José, recentemente contratado como CISO pela Banana Inc, sociedade empresária de médio porte com 500 funcionários, ficou entusiasmado ao ler sobre Arquitetura Zero Trust em uma rede social.
Interpretando literalmente o termo Zero Trust (confiança zero), José concluiu que isso significava não confiar em absolutamente nada nem ninguém. Ele então:
• Bloqueou todas as comunicações entre sistemas internos por padrão, sem exceções;
• Removeu todos os usuários e grupos do Active Directory que tivesse qualquer tipo de permissão;
• Desativou a VPN e o acesso remoto completamente ("não podemos confiar em ninguém fora do escritório");
• Configurou o firewall para negar todo tráfego de entrada e saída;
• Desabilitou certificados digitais da sociedade empresária ("não podemos confiar nem em nós mesmos");
• Bloqueou o acesso administrativo a todos os servidores, incluindo para a própria equipe de TI.
Após essa implementação, a sociedade empresária ficou completamente paralisada: os sistemas não comunicavam entre si, os usuários não conseguiam acessar nenhum recurso, os e-mails não eram recebidos nem enviados, e a própria equipe de TI ficou impossibilitada de gerenciar a infraestrutura.
A diretoria exigiu correção imediata mantendo princípios de segurança modernos. Para implementar corretamente Arquitetura Zero Trust conforme a NIST SP 800-207, José deveria
- A substituir a VPN tradicional por uma solução ZTNA (Zero Trust Network Access), pois Zero Trust consiste essencialmente em trocar VPN por acesso baseado em identidade, mantendo o restante da arquitetura de segurança inalterado.
- B implementar micro-segmentação de rede por meio de VLANs e ACLs rigorosas em todos os switches e firewalls internos, isolando cada departamento em sua própria zona de confiança separada.
- C implementar a autenticação multifator (MFA) obrigatória para todos os acessos de usuários e service accounts, pois Zero Trust, fundamentalmente, significa fortalecer a autenticação para eliminar confiança implícita.
- D implementar um modelo em que a segurança não se baseia em confiança implícita na localização de rede, mas em verificação contínua de identidade, contexto do dispositivo e autorização granular por recurso, usando Policy Engine e Policy Enforcement Points automatizados.
- E bloquear todo tráfego por padrão e criado um processo automatizado de whitelist, em que cada usuário solicita acesso a recursos específicos via sistema de tickets, com aprovação automática baseada em função do usuário no organograma.