O que é a arquitetura Confiança Zero?

À medida que as ciberameaças se tornam cada vez mais sofisticadas e implacáveis, os modelos de segurança tradicionais tornam-se menos eficazes. No entanto, as empresas podem implementar uma abordagem robusta e adaptativa à cibersegurança operando sob a ideia de que nenhuma entidade deve ser confiável por padrão.

Explore os princípios fundamentais que tornam a arquitetura de Confiança Zero numa estrutura essencial para o seu negócio.

Verifique explicitamente
A Confiança Zero lida com todas as tentativas de acesso a recursos empresariais como se o pedido tivesse origem numa rede aberta. Em vez de verificar credenciais uma única vez no ponto de entrada, a ZTA avalia regularmente e de forma abrangente os pontos de dados—como a identidade do utilizador, localização e dispositivo—em tempo real para identificar sinais de alerta e ajudar a garantir que apenas utilizadores e dispositivos autorizados possam aceder à sua rede.

Utilize o acesso menos privilegiado
A ZTA fornece a cada utilizador apenas o nível mínimo de acesso necessário para realizar as suas tarefas. Limitar os direitos de acesso desta forma ajuda a sua empresa a minimizar os danos que uma conta comprometida pode causar.

Presuma que as falhas de segurança podem acontecer
A Confiança Zero opera sob a premissa de que as violações são inevitáveis. Em vez de se concentrar apenas em preveni-las, esta abordagem também antecipa proativamente ciberataques assumindo que utilizadores, dispositivos e sistemas em toda a sua empresa já estão comprometidos.

A Confiança Zero transforma fundamentalmente a forma como as organizações abordam a cibersegurança, garantindo que cada pedido de acesso seja minuciosamente verificado, independentemente da sua origem, e limitando proativamente o risco. Descubra os principais componentes que fazem da ZTA uma estrutura tão importante para a sua empresa.

Gestão de identidades e acessos (IAM)
A Confiança Zero verifica sempre a autenticidade dos utilizadores e dispositivos antes de conceder acesso aos recursos. Especificamente, esta estrutura utiliza estratégias de IAM, como a autenticação multifator, o início de trabalho único (SSO) e o controlo de acesso baseado em funções, para ajudar a evitar falhas de segurança relacionadas com a identidade. Estas capacidades também podem melhorar as experiências de utilizador para os colaboradores da sua empresa, simplificando os processos de início de sessão e reduzindo a necessidade de memorizar várias palavras-passe.

Segmentação de rede
A ZTA divide a sua rede em segmentos menores e isolados que limitam o movimento lateral de potenciais ciberataques. Cada segmento atua como uma zona segura que ajuda a sua empresa a conter violações e a prevenir que ciberameaças se espalhem para outras partes da sua infraestrutura. Se ocorrer uma violação de dados, a sua empresa pode facilmente confiná-la a uma área específica e limitar significativamente os danos causados.

A segmentação da rede também capacita a sua empresa a aplicar políticas de segurança personalizadas a cada área da sua rede. Por exemplo, podem ser aplicados controlos mais rigorosos a segmentos que contêm dados confidenciais, enquanto segmentos menos críticos podem ter políticas mais relaxadas. Esta flexibilidade permite que a sua empresa otimize a sua postura de segurança sem comprometer a eficiência operacional.

Segurança de pontos finais
A arquitetura de Confiança Zero protege dispositivos de ponto final —como portáteis, smartphones e tablets—em toda a sua empresa para prevenir ameaças cibernéticas como malware de infiltrarem na sua rede. A segurança de pontos finais é essencial porque estes dispositivos são frequentemente alvo de como uma porta de entrada para ciberataques de maior dimensão ganharem acesso e causarem perturbações. A ZTA fornece capacidades avançadas de deteção e resposta a ameaças, encriptação abrangente e atualizações regulares de dispositivos para ajudar a manter a integridade das operações da sua empresa.

Segurança de dados
As estruturas de Confiança Zero oferecem controlos de acesso robustos, encriptação ponto a ponto e capacidades de mascaramento de dados que ajudam a impedir falhas de segurança de dados e o acesso não autorizado a informações confidenciais. Usando medidas eficazes de segurança de dados como estas, a sua empresa pode cumprir consistentemente as regulamentações e manter a confiança dos clientes. A ZTA também compreende estratégias de prevenção de perda de dados (DLP) para ajudar a evitar a divulgação ou o roubo de dados da sua empresa.

Gestão de Informações e Eventos de Segurança (SIEM)
A ZTA utiliza sistemas SIEM para fornecer análise em tempo real de alertas de segurança gerados por aplicações empresariais e hardware de rede. Isto capacita a sua empresa para detetar e responder rapidamente a potenciais ciberameaças antes que possam causar danos.

