Este blog post inicia uma série de publicações sobre como simplificar a adoção de Zero Trust. Se você não conhece bem o conceito, recomendamos que inicie sua jornada de leitura pela economia Zero Trust e, depois, a arquitetura. Porém, quem já é familiarizado com o assunto sabe quanto é difícil implementar um modelo de segurança Zero Trust.
De acordo com o site Zero Trust Roadmap, a arquitetura Zero Trust é composta por sete componentes, e a implementação ideal requer o cumprimento de 28 etapas que envolvem diferentes níveis de esforços e áreas de TI. A princípio, isso pode parecer assustador, mas os benefícios do Zero Trust são, no mínimo, recompensadores.
Felizmente, por mais difícil que seja a escalada para a arquitetura Zero Trust, é possível simplificá-la de modo que, passando por determinados pontos do trajeto, você consiga construir uma base para alcançar o topo mais rapidamente. Neste post, apresentaremos os primeiros passos para alcançar esse objetivo.
Requisitos para uma jornada Zero Trust simplificada
A primeira coisa a se fazer é elaborar um plano para simplificar a jornada. De acordo com as práticas recomendadas pela Forrester, esse plano deve ser guiado por quatro etapas: identificação, mapeamento de soluções, microssegmentação e jornada. Abaixo, explicamos cada uma delas.
Identificação
A identificação é o ponto de partida para a jornada de simplificação. É nela que são levantadas todos os componentes de um ecossistema Zero Trust (dados, workloads, redes, usuários e dispositivos).
Dados
Para que os dados sensíveis da empresa sejam protegidos e gerenciados, é necessário identificá-los. Quando identificados, os dados podem ser categorizados e classificados para que então seja estabelecido um controle de acesso a eles.
Vale frisar que a visibilidade dos eventos que ocorrem nas aplicações é importante para o controle de acesso a dados. Afinal, isso permite que se entenda como os dados têm sido tratados e por quem (e de que forma) foram acessados e compartilhados.
Workloads
No contexto de Zero Trust, workloads (cargas de trabalho) se referem a todos os elementos de sistemas de front-end e back-end usados para gerenciar os negócios e conquistar, atender e reter clientes[1].
Isso inclui conexões, aplicações e componentes que se enquadram como vetores de ataque e, portanto, requerem um rígido mecanismo de segurança para que não sejam explorados por invasores.
Redes
Abrange todas as redes públicas, privadas e virtuais existentes na empresa. A identificação de redes habilita a criação de um controle de acesso granular para usuários, endpoints e dispositivos a partir de um processo chamado microssegmentação, o qual abordaremos mais adiante.
Usuários
Consiste na identificação de todos os usuários/entidades (e suas respectivas funções) na rede. Ao obter essas informações, é possível estabelecer um controle de acesso baseado na atribuição do usuário (role-based access control - RBAC).
O conceito de RBAC é o que viabiliza a aplicação de um modelo Zero Trust. Como os usuários devem ter acesso somente ao necessário para desempenhar uma tarefa ou função, o RBAC contribui ao permitir que se determine por quem e como um dado ou serviço pode ser acessado.
Dispositivos
Um dispositivo é qualquer ativo físico ou virtual que se comunica com a rede, como laptop, IoT ou API. A identificação deles permite ao time de segurança protegê-los e gerenciá-los conforme as melhores práticas de Zero Trust.
À medida que os dispositivos são identificados e analisados, o time de segurança adquire uma percepção dos riscos (risk awareness) que estes representam para a segurança dos dados e da própria aplicação.
Mapeamento de soluções
Após a etapa de identificação, o mapeamento de soluções entra em curso. É nesta etapa que são configurados os privilégios mínimos e determinados os parâmetros de acesso para cada dado ou serviço (quem, o que, por que, quando e como deseja acessar), aplicáveis também a workloads, redes e dispositivos.
Como você já sabe, a concessão de acesso mínimo é um dos pilares do modelo Zero Trust, e isso funciona de maneira bem simples na prática. Por exemplo, para desempenhar sua função, o contador precisa ter acesso a informações financeiras da empresa, mas não a todas. Logo, o seu acesso deve ser restrito somente a uma parte das informações do Financeiro.
