We couldn't find a match for given <KEYWORD>, please try again.

O que é confiança zero?

Confiança zero é o nome dado a uma abordagem de segurança de TI que pressupõe que não há perímetro de rede confiável e todas as transações de rede devem ser autenticadas antes que sejam realizadas.

A confiança zero baseia-se no princípio de "nunca confiar, sempre verificar" e depende de outras metodologias de segurança de rede, como segmentação de rede e controle de acesso rigoroso. Uma rede de confiança zero define uma "superfície de proteção", que inclui dados, ativos, aplicativos e serviços essenciais (DAAS, pela sigla em inglês). Em geral, a superfície de proteção é consideravelmente menor do que toda a superfície de ataque, já que apenas os ativos essenciais são incluídos.

A segurança de confiança zero substituiu as antigas suposições de que os recursos dentro do perímetro da rede empresarial devem ser confiáveis e vê a confiança como uma vulnerabilidade, já que os usuários em uma rede "confiável" podem movimentar-se por toda a rede ou causar a exfiltração de todos os dados aos quais têm acesso.

Em uma arquitetura de confiança zero, a criação de uma rede confiável não é uma possibilidade. Em vez disso, o conceito de confiança é totalmente eliminado. Depois que a superfície de proteção é determinada, saber como o tráfego de rede atravessa a superfície, quais usuários estão acessando ativos protegidos, bem como catalogar os aplicativos usados e os métodos de conectividade, tornam-se os pilares para a criação e a aplicação de políticas de acesso seguro para dados protegidos. Quando essas dependências são compreendidas, é possível colocar controles próximos à superfície de proteção para criar um microperímetro, normalmente usando um firewall de próxima geração (NGFW, pela sigla em inglês) chamado gateway de segmentação, que permite apenas o tráfego de usuários e aplicativos válidos. O NGFW oferece visibilidade do tráfego e aplica o controle de acesso com base no método Kipling, definindo a política de acesso com base em quem, o quê, quando, onde, por que e como. Isso ajuda a determinar qual tráfego pode atravessar o microperímetro, mantendo usuários e aplicativos não autorizados do lado de fora e os dados confidenciais do lado de dentro.

Como as forças de trabalho são dispersas e remotas, a confiança zero não depende de nenhum local específico. Os ativos e os usuários podem residir em qualquer lugar: no ambiente local, em uma ou mais nuvens ou na borda, seja nas residências dos funcionários ou como dispositivos IoT.

Como chegar à confiança zero

Simplifique sua jornada rumo à confiança zero

Quem criou a confiança zero?

A confiança zero foi ideia de John Kindervag, vice-presidente e analista principal da Forrester Research. Em 2010, ele apresentou o modelo do conceito quando percebeu que os modelos de segurança existentes se baseavam no pressuposto desatualizado de que tudo dentro da rede empresarial deveria ser confiável. A aceitação do modelo de confiança zero acelerou em 2013, quando o Google anunciou a implementação de uma política de segurança de confiança zero em sua própria rede. Em 2019, o Gartner listou a confiança zero como um componente central das soluções de borda de serviço de acesso seguro.

Como obter uma arquitetura de confiança zero?

Embora seja frequentemente considerada complexa e cara, a confiança zero usa a arquitetura de rede existente, em vez de um upgrade em grande escala. Não há produtos de confiança zero propriamente ditos, mas há produtos que são compatíveis com uma arquitetura e um ambiente de confiança zero, e produtos que não são.

A implantação e manutenção de uma arquitetura de confiança zero pode ser simples por meio da metodologia de cinco etapas descrita pela Forrester em 2010.

Identifique a superfície de proteção, incluindo aplicativos e dados confidenciais. A Forrester recomenda um modelo simples com três classificações: pública, interna e confidencial. A partir daí, os dados que requerem proteção podem ser segmentados em microperímetros, que podem ser conectados para produzir uma rede de confiança zero mais ampla.

Mapeie os fluxos de transação de todos os dados confidenciais para saber como os dados se movem entre pessoas, aplicativos e conexões externas a parceiros de negócios e clientes. Em seguida, as dependências de objetos de rede e sistema podem ser expostas e protegidas. Este exercício pode produzir otimizações de fluxo de dados que podem melhorar o desempenho geral e a segurança

Defina uma arquitetura de confiança zero para cada microperímetro com base no modo como os dados e as transações fluem pela empresa (e parceiros externos). Isso pode ser feito com redes definidas por software (SDNs, pela sigla em inglês) e protocolos de segurança e firewalls de próxima geração físicos ou virtuais.

Crie uma política de confiança zero após a conclusão do design da rede. Muitas organizações utilizam o método Kipling, que aborda quem, o quê, quando, onde, por que e como usar as políticas e a rede. Isso proporciona uma política de aplicação detalhada de camada 7 para que apenas aplicativos ou usuários conhecidos e autorizados tenham acesso à superfície protegida. Parta do pressuposto de que todos os dispositivos pessoais, sejam eles de propriedade da empresa ou BYOD, são inseguros.

Automatize, monitore e faça a manutenção para determinar para onde está fluindo um possível tráfego anômalo, por meio do monitoramento da atividade ao redor. Determine onde a atividade anômala está ocorrendo e monitore toda a atividade ao redor. Automatize a inspeção e a análise do tráfego de log para que os dados possam fluir sem afetar as operações.

