O conceito de "Zero Trust"

Você nunca pode ter 100% de certeza sobre sua segurança da informação. O desenvolvimento de novos tipos de proteção de dados está levando a tecnologia da informação a um novo patamar. Autenticação multifator e usuários privilegiados, biometria para acesso – tudo isso já se tornou algo comum. Em um ambiente corporativo, confiamos por padrão nas pessoas dentro da rede e não confiamos nas pessoas fora dela. Hoje, vamos explorar o conceito relativamente novo de "Zero Trust" e sua utilidade no perímetro da empresa, na nuvem e na segurança móvel.

O que é "Zero Trust"?

Por padrão, todos os usuários, dispositivos, nuvens, sistemas e redes são considerados comprometidos, independentemente de estarem protegidos por um firewall. O conceito de zero trust envolve um controle de acesso muito rigoroso aos sistemas, de modo que até mesmo usuários autenticados passam por várias etapas de verificação. Esse método ajuda a reduzir significativamente a probabilidade de um ataque bem-sucedido ao sistema.

Ao restringir o acesso de diferentes usuários a segmentos da rede corporativa, os hackers têm menos oportunidades de acessar dados protegidos ou confidenciais. É claro que o valor central do conceito de zero trust é a autenticação multifator (um mecanismo de segurança que exige um método adicional de autenticação em tempo real, usando uma categoria de dados independente do usuário).

Rede corporativa vs. "Zero Trust"

Como já dissemos, o método ultrapassado de proteção do perímetro de uma empresa pressupõe que qualquer usuário dentro da rede corporativa é, por padrão, uma "pessoa confiável", e qualquer usuário fora da rede corporativa é, consequentemente, "não confiável". Esse modelo existiu e prosperou nos últimos 20 anos para justificar o fato de que apenas determinadas pessoas têm acesso a programas e aplicativos. Contudo, com o tempo, esse modelo de segurança de perímetro se mostrou cada vez menos eficaz, especialmente devido ao enorme salto no desenvolvimento das tecnologias de nuvem, tecnologias móveis, sistemas de proteção de dados, e à transição generalizada dos funcionários para o trabalho remoto. Como resultado, no novo cenário, o conceito de "pessoa confiável" dentro e fora da rede da empresa deixou de existir. O novo modelo trata todos os usuários como "não confiáveis" por padrão e os obriga a passar por todas as etapas de obtenção de acesso, independentemente de seus privilégios. A política "Zero Trust" foi discutida pela primeira vez em meados dos anos 2000, com a ideia principal de "desperimetrizar" a empresa e migrar para uma estratégia de proteção dos dados da empresa em todos os níveis, usando criptografia e autenticação multifator.

O desenvolvimento do "Zero Trust"

Em 2010, John Kindervag, analista da Forrester Research, cunhou o termo política "Zero Trust", cuja ideia principal era a desconfiança em relação a qualquer usuário, dentro ou fora da empresa. A empresa deve verificar qualquer pessoa que tente se conectar à rede antes de conceder acesso. A política "Zero Trust" questiona o modelo de proteção baseado no uso de um firewall entre redes internas e externas. Essa estratégia de segurança desmorona se um hacker comprometer o sistema dentro do perímetro e quiser roubar informações confidenciais. Assim, em um sistema convencional, os responsáveis pela segurança da informação precisam verificar e proteger manualmente todos os recursos, concedendo e revogando acesso individualmente para cada usuário.

Segurança de nuvem e mobilidade no "Zero Trust"

Os três princípios principais do conceito de segurança zero:

• as empresas devem fornecer acesso seguro às suas redes, independentemente da localização da empresa ou do funcionário;

• as organizações devem controlar o acesso dos usuários para que eles só possam acessar os recursos de que precisam. Além disso, as empresas devem impedir que os usuários acessem informações potencialmente sensíveis e definir claramente as funções de cada funcionário. Isso é feito para garantir que os dados privados permaneçam dentro da empresa em caso de desligamento;

• as empresas devem inspecionar e registrar o tráfego para garantir que os usuários estejam agindo de forma lícita.

Com o crescente número de dispositivos conectados às redes corporativas, cada vez mais organizações começaram a implementar soluções de software especiais que suportam a política "Zero Trust". Todo mundo já deve ter ouvido falar dos sistemas DLP – softwares especiais projetados para prevenir vazamentos de informações confidenciais e monitorar a atividade dos funcionários durante o expediente. Vamos dar uma olhada rápida em como esse tipo de sistema funciona, usando o Anexet Ultimate da Scinero Software Limited como exemplo.

Exemplo do sistema DLP Anexet Ultimate da Scinero Software Limited

O Anexet Ultimate é um sistema DLP que protege as empresas contra vazamentos de dados causados por funcionários, monitora a atividade deles no computador, identifica ameaças potenciais e, em caso de incidente, comunica prontamente a violação à equipe de segurança da informação da organização ou até mesmo evita que o incidente ocorra.

O aplicativo Anexet Ultimate Agent é instalado no computador, interceptando mensagens e arquivos enviados e recebidos e monitorando todas as ações realizadas no computador. Todas as informações interceptadas são enviadas para o seu servidor Anexet e passam por análise inteligente. Se uma violação for detectada, o sistema pode bloquear a ação e notificar o serviço de segurança da informação da empresa.

O sistema DLP pode ser usado em redes locais da empresa, redes com arquitetura complexa, escritórios geograficamente distribuídos e locais de trabalho móveis. Assim, essa solução de software opera de acordo com os princípios da política "Zero Trust" e ajuda a reduzir significativamente as chances de perda de dados confidenciais pertencentes a uma organização.

Além disso, de acordo com o "Zero Trust", o uso de VPN é obrigatório ao trabalhar em ambiente corporativo. Atualmente, as empresas possuem sua própria VPN corporativa, que funciona em conjunto com outros métodos tecnológicos de proteção da informação.

O futuro do Zero Trust

À medida que a tecnologia avança a cada dia e os invasores criam formas cada vez mais sofisticadas de atacar sistemas, a comunidade global de TI já reconheceu a plena validade do conceito "Zero Trust" e está implementando amplamente esse modelo nas empresas. Naturalmente, as grandes empresas de tecnologia são as primeiras a perceber o potencial do "Zero Trust". No geral, analistas preveem que, entre 2025 e 2030, o modelo "Zero Trust" se tornará amplamente difundido em todo o mundo.

Aqueles para quem a preservação dos dados confidenciais da empresa é prioridade são os primeiros a migrar para o "Zero Trust" e os sistemas DLP. Tudo isso funciona em conjunto para garantir a máxima segurança dos dados da empresa.