Zero Trust: O que é, por que sua empresa precisa e como começar

Em janeiro de 2024, hackers do grupo russo Midnight Blizzard invadiram os sistemas de e-mail corporativo da Microsoft. Não foi um exploit zero-day sofisticado. Foi um ataque de password spray em uma conta de teste legada que não tinha autenticação multifator. Os atacantes se movimentaram lateralmente por semanas, acessando e-mails da liderança sênior e repositórios de código-fonte.

A Microsoft — uma empresa que literalmente vende produtos de segurança — foi comprometida porque uma conta esquecida operava fora do perímetro de confiança.

Se pode acontecer com a Microsoft, pode acontecer com qualquer empresa.

O problema com o modelo tradicional

Durante décadas, a segurança cibernética funcionou como um castelo e um fosso. Firewall na entrada, DMZ, IDS/IPS no perímetro. Tudo dentro da rede era confiável. Tudo fora, não.

Esse modelo tinha três premissas fatais:

1. Insiders são confiáveis. O relatório Verizon DBIR de 2023 mostrou que 19% dos vazamentos envolveram atores internos. Ameaças internas — sejam maliciosas ou por negligência — passam direto pelas defesas de perímetro.

2. O perímetro é definível. Com workloads em cloud, aplicações SaaS, trabalhadores remotos, dispositivos IoT e integrações com terceiros, a ideia de uma borda de rede dissolveu. A empresa média usa 130 aplicações SaaS (Productiv, 2024). Cada uma é um ponto de acesso fora do perímetro tradicional.

3. Movimentação lateral pode ser contida. Uma vez que o atacante rompe o perímetro, arquiteturas de rede planas permitem que se mova livremente. Os ataques SolarWinds (2020), Colonial Pipeline (2021) e MOVEit (2023) envolveram movimentação lateral extensa que defesas de perímetro não conseguiram detectar nem prevenir.

O que é Zero Trust

Zero Trust é um modelo de segurança construído sobre um único princípio implacável: nunca confiar, sempre verificar.

Cada requisição de acesso — seja de dentro da rede corporativa ou de fora, de um usuário humano ou de uma identidade de máquina, de um dispositivo gerenciado ou de um celular pessoal — deve ser autenticada, autorizada e continuamente validada antes que o acesso seja concedido.

Não existe confiança implícita baseada em localização na rede, posse do dispositivo ou autenticação anterior.

O conceito foi criado em 2010 pelo analista da Forrester Research, John Kindervag, que publicou um artigo argumentando que o modelo tradicional de confiança — onde tudo dentro do perímetro é confiável e tudo fora, não — era fundamentalmente falho.

Mitos sobre Zero Trust

O termo foi tão agressivamente sequestrado por departamentos de marketing que muitas empresas têm ideias profundamente equivocadas sobre o que significa.

Mito 1: Zero Trust é um produto que se compra. Nenhum vendedor vende "Zero Trust na caixa". Zero Trust é uma arquitetura e uma estratégia. Produtos como gateways ZTNA, plataformas de identidade e ferramentas de microsegmentação são componentes que habilitam Zero Trust, mas comprá-los não torna sua empresa Zero Trust — assim como comprar um estetoscópio não faz de você médico.

Mito 2: Zero Trust significa não confiar em nada e bloquear tudo. Zero Trust não significa negar todo acesso. Significa tomar decisões de acesso explícitas e baseadas em contexto para cada requisição. O objetivo não é impedir o acesso, mas garantir que as pessoas e sistemas certos recebam o nível de acesso certo, no momento certo — e nada mais.

Mito 3: Zero Trust substitui suas ferramentas de segurança existentes. Zero Trust não é uma estratégia de substituição. A maioria das empresas o implementa de forma incremental, integrando investimentos existentes em firewalls, proteção de endpoints, gerenciamento de identidade e SIEM. A mudança está em como essas ferramentas são orquestradas e como as decisões de acesso são tomadas.

Mito 4: Zero Trust é apenas para grandes empresas. Embora ambientes empresariais complexos tenham impulsionado a adoção inicial, os frameworks e ferramentas amadureceram ao ponto de que empresas de médio porte e até pequenas podem implementar princípios significativos de Zero Trust. Plataformas nativas de cloud como Cloudflare Zero Trust e Microsoft Entra oferecem pontos de entrada acessíveis.

Mito 5: Você pode alcançar Zero Trust em um único projeto. Zero Trust é uma jornada de múltiplos anos. O NIST descreve como um continuum, não um estado binário. As empresas progridem por níveis de maturidade e as metas continuam se movendo conforme novas tecnologias e ameaças surgem.

O framework NIST SP 800-207

A referência definitiva para arquitetura Zero Trust é a Publicação Especial do NIST 800-207, lançada em agosto de 2020. Este framework tornou-se o padrão de referência tanto para agências governamentais quanto para organizações do setor privado em todo o mundo.

Os 7 princípios fundamentais do NIST

1. Todas as fontes de dados e serviços de computação são consideradas recursos. Isso inclui não apenas servidores e bancos de dados, mas aplicações SaaS, dispositivos IoT, dispositivos pessoais usados para trabalho e serviços de cloud.
2. Todas as comunicações são protegidas independentemente da localização na rede. Estar na LAN corporativa não confere confiança implícita. Tráfego interno deve ser criptografado e autenticado como o externo.
3. O acesso a recursos individuais é concedido por sessão. Autenticação e autorização são realizadas para cada conexão. O acesso a um recurso não concede automaticamente acesso a outro.
4. O acesso é determinado por políticas dinâmicas — incluindo estado do cliente, comportamento e attributes do recurso. Pode incluir autenticação multifator, conformidade do dispositivo e risco comportamental.
5. A empresa monitora e mede a integridade e postura de segurança de todos os ativos possuídos e associados. Recursos que não estejam no estado mais recente ou com configurações comprometidas podem ter acesso restrito.
6. Todas as coleta de informações de recursos e tráfego de rede são usadas o máximo possível para melhorar a postura de segurança.
7. A empresa coleta o máximo de informação possível sobre o estado atual da infraestrutura, rede e comunicações e a usa para melhorar sua postura de segurança.

