“A confiança é uma vulnerabilidade perigosa que pode ser explorada”, John Kindervag, ex-analista da Forrester, criador da estratégia Zero Trust Model (Modelo de Confiança Zero), em 2010. 

O modelo Zero Trust Model baseia-se no conceito de confiar em nada dentro ou fora da rede de infraestrutura de TI. Entretanto, a intenção não é encorajar as organizações a não confiar em quem acessa os sistemas, mas sim rastrear o tráfego da rede, auditar e controlar os acessos para garantir mais segurança ao ambiente.

Dados do mercado



O Zero Trust engloba todos os colaboradores da empresa, principalmente os que possuem acessos privilegiados, pois estes são os mais visados pelos cibercriminosos.

Segundo o Insider Threat Report, realizado pela Broadcom, 51% das empresas entrevistadas estão preocupadas com ameaças causadas pelas pessoas que acessam seus sistemas. 

O levantamento também mostra que, os principais fatores que habilitam as vulnerabilidades internas são:

• acessos privilegiados (37%);
• gestão de dispositivos (36%);
• complexidade da segurança da informação (35%);

As ameaças internas, apontadas na pesquisa, consistem em: 

• funcionários;
• ex-funcionários;
• parceiros de negócios;
• provedores de serviços;
• qualquer indivíduo que tem ou teve acesso a informações privilegiadas da empresa;

Então, podemos dizer que, a grande dificuldade das empresas está em rastrear tais ameaças com rapidez. Afinal, essas vulnerabilidades não estão no planejamento de segurança, visto que, a índole ou erros de pessoas não são previsíveis.



Zero Trust Model e a Privacidade de Dados

O modelo Zero Trust se tornou muito atraente, sobretudo com a publicação da Lei Geral de Proteção de Dados (LGPD), ajudando as Companhias a evitar ameaças e proteger a privacidade dos dados. 

Veja alguns princípios para a implementação da estratégia:

1. Certificação

Identificar e proteger os dados internos e externos da organização, independentemente de onde estejam armazenados.

2. Registro e inspeção

Há dois métodos de ganhar visibilidade do tráfego na rede: registros e inspeção.

Os registros identificam o tráfego na rede. Logo, quando um arquivo for apagado a equipe de segurança visualiza quem, quando e por onde o documento foi excluído.

A inspeção pode ser automatizada, com alertas em tempo real. Assim, se alguma anomalia for detectada a equipe de segurança agirá com mais rapidez e eficiência.

3. Menos privilégios, mais segurança

“Um soldado só deve saber o necessário para concluir sua missão”. Este conceito é usado para garantir a segurança dos soldados no exército e pode ser aplicado para elevar a segurança no ambiente de TI. 

No ambiente corporativo, podemos trocar a frase por: “o funcionário só deve acessar o necessário para realizar a suas atividades.” Isto implica em revisar privilégios constantemente, buscando corrigir permissões desnecessárias e localizar indivíduos inativos.

4. Segurança extra nunca é demais

De posse de informações sobre as funções e privilégios de acesso, é importante ter ferramentas de análise comportamental para identificar desvios e corrigir. 

Google e Zero Trust Model

Um exemplo de projeto bem-sucedido de Zero Trust Model é o Google. Sua estratégia é tão consistente que criou seu próprio framework de segurança: o BeyondCorp. 

Por meio dele, é possível fazer um controle através dos dispositivos individuais e de indivíduos, sem usar a VPN (Virtual Private Network), além dos acessos aos serviços serem autenticados, autorizados e criptografados.

Conclusão 

Para promover mais segurança no ambiente de TI, é preciso entender quais são os desafios internos e aplicar estratégias, como a Zero Trust Model. Dessa forma, além de elevar a segurança, a empresa garante a adequação à LGPD de forma eficiente.

A SailPoint é parceira da Sec4U e especialista em soluções de segurança utilizando a inteligência artificial e o conceito de Zero Trust como base. 

Com IA e ML como base, a solução Identity Security da SailPoint automatiza a descoberta, gerenciamento e controle dos acessos de usuários de maneira zero trust.

Saiba mais.