Durante muito tempo as empresas tratavam a segurança com um lençol curto na cama: para tapar a cabeça, destapavam os pés, nunca conseguiam abranger, nas suas estratégias de defesa, todos os componentes da sua infraestrutura, sobretudo os que vão além do perímetro da sua rede- incluindo os seus colaboradores.
A segurança perimetral, um termo comum na proteção de infraestruturas empresariais, engloba a utilização de verificações exaustivas para toda e qualquer tentativa de ligação a recursos empresariais de fora dessa infraestrutura. Essencialmente, estabelece uma fronteira entre a rede corporativa e o resto do mundo.
Na rede corporativa, existe uma zona de confiança na qual utilizadores, dispositivos e aplicações têm maior liberdade. No entanto, essa liberdade é limitada por políticas de segurança para maior proteção. Anteriormente, a segurança de perímetro era eficaz quando a zona de confiança se limitava à rede local e a dispositivos estacionários conectados a ela. No entanto, com o aumento do número de dispositivos móveis e serviços na nuvem utilizados pelos colaboradores das empresas, o conceito de perímetro tornou-se cada vez mais difuso.
Hoje em dia, pelo menos uma parte dos recursos da empresa está localizada fora do escritório ou mesmo no estrangeiro. Penetrar a zona de confiança e mover-se sem obstáculos se tronou, assim, muito mais fácil.
MAIS: Zero Trust: a segurança no centro de todas as decisões
Alguns princípios fundamentais da zona de confiança
Não existe uma abordagem única para a implementação de um sistema de segurança baseado numa zona de confiança. Apesar disto, é possível identificar vários princípios fundamentais que podem ajudar a construir um sistema como este.
- Proteger toda a superfície em vez da superfície de ataque
O conceito Zero Trust ou confiança zero envolve tipicamente uma superfície de proteção que inclui tudo que a organização deve proteger do acesso não autorizado: dados confidenciais, componente de infraestrutura, e assim por diante. A superfície de proteção é significativamente melhor do que a de ataque, que inclui todos os ativos, processos e componentes de infraestruturas potencialmente vulneráveis.
- Micro segmentação
Ao contrário da abordagem clássica, que prevê a proteção do perímetro externo, o modelo confiança zero decompõe a infraestrutura empresarial e outros recursos em pequenos nós, que podem ser apenas um dispositivo ou uma aplicação. O resultado é muitos perímetros microscópicos, cada um com as suas próprias políticas de segurança e permissões de acesso, que permitem flexibilidade na gestão do acesso e permitindo às empresas bloquear a propagação incontrolável de uma ameaça na rede.
- Princípio do privilégio mínimo
Conceder a cada utilizador apenas os privilégios necessários para realizar as suas tarefas, minimizando assim o impacto de uma possível violação de segurança na sua conta de utilizador na infraestrutura.
- Autenticação
A doutrina confiança zero preconiza que qualquer tentativa de acesso à informação corporativa deve ser tratada como uma potencial ameaça, até que se prove o contrário. Por isso, cada sessão, utilizador, dispositivo e aplicação devem passar por procedimentos de autenticação, a fim de comprovar que possuem os direitos necessários para aceder aos dados requeridos.
Uma estratégia de segurança baseada num modelo de confiança zero ajuda a mitigar os riscos em ambiente de trabalho híbridos onde os perímetros são mais difusos, os trabalhadores são distribuídos e devem continuamente autenticar-se, e as redes são segmentadas para reduzir o potencial de propagação de ameaças. Confiança zero assume a ausência de zonas de confiança de qualquer tipo.