Confiança Zero

O que é confiança zero?

Confiança zero é um conceito estratégico de segurança e uma estrutura construída sobre o princípio de que nenhuma confiança implícita é concedida a ativos ou contas de usuário. Isso se aplica independentemente da localização física ou de rede (ou seja, redes locais vs. a internet) ou da propriedade do ativo (empresarial ou pessoal), dependendo da configuração da política.

A confiança zero em software é aplicada através da arquitetura de confiança zero (ZTA). ZTA é uma arquitetura digital caracterizada por controles de acesso rigorosos, monitoramento contínuo, criptografia, segmentação de rede e outros controles baseados em políticas para mitigar ameaças cibernéticas em evolução.

Impactos do uso de confiança zero

As políticas de confiança zero exigem que todas as entidades, dentro ou fora da rede da organização, sejam autenticadas, autorizadas e continuamente validadas quanto à configuração e postura de segurança antes de receberem acesso a aplicativos e dados ou manterem o acesso existente.

• Segurança de dados: A confiança zero se aplica tanto ao acesso externo quanto interno. Como apenas usuários autenticados e autorizados podem acessar os recursos da rede, os riscos de acesso não autorizado e violações de dados são reduzidos. Isso é alcançado, em parte, através de uma superfície de ataque menor. Existem menos vulnerabilidades de rede devido ao acesso limitado. Além disso, ao reduzir a superfície de ataque interna, protege contra ameaças dentro de uma organização, eliminando o acesso a áreas não relacionadas às responsabilidades de um usuário interno. A confiança zero não assume que, porque um usuário está dentro da organização, ele é "seguro".
• Conformidade regulatória: Controles de acesso rigorosos e monitoramento de acesso são centrais para a confiança zero. Isso ajuda as organizações a permanecerem em conformidade com várias regulamentações para proteger dados sensíveis. Através de esforços de descoberta e classificação de dados sensíveis para definir limites de confiança zero nos dados, as organizações mantêm um catálogo atualizado de informações sensíveis, normalmente exigido para vários tipos de auditorias.
• Visibilidade e análise: Organizações com uma abordagem de confiança zero normalmente usam capacidades avançadas de monitoramento, alimentando sistemas de análise de segurança para maior avaliação de risco e capacidades de detecção de ameaças.

• Resposta a incidentes: A confiança zero facilita respostas mais rápidas e eficientes a incidentes de segurança através de monitoramento e conscientização aumentados.

• Adaptabilidade: Os princípios de confiança zero são flexíveis por natureza. A necessidade de reavaliar constantemente permissões de usuários e dispositivos exige que as organizações permaneçam ágeis. Como resultado, as organizações podem se adaptar rapidamente a ambientes em mudança e escalar à medida que crescem.

• Economia de custos e gestão de reputação: Ambientes de trabalho seguros reduzem o risco de violações de dados custosas que poderiam resultar em uma organização sendo multada, perda de negócios e os custos associados à resolução do incidente. Uma abordagem de confiança zero poderia reduzir os prêmios de seguro cibernético através de monitoramento proativo e rápida remediação de violações. Além disso, ao reduzir os riscos de violações através de uma estrutura de confiança zero, as organizações preservam sua imagem de marca e reputação, que de outra forma seriam danificadas.

Elementos básicos de confiança zero e ZTA

O conceito de confiança zero é expresso através da ZTA. Os elementos básicos da ZTA que se esperaria ver em software alinhado com o conceito de confiança zero incluem:

• Verificação de usuário aprimorada: Os princípios de confiança zero incentivam o uso de métodos de verificação de identidade, software de autenticação multifator (MFA) e, às vezes, software de verificação biométrica para garantir que um usuário ou dispositivo seja legítimo.

• Controle de acesso dinâmico: O acesso de usuários e dispositivos é responsivo a mudanças nas políticas de segurança e no ambiente de rede. Isso requer monitoramento contínuo e verificação de identidade, frequentemente presente em vários tipos de software de gerenciamento de identidade. Aprendizado de máquina e automação são utilizados para avaliar risco e conformidade.
• Microsegmentação: As redes são segmentadas em superfícies menores, o que não apenas reduz o risco de violações de dados, mas também minimiza seu impacto.
• Proteção de dados e infraestrutura de rede: Os dados devem ser criptografados tanto em trânsito quanto em repouso, juntamente com outras capacidades de proteção de dados. Recursos tradicionais de software de segurança de rede, como firewalls e detecção e prevenção de intrusões, devem ser incorporados.

Melhores práticas de confiança zero

Para fazer a confiança zero funcionar, siga estas melhores práticas:

• Assuma violações e ambientes hostis: Comece de um lugar de desconfiança, assumindo que violações são possíveis e que os ambientes podem ser hostis.
• Segurança de endpoint: Garanta que todos os dispositivos conectados à rede estejam seguros antes de conceder acesso a qualquer usuário. Embora não caia sob o escopo da ZTA, é um ponto de partida recomendado ao adotar uma abordagem de confiança zero.
• Conheça seus ativos: Mantenha um inventário detalhado de todos os ativos, onde estão armazenados e para que são usados. Os administradores devem ter acesso a um catálogo preciso dos ativos da empresa, entender suas localizações e identificar os ativos mais sensíveis que requerem as proteções mais rigorosas. Isso ajudará os administradores ao atribuir permissões com base no acesso menos privilegiado.

• Acesso menos privilegiado: Administradores de rede que implementam uma abordagem de confiança zero devem fornecer aos usuários o nível mínimo de acesso necessário para completar uma tarefa específica. Para acesso de alto nível à rede e segurança, gerenciamento de acesso privilegiado é crítico.
• Acesso explícito: Não apenas os administradores têm acesso restrito aos dados, mas usuários e dispositivos são explicitamente aprovados apenas para o que é necessário para realizar uma tarefa específica. Os administradores devem assumir que os requisitos de acesso dos usuários mudarão ao longo do tempo e definir políticas para serem adaptáveis às necessidades de negócios em mudança.
• Verificação contínua: Verifique e reautentique regularmente a identidade de usuários e dispositivos. Empregue MFA e outros métodos de verificação.

Confiança zero e ZTA vs. gerenciamento de identidade

O software de gerenciamento de identidade gerencia o acesso do usuário à informação. Este software identifica e restringe o acesso à informação com base em fatores de identificação específicos. O gerenciamento de identidade é um componente crucial da confiança zero e da ZTA.

No entanto, o gerenciamento de identidade está explicitamente preocupado com o acesso do usuário, enquanto a confiança zero é a estrutura conceitual que influencia como as ferramentas de gerenciamento de identidade são usadas. Isso também difere ligeiramente da ZTA, pois a ZTA pode incluir um conjunto mais amplo de ferramentas, como criptografia, firewalls, segmentação de rede e monitoramento e análise mais avançados.

Proteja seus dados contra ameaças modernas implementando o modelo de confiança zero hoje!

Editado por Monishka Agrawal