A filosofia zero trust, a qual difere de modelos prévios por seu desenho de proteção em camadas, propõe que nenhuma pessoa ou dispositivo, dentro ou fora da rede de uma organização, possa ter acesso a sistemas ou serviços de TI sem antes realizar uma identificação robusta.
Confiança zero: a tradução literal de zero trust está muito próxima do que propõe esta filosofia cada vez mais popular de cibersegurança. Especificamente, baseia-se na filosofia de "nunca confiar, sempre verificar": nenhum usuário ou dispositivo pode acessar dados, um sistema ou um serviço de TI sem antes realizar sua autenticação. E cada vez que o usuário acessa uma nova área da rede ou um novo dispositivo, sua identidade deve ser novamente verificada.
Em um contexto em que os ciberataques estão se tornando mais sofisticados e complexos, as organizações precisam rever a governança de segurança em todos os níveis. Isto é precisamente o que diferencia a abordagem de zero trust de seus predecessores. A sua arquitetura é dividida em camadas que refletem o caminho que os dados normalmente percorrem: identidade, endpoint, aplicação, rede, infraestrutura e dados. Cada uma destas camadas tem seus próprios controles de segurança e cada vez que um dado trafega de uma camada para outra, a identidade do usuário e as permissões de acesso ao novo segmento, ambiente ou dispositivo são revisadas novamente.
Esta abordagem do zero trust ganhou notoriedade com o uso amplamente difundido da nuvem e do trabalho colaborativo, muitos de seus princípios se aplicam aos modelos locais (on-premise). De fato, as organizações que já implementaram controles de segurança mais sólidos e orientados por políticas e melhores práticas em suas infraestruturas físicas internas conseguem capitalizar os investimentos realizados e o conhecimento adquirido na transição para um modelo zero trust.
Quando se trata da adoção do modelo, nem todas as organizações implementarão o modelo com as mesmas prioridades: uma empresa com dados altamente críticos e poucos usuários provavelmente focará na segurança da camada de dados, enquanto outra com dados menos críticos (por exemplo, poucos dados pessoais ou de saúde), mas com milhares de colaboradores, provavelmente dará maior relevância à camada de identidade.
Adoção na América Latina
Na América Latina, a maturidade da adoção deste modelo continua avançando, embora ainda haja um longo caminho a percorrer. Um relatório realizado em conjunto pela NTT DATA e a Microsoft constatou que 88% das empresas já estão familiarizadas com o modelo de zero trust, contudo o número de empresas que já o utilizam para a implantação e uso de seus ambientes de nuvem é significativamente reduzido, com apenas 50% (embora 54% considerem que investir nesta nova filosofia é "muito crítico").
Os maiores benefícios identificados pelas empresas a partir deste modelo são: melhor controle sobre o ambiente de nuvem (54%), melhor proteção dos dados dos clientes (54%), melhores controles de permissão (42%) e maior contenção das violações de segurança (38%).
Quais são os principais desafios ao longo do caminho? Carência de talentos específicos na área de cibersegurança, problemas de compatibilidade com sistemas legados e orçamento limitado.
Além das questões tecnológicas, as empresas que possuem consciência sobre quais são os comportamentos de cibersegurança que desejam adotar e que promovem o treinamento de seus colaboradores para que eles saibam como se proteger dos diferentes tipos de ataques serão as que alcançarão os melhores resultados. Porque a implementação bem-sucedida do zero trust depende em grande parte de uma camada que normalmente não está listada com as anteriores: a cultural.