Da mesma forma, uma API só deve se comunicar com as aplicações e serviços correspondentes à sua função. Se o propósito da API é conectar um componente da aplicação a um banco de dados, qualquer outra permissão de acesso que não seja estritamente a realização dessa tarefa representa uma brecha de segurança.
Microssegmentação
Microssegmentação é a divisão lógica de infraestrutura, redes e aplicações em segmentos de segurança distintos, pela qual cada componente é configurado e gerenciado individualmente, sem interferir nos demais.
Podemos pensar na microssegmentação como contêineres. Assim como os contêineres, os componentes segmentados têm recursos de infraestrutura e definições de segurança próprios, e, por estarem “isolados” uns dos outros, os atacantes não conseguem trafegar livremente pela rede.
Jornada
A jornada é a última etapa da lista. Ela engloba preparação e planejamento, elaborados com base nas informações levantadas nas fases de identificação, controle de acesso e implementação.
- Preparação: consiste na criação de um roadmap que fornece a visualização de atividades, recursos e dependências necessárias para a execução de uma estratégia Zero Trust eficiente;
- Planejamento: elaboração de um plano que indique como a estratégia Zero Trust será executada com base em processos (gestão de mudanças, requisições etc.), mapeamento (dispositivos, usuários, entre outros) e fluxos de trabalho e dados;
- Controle de acesso: identificação de maturidade, lacunas e riscos potenciais que envolvem inventários para documentar os assuntos, fluxos de dados e de trabalho dentro da empresa;
- Implementação: construção de política Zero Trust e definição de responsabilidade por indivíduos e sistemas, e monitoramento contínuo — isto é, “never trust, always verify” na prática.
Ao implementar essas quatro fases, é possível afirmar que a empresa construiu uma abordagem Zero Trust com sucesso. Agora, os esforços têm de ser dedicados à manutenção do framework de Zero Trust, o que implica revisão constante do planejamento e, também, acompanhamento das mudanças que acontecem na empresa.
Benefícios de uma jornada de Zero Trust simplificada
Ao iniciar uma jornada rumo ao modelo Zero Trust, a preparação é fundamental para que o time de segurança tenha a visibilidade necessária para que a implementação seja não apenas bem sucedida, mas preencha os requisitos de uma arquitetura Zero Trust eficiente. Sem isso, qualquer ação visando a implementação do modelo se torna vazia.
Fora o direcionamento adequado para as próximas etapas do percurso, implementar um framework de Zero Trust, no qual qualquer recurso dentro de uma rede é acessível mediante adequação a dimensões e parâmetros de confiança, é seguir um caminho oposto aos modelos de segurança tradicionais, cujos controles de acesso são mais brandos.
E com as etapas de identificação, mapeamento de soluções e microssegmentação bem conduzidas e estruturadas, é muito mais fácil desenvolver uma postura de defesa que minimize o impacto das ameaças, visto que o seu time de segurança pode:
- limitar o alcance de um ataque dentro da rede;
- responder rapidamente a um ataque ao criar mecanismos de bloqueio personalizados, apropriados para cada segmento da aplicação;
- cobrir os pontos cegos que continuariam existindo se não fossem identificados;
- realizar monitoramento complementado por análise de dados que contribui para uma postura proativa e corretiva.
Próximos passos em direção ao Zero Trust
Por mais que a arquitetura Zero Trust faça a diferença no atual contexto de segurança cibernética, o seu valor se perde quando a abordagem não é seguida à risca. Logo, é importante revisar o mapeamento de soluções com frequência para redefinir regras e condições sempre que necessário.
Um cenário comum é a renovação de contrato com fornecedores. Isso porque elas podem trazer mudanças que influenciam a estratégia em pontos específicos, como o uso de alguma API ou um web application firewall. Se os parâmetros não forem atualizados em função das mudanças, a arquitetura Zero Trust será impactada.
Mas após executar esses primeiros passos cuidadosamente e considerando que o seu framework de Zero Trust esteja calibrado e pronto para avançar, como prosseguir? No próximo post dessa série, explicaremos como fazer a segmentação de APIs e aplicações.
Se quiser entender como a abordagem de segurança Zero Trust contribui para a proteção de dados, você encontrará o que procura neste artigo!
