Nunca confiar não significa bloquear tudo
Zero Trust substitui a confiança implícita por decisões explícitas e verificáveis. Estar dentro da rede, usar um equipamento conhecido ou ter uma password correta não deve, isoladamente, conceder acesso.
Cada pedido deve ser avaliado com base na identidade, no dispositivo, no recurso, no contexto e no risco da operação.
Três princípios operacionais
A implementação torna-se mais clara quando a organização traduz o modelo em três comportamentos consistentes.
- Verificar explicitamente identidade, dispositivo e contexto.
- Conceder apenas o privilégio necessário e durante o tempo necessário.
- Assumir que pode existir comprometimento e limitar movimento e impacto.
Uma evolução por etapas
Começar por identidades privilegiadas, aplicações críticas e acessos remotos permite reduzir risco sem tentar redesenhar toda a organização de uma vez.
Inventário, autenticação multifator, gestão de dispositivos, segmentação, registo de eventos e revisão de privilégios devem evoluir como capacidades ligadas, não como compras independentes.
Como demonstrar aplicação
Políticas de acesso, registos de decisão, revisões de privilégios, inventários, exceções aprovadas e testes de segmentação são exemplos de evidências.
O objetivo não é afirmar que existe Zero Trust, mas mostrar que as decisões de acesso são coerentes, limitadas, monitorizadas e revistas.