Os sistemas SIEM na arquitetura de Confiança Zero também o ajudam a compreender melhor o cenário de ameaças ao fornecer informações valiosas sobre tendências e padrões de segurança. Ao analisar dados históricos, as organizações podem identificar problemas recorrentes e tomar medidas para os resolver proativamente. Adotar um processo de melhoria contínua é essencial para a sua empresa se manter à frente das ciberameaças emergentes e manter uma postura de segurança forte.

Capacidades de IA
A Confiança Zero utiliza IA para cibersegurança para detetar com precisão ameaças cibernéticas e responder a elas de forma eficiente. Os modelos de IA podem analisar rapidamente grandes quantidades de dados, permitindo à sua empresa identificar padrões complexos e anomalias que podem indicar uma violação ou ciberataque. A Confiança Zero também fornece à sua empresa capacidades de automação que ajudam as equipas de segurança a economizar tempo e priorizar ciberameaças complexas. Considere implementar a ZTA para modernizar a sua estrutura de segurança, reduzir os tempos de resposta e manter-se à frente das ciberameaças em evolução.

A arquitetura de Confiança Zero evoluiu ao longo de várias décadas em resposta às limitações dos modelos de segurança tradicionais e à crescente sofisticação das ciberameaças. No início dos anos 2000, um grupo de especialistas em segurança—conhecido como o Jericho Forum—começou a defender a desperimetrização, ou o uso de múltiplos níveis de segurança independentemente da localização. Este conceito de ir além dos controlos de segurança baseados em perímetro ajudou a estabelecer as bases para os modelos de Confiança Zero como os conhecemos hoje.

Explore os principais marcos na evolução da segurança de Confiança Zero.
 

• 2010: O analista John Kindervag cunhou formalmente o termo “ Confiança Zero” num documento para o Forrester Research Group, sublinhando a necessidade de verificar todos os pedidos de acesso, independentemente da sua origem.
• 2017: A Gartner apresenta a estrutura Avaliação Adaptativa Contínua dos Riscos e da Confiança (CARTA), uma abordagem de segurança centrada na avaliação e adaptação constantes aos riscos.
• 2020: O National Institute of Standards and Technology (NIST) lança a Publicação Especial 800-207, que define um conjunto abrangente de diretrizes e melhores práticas para estabelecer a ZTA.
• 2022: O governo dos Estados Unidos exige a adoção dos princípios de Confiança Zero para todas as agências federais até 2024, sublinhando a importância da Confiança Zero na cibersegurança moderna.

 

A arquitetura de segurança tradicional permite que os utilizadores acedam a toda a rede corporativa uma vez que se tenham autenticado no trabalho. Embora esta abordagem proteja o perímetro de uma organização, está ligada ao escritório físico e não suporta trabalho remoto ou híbrido. Além disso, as estruturas de segurança tradicionais expõem as empresas a riscos, pois se alguém roubar uma palavra-passe, pode aceder a tudo.

Em vez de apenas proteger o perímetro de uma organização, a arquitetura de rede de Confiança Zero protege todos os seus ficheiros, e-mails e dados, autenticando regularmente cada utilizador e dispositivo. A ZTA também ajuda a garantir o acesso remoto, dispositivos pessoais e aplicações de terceiros para proporcionar maior flexibilidade, facilitar o trabalho remoto e apoiar modelos de negócios Bring Your Own Device (BYOD).

A Confiança Zero combina várias técnicas de autenticação, monitorização de rede, encriptação e controlo de acesso para fortalecer de forma abrangente a sua postura de segurança.

Autenticação e autorização
Todos os utilizadores e dispositivos são autenticados e autorizados antes de acederem aos recursos. O acesso à rede de Confiança Zero (ZTNA) envolve frequentemente autenticação multifator e controlo de acesso baseado em funções.

Monitorização e análise de rede
O tráfego de rede e os comportamentos dos utilizadores são monitorizados continuamente para detetar anomalias, atividades suspeitas e potenciais ameaças.

Encriptação ponto a ponto
Os dados empresariais em toda a sua empresa estão protegidos para garantir que, mesmo que os dados sejam intercetados, não podem ser lidos por partes não autorizadas.

Mecanismos de controlo de acesso
O acesso aos recursos é determinado pela identidade do utilizador e do dispositivo, além de outros fatores contextuais, como a localização e o comportamento.

A transição para um modelo de Confiança Zero pode ser um processo desafiante devido à complexidade dos ambientes de TI existentes. Por exemplo, a integração das suas tecnologias existentes numa nova arquitetura de Confiança Zero é difícil quando os sistemas legados não são compatíveis com medidas de segurança modernas. Considere investir em soluções interoperáveis ou planear uma abordagem de implementação faseada para ultrapassar estes tipos de desafios relacionados com TI.