Quais são os princípios fundamentais da confiança zero?

"Nunca confie, sempre verifique". O princípio fundamental da confiança zero é descartar a antiga ideia de que tudo na rede é seguro. Não há mais perímetro seguro devido às mudanças na natureza da força de trabalho, à adoção de aplicativos baseados em microsserviços, que podem ter componentes em quase todos os lugares, e à natureza cada vez mais colaborativa dos processos de negócios. Os funcionários remotos já não são protegidos pelo firewall, até mesmo os funcionários conectados por VPN. E nenhum dispositivo é seguro. Nem smartphone, nem desktop, nenhum!

A confiança zero não é uma tecnologia nem um produto. É uma forma de proteger ativos essenciais aos negócios contra olhares indiscretos e ataques de malware. A confiança zero é possibilitada por produtos como NGFW, autenticação multifator e princípios da microssegmentação e dos privilégios mínimos.

Não existe uma abordagem ou tecnologia únicas para a confiança zero. A arquitetura dependerá do tamanho da superfície de proteção e da microssegmentação resultante, e os arquitetos devem considerar o impacto que as políticas de confiança zero terão na experiência do usuário nos aplicativos, bancos de dados e outros recursos afetados.

A confiança zero pode exigir que uma empresa reavalie como proteger todos os ativos, já que, na verdade, a aplicação migra do que era o perímetro da rede para os sistemas e aplicativos individuais na superfície protegida. Em vez de determinar a origem de uma solicitação e se a rede é segura, a confiança zero tenta autenticar o usuário e o dispositivo em questão, garantindo que eles sejam quem e o que afirmam ser. Isso deve incluir a capacidade de atribuir confiança a um dispositivo com base em outras autenticações fornecidas, por exemplo, para que um smartphone "conhecido" não precise de um token se o ID de usuário e a senha corretos forem fornecidos.

A confiança zero pode ser um desafio, pois ela limitará o acesso e poderá irritar aqueles que tinham acesso ocasional a aplicativos não necessários para realizar suas funções de trabalho. A comunicação e o treinamento adequados sobre a necessidade e os benefícios de uma rede de confiança zero devem desempenhar um papel importante na implantação inicial e na integração de novos usuários.

Qual é a função da confiança zero na segurança da força de trabalho remota?

A pandemia global de coronavírus aumentou consideravelmente o número de funcionários que trabalham em casa, e muitos analistas acreditam que, mesmo depois que a ameaça cessar, muitas organizações continuarão promovendo o trabalho em casa (WFH, pela sigla em inglês) para funcionários que não precisam estar fisicamente presentes na empresa para realizar suas tarefas.

Com o aumento do número de usuários que acessam sistemas remotamente, também é provável que os ataques cibernéticos a funcionários e dispositivos remotos, bem como a sistemas corporativos por meio de funcionários remotos, também aumentem.

Consequentemente, devido a uma ampla força de trabalho remota, as redes empresariais correm um risco cada vez maior de crimes cibernéticos e ataques de ransomware.

Considerando o número cada vez maior de funcionários trabalhando em casa, é provável que os ataques a funcionários remotos (e por meio deles) continuem aumentando. Os criminosos cibernéticos estão prontos e dispostos a prescrutar a base maior de usuários que trabalham em casa, o que coloca as redes e os dados corporativos em um nível de risco ainda maior do que o normal. Muitas organizações adotaram ou adotarão um modelo de segurança de confiança zero, cuja finalidade é a autenticação de todos os usuários (e dos dispositivos que elas utilizam para acesso), bem como a redução as permissões de cada usuário ao mínimo necessário para que conduzam seus negócios.

Isso reduz o ônus sobre os funcionários em grande parte da pilha de segurança, já que a confiança zero pressupõe que os funcionários sejam inerentemente inseguros até prova em contrário. Até mesmo a menor das organizações pode começar a adotar políticas de segurança de confiança zero, por exemplo, ao insistir na autenticação multifator de cada usuário, seja interno ou externo.

Muitas organizações que têm dificuldades com as forças de trabalho remotas crescentes fazem isso por meio de um front-end de gateway baseado na Web, pelo qual todo o acesso da superfície de proteção deve passar, independentemente de sua origem. Esse gateway pode executar as tarefas de autenticação e até mesmo garantir que os dispositivos e sistemas operacionais tenham os patches de segurança mais recentes aplicados antes de conceder acesso.

Como os funcionários que trabalham em casa normalmente dependem de dois ou mais dispositivos para realizar funções de trabalho, é extremamente importante que a segurança de confiança zero seja totalmente independente do dispositivo e da rede. Como o trabalho remoto veio para ficar, a capacidade da confiança zero de permitir conexões seguras em dispositivos novos e desconhecidos continuará sendo um fator importante em seu crescimento contínuo.

Soluções e produtos relacionados

Microssegmentação

Defina e aplique políticas de segurança de rede em todas as nuvens.

Workspace ONE

Plataforma de espaço de trabalho digital que possibilita a confiança zero.

Soluções de segurança da VMware

Implemente a confiança zero com menos ferramentas e silos, melhor contexto e maior segurança.