Zero Trust virou palavra de vitrine. Fornecedor vende caixa com o nome, consultoria vende projeto de dois anos, e o gestor de TI de uma empresa de trezentos funcionários fica com a impressão de que aquilo não é para ele.
É para ele, sim. Só que a versão útil não começa comprando nada.
O que Zero Trust realmente significa
O modelo antigo assume que dentro da rede é seguro e fora é perigoso. Firewall na borda, e quem passou está em casa. Isso quebrou por dois motivos: as pessoas trabalham de qualquer lugar, e os sistemas moram em nuvem de terceiro.
Zero Trust troca a premissa: nenhuma requisição é confiável por origem. Toda vez, verifica-se quem está pedindo, de qual dispositivo, para acessar o quê. A rede deixa de ser o perímetro, e a identidade toma o lugar.
É a resposta estrutural ao que descrevi em O quão danoso pode ser um cibercriminoso conseguir acesso ao celular de uma vítima: quando um dispositivo cai, o estrago deveria parar ali, e não se espalhar por tudo que aquele usuário alcança.
Etapa 1: saber o que você protege
Não dá para segmentar o que não se conhece. Antes de qualquer ferramenta, produza duas listas.
Lista de dados que doem. Onde estão os dados de cliente, folha de pagamento, contratos, código-fonte. Não a lista de todos os sistemas: a lista dos que causam dano se vazarem.
Lista de quem acessa o quê. Por papel, não por pessoa. Se a resposta for “todo mundo acessa tudo”, você acabou de encontrar o projeto inteiro.
Essa etapa não custa licença, custa reunião. E é a que mais gente pula, o que explica por que tanto projeto de Zero Trust vira apenas uma compra de VPN nova.
Etapa 2: identidade forte, antes de tudo
Zero Trust sem identidade confiável é teatro. Concretamente:
- Um provedor de identidade único, com todos os sistemas relevantes conectados a ele.
- Segundo fator resistente a phishing em todas as contas, priorizando as administrativas.
- Contas administrativas separadas das contas de uso diário, sempre.
- Revisão trimestral de acessos, com remoção do que não se justifica.
Se você fizer só esta etapa e mais nada, já terá reduzido drasticamente o risco de tomada de conta, que é a porta de entrada mais comum.
Etapa 3: privilégio mínimo, de verdade
Privilégio mínimo é fácil de dizer e desconfortável de aplicar, porque significa dizer não para pessoas que estão acostumadas a poder tudo.
Uma abordagem que funciona sem guerra política: em vez de retirar acesso de todo mundo de uma vez, comece exigindo justificativa e prazo para acesso administrativo. Acesso permanente vira acesso temporário, concedido quando necessário e expirando sozinho.
O ganho é imediato. Credencial roubada de um administrador fora da janela de uso não abre nada.
Etapa 4: segmentar o que importa
Microssegmentação completa é projeto caro e demorado. Empresa de médio porte não precisa disso para colher a maior parte do benefício.
Segmente três coisas, nesta ordem:
| O que isolar | Por quê | Custo |
|---|---|---|
| Servidores de dado sensível | Limita o alcance de uma máquina comprometida | Baixo, regra de firewall interno |
| Estações de administração | Impede que o administrador navegue e administre da mesma máquina | Médio, exige disciplina |
| Rede de visitantes e dispositivos diversos | Impressora e televisão inteligente não precisam falar com o servidor de arquivos | Baixo, VLAN separada |
Repare que nenhuma dessas três exige produto novo. Exige configurar o que já existe.
Etapa 5: verificar o dispositivo
Identidade certa em máquina infectada continua sendo acesso do atacante. Antes de liberar acesso a sistema sensível, verifique condições mínimas: sistema atualizado, proteção de endpoint ativa, disco cifrado.
Comece por conformidade observada, sem bloquear. Meça durante um mês quantos dispositivos falhariam. Só depois passe a bloquear, porque aí você já sabe o tamanho do problema que vai criar para o suporte.
Etapa 6: registrar e olhar
Zero Trust gera decisão de acesso a todo momento, e cada decisão é um dado. Sem coleta central, você perde a única vantagem real do modelo: perceber o padrão anômalo.
Se ainda não há centralização de registros, a base está em Implementação e Configuração de um SIEM no SOC. Se já há, garanta que as decisões de autenticação e de acesso estejam entre as fontes coletadas.
O que ignorar por enquanto
Empresa de médio porte não precisa, no primeiro ano, de: microssegmentação por carga de trabalho, corretor de acesso à nuvem com inspeção completa, ou plataforma unificada de borda de serviço. São soluções boas e caras, que resolvem problemas que você ainda não tem.
Comprar isso antes das seis etapas acima é o equivalente a instalar alarme de última geração numa casa com a porta dos fundos destrancada.
Como saber que está funcionando
A pergunta de teste é simples e desconfortável: se a conta do usuário mais comum da empresa fosse comprometida agora, o que o atacante alcançaria?
Se a resposta for “quase tudo”, o projeto não começou, independentemente do que diz o painel do fornecedor. Se a resposta for “o que aquele papel precisa, por um tempo limitado, a partir de um dispositivo conhecido”, então Zero Trust está de pé, com ou sem o nome na fatura.