O zero trust é uma abordagem de segurança de informação baseada na identificação de todo e qualquer usuário, visando controlar acessos a uma rede. Nesse artigo, explicamos o que é zero trust.
Neste artigo
A adoção do trabalho remoto ou híbrido implementada por muitas empresas fez com elas passassem a adotar a tecnologia de cloud computing. Nesse tipo de infraestrutura, os aplicativos e arquivos deixam de ser armazenados localmente para serem armazenados na nuvem. Embora essa infraestrutura facilite a rotina laboral, ataques de cibercriminosos podem roubar credenciais e resultar em acessos indevidos a sistemas de armazenamento.
Nos últimos anos, o volume de ataques cibernéticos a empresas, visando principalmente o roubo de dados, cresceu exponencialmente. De acordo com um levantamento, a média de ataques cibernéticos no Brasil teve um aumento de 46% no segundo trimestre de 2022, enquanto a média global foi de 32%.
Ataques de phishing, ransomwares e malwares em um único dispositivo abriram caminho para agressões mais profundas à segurança de dados de diversas empresas. Frente à expansão desses ataques digitais, novas e mais modernas iniciativas de cibersegurança passaram a ser necessárias; entre elas, a abordagem zero trust.
O que é zero trust?
O zero trust, ou confiança zero, é um conceito de cibersegurança que envolve criar barreiras e credenciais de acesso a toda informação que faz parte das redes internas ou externas de uma empresa, inclusive a de seus próprios funcionários.
Todo e qualquer usuário que entra na rede é considerado pelo sistema uma ameaça em potencial, que deve ser identificada e passar por processos de verificação de segurança antes de ganhar autorização de acesso.
Modelos tradicionais de segurança se resumem a uma arquitetura em que a rede e o data center ficavam no interior da empresa (conteúdo em inglês), geralmente protegidos por firewalls. Tudo armazenado dentro desse perímetro era considerado seguro; o que estava fora, era inseguro. No entanto, esse tipo de organização baseada em localização fixa perde sentido quando usuários acessam a estrutura via mobile ou quando profissionais externos necessitam acessá-la.
Neste cenário, o zero trust exige múltiplas etapas de verificação antes de o usuário acessar qualquer dado crítico, além de uma distribuição de permissão em credenciais, que permite o acesso de cada profissional apenas aos níveis e as categorias de dados que competem ao seu serviço.
Na verificação de acesso, são checadas a identidade e o dispositivo do usuário, além do contexto do acesso, como data, horário, geolocalização e seu histórico ou padrão de acesso.
Além disso, toda a navegação do profissional pelos sistemas de dados da companhia é monitorada, seja em acesso remoto ou presencial, com histórico acessível de cada passo realizado.
Quais as vantagens da confiança zero?
Atualmente, um dos bens mais preciosos (se não o mais precioso) de uma companhia é seu banco de dados. Por isso, manter seguras as informações críticas à empresa, como projetos, informações sobre os clientes e profissionais, orçamentos, entre outros, é fundamental para manter as operações em ordem.
O vazamento em massa de dados de clientes, por exemplo, pode significar o encerramento imediato dos contratos, além de processos judiciais e prejuízos financeiros consequentes.
Por isso, implantar o zero trust em uma empresa é uma ferramenta muito importante para proteger a estabilidade da companhia como um todo. Embora as etapas extras de verificação possam aborrecer os profissionais na operação diária, a própria equipe de funcionários é bastante beneficiada pelo sistema, uma vez que seus próprios dados recebem uma camada extra de proteção.
Zero trust: quais as desvantagens?
Para implantar com sucesso o zero trust, os profissionais precisam dar autorização para o monitoramento e a inserção de protocolos de segurança em todos os seus dispositivos de acesso às redes corporativas, o que muitas vezes inclui dispositivos e smartphones pessoais. Na visão de muitos, a solução pode representar uma violação de privacidade, enfrentando resistências em níveis diversos de alguns profissionais.
Além disso, para muitos profissionais, os protocolos de confiança zero podem representar um aumento considerável no tempo necessário para ter acesso às informações. Uma vez que mais autenticações são necessárias para visualizar e editar cada dado, a velocidade de desempenho pode diminuir ligeiramente.
Como adotar uma abordagem de confiança zero na sua empresa?
O primeiro passo para uma empresa que deseja adotar o zero trust como conceito interno é definir quais dados cada profissional precisa ou não acessar em seu trabalho diário. Uma vez que essa divisão for feita, o sistema deve restringir o acesso a todas as áreas não necessárias, como uma checagem de credenciais. Depois, defina políticas de autorização para solicitações. Cada tipo de autorização precisa de um responsável, que irá avaliar cada necessidade.
Outro fator fundamental é um sistema que detecte comportamentos anômalos, como acessos ao sistema feitos em localizações ou dispositivos diferentes do usual. Para isso, a autenticação em dois fatores, vinculada a um dispositivo anteriormente conhecido do sistema, é uma ótima trava de segurança.
Faça auditorias e checagens de segurança frequentes no sistema, a fim de detectar quaisquer falhas ou acessos indevidos. Parta do princípio de que qualquer rede pode estar contaminada, inclusive a própria rede principal da companhia.
São diversos os motivos para adotar políticas de zero trust em sua empresa, independentemente de seu porte. Os inúmeros dados armazenados na rede interna são, muitas vezes, os bens mais valiosos da companhia, e os ciberataques não param de aumentar, tanto em quantidade, quanto em grau de periculosidade. O importante é que cada profissional entenda a importância do conceito e os riscos que todos corremos a cada acesso à internet.