Siga estes passos e melhores práticas para adotar a arquitetura de Confiança Zero para a sua empresa:

1. Criar uma verificação de identidade segura

Efetue a autenticação do acesso a todas as aplicações, serviços e recursos que a sua organização utiliza, a começar pelos mais confidenciais. Disponibilize as ferramentas para os administradores avaliarem os riscos e responderem em tempo real, caso uma identidade tenha sinais de alerta, como demasiadas tentativas de início de sessão falhadas.

2. Efetuar a gestão do acesso a dispositivos e redes

Certifique-se de que todos os pontos finais, quer sejam pessoais ou empresariais, estão em conformidade com os requisitos de segurança da sua organização. Encripte as redes e garanta que todas as ligações são seguras, incluindo remotas e no local. Segmente as redes para limitar o acesso não autorizado.

3. Melhorar a visibilidade das aplicações

A "TI sombra" é uma aplicação ou sistema não autorizado que os colaboradores utilizam e que pode introduzir ciberameaças. Investigue quais as aplicações que as pessoas instalaram para poder definir permissões, monitorize-as para detetar quaisquer sinais de aviso e certifique-se de que estão em conformidade.

4. Definir permissões de dados

Atribua níveis de classificação aos dados da sua organização, desde documentos a e-mails. Encripte dados confidenciais e permita um acesso com privilégios mínimos.

5. Monitorizar a sua infraestrutura

Avalie, atualize e configure todas as infraestruturas, como servidores e máquinas virtuais, para limitar o acesso desnecessário. Monitorize as métricas para facilitar a identificação de comportamento suspeito.

Em todos os setores, as empresas estão a implementar a arquitetura de Confiança Zero para atender de forma mais eficaz às suas necessidades de segurança únicas e em evolução. Por exemplo, o conglomerado tecnológico multinacional Siemens implementou a arquitetura de Confiança Zero para elevar a sua postura de segurança usando os princípios de “nunca confiar, sempre verificar”. Independentemente do setor, as organizações podem implementar a ZTA numa variedade de casos de utilização, como:
 

• Suporte para vários ambientes de nuvem.
• Responder a phishing, credenciais roubadas ou ransomware.
• Permita um acesso seguro e por tempo limitado a colaboradores temporários.
• Proteger e monitorizar o acesso a aplicações de terceiros.
• Apoiar os trabalhadores de primeira linha que utilizam uma variedade de dispositivos.
• Manter a conformidade com requisitos de regulamentação.
  
  

No entanto, a Confiança Zero também pode proporcionar à sua empresa benefícios personalizados para indústrias específicas, incluindo:
 

• Finanças. Melhore a sua postura de segurança ao utilizar o acesso com privilégios mínimos, além de monitorizar continuamente o comportamento na sua rede para identificar e reagir rapidamente a atividades maliciosas.
• Cuidados de saúde. Proteja o seu sistema de registos de saúde eletrónicos implementando MFA, e reduza o risco de violações de dados segmentando a sua rede.
• Governo. Evite o acesso não autorizado a informações classificadas encriptando os seus dados e implementando controlos de acesso rigorosos. 
• Retalho. Proteja os dados dos clientes e proteja a sua plataforma de comércio eletrónico utilizando a verificação contínua e políticas sensíveis ao contexto.
• Educação. Proteja dispositivos pessoais, aplicações de terceiros e acesso remoto aos seus ambientes de aprendizagem digital para apoiar a aprendizagem remota e melhorar a flexibilidade.

 

A adoção da Confiança Zero no seu negócio torna-se cada vez mais importante. À medida que os ambientes de trabalho se tornam mais dinâmicos e as ciberameaças continuam a evoluir, as organizações devem verificar cada pedido de acesso e implementar controlos de segurança abrangentes para garantir que todas as suas redes estão protegidas. As soluções de Confiança Zero variam bastante no âmbito e na escala, eis alguns exemplos:

Os indivíduos  podem ativar a autenticação multifator (MFA) para obterem um código único antes de acederem a uma aplicação ou site. Também pode começar a iniciar sessão através da biométrica, como a sua impressão digital ou o seu rosto.

Escolas e comunidades podem optar por não usar palavras-passe ao utilizarem chaves de acesso, uma vez que as palavras-passe são fáceis de perder. Também podem melhorar a segurança de pontos finais para suportar o teletrabalho e o ensino remoto, bem como segmentar o acesso em caso de perda ou roubo de um dispositivo.

As organizações podem adotar a arquitetura Confiança Zero ao identificar todos os pontos de acesso e ao implementar políticas para um acesso mais seguro. Uma vez que o Confiança Zero é uma abordagem de longo prazo, as organizações devem comprometer-se a realizar monitorização contínua para detetar novas ameaças.

Considere implementar soluções de Confiança Zero para a sua empresa.