação a estabelecer as bases para a arquitetura zero trust. Ele fornece a definição de zero trust como um conjunto de princípios orientadores (em vez de tecnologias e implementações específicas) e inclui exemplos de arquiteturas zero trust.

O NIST SP 800-207 enfatiza a importância do monitoramento contínuo e da tomada de decisões adaptativa e baseada em riscos. Ele recomenda a implementação de uma arquitetura zero trust com os Sete Pilares Zero Trust (tradicionalmente conhecidos como as Sete Doutrinas Zero Trust)

Sete Pilares Zero Trust

1. Todas as fontes de dados e serviços de computação são considerados recursos.
2. Toda a comunicação é protegida, independentemente do local da rede.
3. O acesso a recursos empresariais individuais é concedido por sessão.
4. O acesso aos recursos é determinado pela política dinâmica, incluindo o estado observável da identidade do cliente, da aplicação/serviço e do ativo solicitante, e pode incluir outros atributos comportamentais e ambientais.
5. A empresa monitora e mede a integridade e a postura de segurança de todos os ativos próprios e associados.
6. Todas as autenticações e autorizações de recursos são dinâmicas e rigorosamente impostas antes que o acesso seja permitido.
7. A empresa coleta o máximo de informações possível sobre o estado atual dos ativos, infraestrutura de rede e comunicações e as utiliza para melhorar sua postura de segurança.

De modo geral, o NIST SP 800-207 promove uma abordagem geral para a zero trust baseada nos princípios de privilégio mínimo, microssegmentação e monitoramento contínuo, incentivando as organizações a implementar uma abordagem de segurança em camadas que incorpore várias tecnologias e controles para proteger contra ameaças.

NIST SP 1800-35B, Implementing a Zero Trust Architecture

O NIST SP 1800-35B, Implementing a Zero Trust Architecture (link externo a ibm.com) é outra publicação altamente recomendada do NIST e é composto por dois tópicos principais:

1. Desafios de segurança de TI para os setores público e privado.
2. Orientação de "como fazer" para implementar uma arquitetura zero trust em ambientes corporativos e fluxos de trabalho com abordagens baseadas em normas, usando tecnologia disponível comercialmente.

A publicação correlaciona os desafios de segurança de TI (aplicáveis aos setores público e privado) aos princípios e componentes de uma arquitetura zero trust, para que as organizações possam primeiro autodiagnosticar adequadamente suas necessidades. Elas podem, então, adotar os princípios e componentes de uma arquitetura zero trust para atender às necessidades de sua organização. Portanto, o NIST SP 1800-35B não identifica tipos específicos de modelos zero trust.

O NIST aproveita o desenvolvimento iterativo para as quatro arquiteturas zero trust que ele implementou, permitindo facilidade e flexibilidade para fazer melhorias incrementais e ter continuidade com a framework zero trust à medida que ela evolui ao longo do tempo.

As quatro arquiteturas zero trust implementadas pelo NIST são as seguintes:

1. Implementação baseada em agente de dispositivo/gateway.
2. Implementação baseada em enclave.
3. Implantação baseada em portal de recursos.
4. Área de testes de aplicações de dispositivos.

O NIST tem parcerias estratégicas com muitas organizações de tecnologia (como a IBM) que colaboram para se manter à frente dessas mudanças e ameaças emergentes.

A colaboração permite que a IBM priorize o desenvolvimento para garantir que as soluções de tecnologia estejam alinhadas às sete doutrinas e princípios zero trust, protegendo e garantindo os sistemas e dados dos clientes da IBM.

Saiba mais sobre a importância da zero trust no Relatório do custo das violações de dados de 2022 da IBM ou entre em contato diretamente com um dos especialistas em zero trust da IBM.

• Implemente uma estratégia zero trust para a transferência de seus arquivos
• Treinamento de princípios zero trust da IBM Security
• NIST SP 800-207, Zero Trust Architecture (link externo a ibm.com)
• NIST Special Publication (SP) 1800-35B, Implementing a Zero Trust Architecture (link externo a ibm.com)