Modelo de Segurança Zero Trust

A confiança zero é uma filosofia de segurança de rede que afirma que ninguém dentro ou fora da rede deve ser confiável, a menos que sua identificação tenha sido completamente verificada. A confiança zero opera com a suposição de que as ameaças tanto fora quanto dentro da rede são um fator onipresente. A confiança zero também pressupõe que cada tentativa de acessar a rede ou um aplicativo é uma ameaça. Essas suposições informam o pensamento dos administradores de rede, o que os obriga a projetar medidas de segurança rigorosas e sem confiança.

Zero Trust é um modelo de segurança de rede que requer verificação e autenticação dos usuários que podem se conectar ao sistema ou aos serviços de sua organização. 

O termo “confiança zero” foi criado pela primeira vez por John Kindervag na Forrester Research. Em um artigo publicado em 2010, Kindervag explicou como os modelos tradicionais de segurança de rede não fornecem proteção adequada porque todos exigem um elemento de confiança. Os administradores precisam confiar em pessoas e dispositivos em vários pontos da rede e, se essa confiança for violada, toda a rede pode ser colocada em risco. 

Para resolver o problema, ele recomendou o uso de gateways de segmentação (Segmentation gateway, SG), que poderiam ser instalados no coração de uma rede. O modelo SG envolve incorporar várias medidas de proteção diferentes e usar um mecanismo de encaminhamento de pacotes para despachar proteções onde elas são necessárias na rede.

Manter a segurança das informações é fundamental para o bom desempenho do negócio. Hoje, os dados são cada vez mais relevantes para a tomada de decisão e definição de estratégias. Além disso, a proteção de informações pessoais de clientes, colaboradores e até parceiros de negócios é obrigatória, segundo os termos da Lei Geral de Proteção de Dados Pessoais (LGPD). 

No que determina a LGPD o modelo de segurança Zero Trust define sete princípios-chave ou áreas de foco quando uma organização está trabalhando para implementar um modelo de segurança Zero Trust.

Cinco desses princípios baseiam-se na aplicação da postura de segurança de “negação padrão” a vários ativos corporativos, incluindo:

1. Redes de confiança zero: defender o perímetro da rede tradicional não é suficiente para a segurança cibernética corporativa ou para uma política de segurança de confiança zero. Uma rede zero trust é microssegmentada, onde os perímetros são definidos em torno de cada um dos ativos valiosos da empresa. Nestes limites, é possível realizar inspeções de segurança e aplicar controles de acesso, o que facilita o bloqueio do movimento lateral de ameaças através da rede e a contenção e isolamento de uma possível violação.
2. Cargas de trabalho Zero Trust: Cargas de trabalho baseadas em nuvem, incluindo ativos como contêineres, funções e VMs, são alvos atraentes para os cibercriminosos e têm necessidades de segurança exclusivas. O monitoramento de segurança de confiança zero granular e personalizado e o gerenciamento de acesso são essenciais para proteger esses ativos, especialmente na nuvem pública.
3. Dados de confiança zero: A segurança aprimorada dos dados é um dos objetivos principais de uma política de segurança de confiança zero. A implementação da confiança zero requer a identificação de caches de dados confidenciais ou valiosos, o mapeamento de fluxos de dados comuns e a definição de requisitos de acesso com base nas necessidades de negócios. Essas políticas também devem ser definidas e aplicadas de forma consistente em todo o ecossistema de TI de uma organização, incluindo estações de trabalho, dispositivos móveis, servidores de aplicativos e bancos de dados e implantação em nuvem.
4. Pessoas de confiança zero: Credenciais comprometidas são a principal causa de violações de dados, portanto a autenticação baseada em nomes de usuário e senhas não é mais suficiente. Zero trust requer autenticação forte usando Autenticação multifatorial (MFA) e zero trust network access (ZTNA)
5. Dispositivo Zero Trust: Uma estratégia de segurança zero trust inclui tratar todos os dispositivos conectados à rede corporativa como não confiáveis e como uma ameaça potencial. A implementação da segurança de confiança zero requer a capacidade de determinar se um dispositivo é uma ameaça e de isolar aqueles que estão comprometidos.

Os outros dois princípios fundamentais descrevem capacidades vitais para uma estratégia de segurança de confiança zero, incluindo:

1. Visibilidade e análise: uma política de segurança de confiança zero baseia-se na tomada de decisões de acesso informadas, o que requer profunda visibilidade das atividades realizadas no dispositivo e na rede corporativa. A segurança zero trust eficaz é baseada em análises que monitoram, registram, correlacionam e analisam constantemente dados coletados de todo o ecossistema de TI corporativo.
2.  Automação e orquestração: uma rede de confiança zero oferece a capacidade de detectar atividades não autorizadas e potencialmente maliciosas no ambiente corporativo. A arquitetura de confiança zero deve ser integrada à infraestrutura de segurança corporativa e à arquitetura de TI para suportar resposta rápida, automatizada e escalonável a incidentes, auditoria de segurança, caça a ameaças e delegação de tarefas.

Abaixo 3 benefícios ao implementar o modelo de segurança Zero Trust:

1. Proteção de dados do cliente: O tempo desperdiçado e a frustração que vem da perda de dados dos clientes são eliminados, assim como o custo de perder clientes que não confiam mais no negócio.
2. Redução da redundância e complexidade da pilha de segurança: Quando um sistema de confiança zero lida com todas as funções de segurança, você pode eliminar pilhas de firewalls redundantes, gateways da Web e outros dispositivos de segurança virtuais e de hardware.
3. Necessidade reduzida de contratar e treinar profissionais de segurança: Um sistema central de confiança zero significa que você não precisa contratar tantas pessoas para gerenciar, monitorar, proteger, refinar e atualizar os controles de segurança.

No blog da Nvidia tem mais informações a respeito para saber mais clique aqui.