Os 5 pilares do Zero Trust

1. Identidade

O pilar mais importante e o ponto de entrada de maior alavancagem para qualquer programa Zero Trust. Inclui:

• Autenticação Multifator (MFA): A primeira barreira. O Okta State of Zero Trust 2023 mostra que MFA para funcionários é a prática mais adotada em todos os setores.
• Gerenciamento de Acessos Privilegiados (PAM): Controle rígido sobre contas administrativas e contas com acesso a dados sensíveis.
• Contínua Validação do Usuário: Não basta autenticar uma vez. O comportamento, localização e contexto devem ser avaliados continuamente.

2. Dispositivos

Cada dispositivo que acessa recursos corporativos deve ser conhecido, gerenciado e avaliado:

• Inventário completo de dispositivos
• Conformidade de patches e configurações
• Saúde do endpoint (antivírus ativo, firewall ligado, cifra de disco)
• Decisões de acesso baseadas no estado do dispositivo

3. Redes

A microsegmentação substitui a ideia de "rede interna segura":

• Segmentação em granularidade de workload ou aplicação
• Criptografia de tráfego interno (east-west)
• Monitoramento de tráfego para detecção de anomalias
• Zero Trust Network Access (ZTNA) no lugar de VPNs tradicionais

4. Aplicações e Workloads

Controle de acesso na camada de aplicação:

• Autenticação e autorização por aplicação
• Segregação de ambientes (dev, staging, prod)
• Monitoramento de comportamento de aplicações
• Proteção contra ameaças na camada de aplicação (WAAS)

5. Dados

O ativo mais valioso e o verdadeiro alvo dos atacantes:

• Classificação e catalogação de dados
• Criptografia em repouso e em trânsito
• Controle de acesso baseado em dados (DLP)
• Monitoramento de uso e acesso a dados sensíveis

O mercado não mente: os números

Os dados são inequívocos sobre a trajetória do Zero Trust:

• Custo de uma violação: US$ 4,88 milhões em média em 2024 (IBM Cost of a Data Breach Report 2024)
• Economia com Zero Trust: Empresas com implementação madura economizam US$ 1,76 milhão por incidente (IBM, 2024)
• Redução de violações: 50% menos incidentes e 43% menos custos quando Zero Trust está maduro (Forrester Research)
• Adoção global: 63% das organizações implementaram Zero Trust total ou parcialmente (Gartner, 2025)
• Projeção de mercado: US$ 144,4 trilhões em 2033, com CAGR de 16,9% (Market.US)
• Setores lideradores: Serviços financeiros (71%) e software (69%) já possuem Zero Trust definido (Okta)

O que esses números mostram é que Zero Trust deixou de ser uma tendência para ser o novo padrão de arquitetura de segurança.

Começando do zero: o caminho prático

Implementar Zero Trust não exige substituir tudo de uma vez. O NIST e o CISA (agência de segurança cibernética dos EUA) recomendam uma abordagem por fases:

Fase 1: Mapear recursos e fluxos de dados

Antes de proteger, é preciso saber o que existe. Identifique:

• Quais dados são tratados pela empresa
• Onde esses dados residem
• Quem tem acesso a eles
• Como os dados fluem entre sistemas

Fase 2: Fortalecer a identidade (MFA + PAM)

O ponto de entrada de maior impacto:

• Implemente MFA universal (sem exceções)
• Implemente gerenciamento de acessos privilegiados
• Elimine contas compartilhadas
• Revise permissões regularmente

Fase 3: Segmentar a rede

Comece pelos sistemas mais críticos:

• Segmentação de rede por função ou sensitivity
• Implemente ZTNA para acesso remoto
• Criptografe tráfego interno

Fase 4: Monitorar e adaptar continuamente

Zero Trust não é "configurar e esquecer":

• SIEM com correlação de eventos
• Análise de comportamento (UEBA)
• Resposta automatizada a incidentes
• Revisão contínua de políticas

O que acontece se sua empresa não fizer nada

Cada dia sem Zero Trust é um dia em que:

• Uma conta comprometida pode se mover lateralmente por toda a rede
• Um atacante pode acessar dados sensíveis sem que ninguém perceba
• A empresa fica exposta a multas regulatórias (LGPD, por exemplo)
• O custo de uma violação potencial cresce

Em 2025, 8,3 bilhões de contas foram comprometidas globalmente — 12 vezes mais do que em 2023 (Surfshark). A pergunta não é se sua empresa será alvo, mas quando.

Conclusão

Zero Trust não é um produto de marketing. Não é um pacote que se compra. É uma mudança de mentalidade: de "confiar por padrão" para "verificar por padrão".

A boa notícia é que sua empresa não precisa fazer tudo de uma vez. Comece pela identidade. Implemente MFA. Revise permissões. Depois expanda para segmentação, monitoramento e governança de dados.

A pergunta não é mais se sua empresa precisa de Zero Trust. É quanto tempo ela pode esperar sem ele.

---

Precisa de ajuda para implementar Zero Trust na sua empresa? A VIPER IT é especialista em serviços gerenciados de segurança cibernética e pode conduzir uma avaliação da sua postura atual, mapear recursos e definir um plano de implementação faseado. Fale conosco.