O que é Zero Trust e por que não confiar automaticamente?
Estar conectado à rede da empresa não deveria garantir acesso automático a tudo. O modelo Zero Trust parte de uma ideia simples: cada acesso precisa ser validado conforme o risco e a necessidade.
O que significa Zero Trust?
Zero Trust significa "confiança zero". O nome não quer dizer que a empresa desconfia permanentemente de todas as pessoas. Significa que localização, equipamento ou login anterior não são suficientes para conceder acesso sem novas verificações.
O acesso deve considerar quem é o usuário, qual dispositivo está sendo utilizado, qual recurso foi solicitado, qual é o contexto e qual nível de risco foi identificado.
Como funciona na prática?
Um colaborador pode ter acesso normal ao sistema financeiro quando utiliza o computador corporativo em condições conhecidas. Se a mesma conta tentar entrar de outro país ou por um dispositivo não gerenciado, a empresa pode exigir nova autenticação, limitar funções ou bloquear o acesso.
Zero Trust é um produto?
Não. É um modelo de segurança implementado por meio de políticas, processos e diferentes tecnologias. Gestão de identidades, autenticação multifator, controle de dispositivos, segmentação, classificação de dados e monitoramento fazem parte dessa estratégia.
É necessário substituir tudo?
Não. A adoção pode ser gradual. O caminho mais prudente é começar por identidades, aplicações críticas e acessos privilegiados. Tentar transformar todo o ambiente de uma vez aumenta custo e complexidade.
Quais princípios sustentam o Zero Trust?
Uma formulação muito usada, popularizada pela Microsoft, resume o modelo em três ideias:
- Verificar explicitamente. Cada pedido de acesso é avaliado com os sinais disponíveis: identidade, estado do dispositivo, localização, horário, aplicação solicitada e comportamento recente da conta.
- Conceder o mínimo necessário. O usuário recebe só o acesso de que precisa para a tarefa, pelo tempo necessário. É o princípio do privilégio mínimo, aplicado também a contas administrativas e de serviço.
- Assumir que a violação pode já ter ocorrido. O ambiente é desenhado para que uma conta ou um computador comprometido alcance o mínimo possível. Segmentação, criptografia e monitoramento contínuo entram aqui.
O terceiro princípio é o que mais muda a mentalidade. Em vez de perguntar apenas como impedir a entrada do atacante, a empresa passa a perguntar até onde ele chegaria se conseguisse entrar.
Qual é a diferença para o modelo de perímetro e a VPN?
No modelo tradicional, a rede interna era tratada como área confiável. Quem estava no escritório, ou conectado pela VPN (rede privada virtual), costumava enxergar boa parte dos servidores e sistemas. O controle ficava concentrado na borda, principalmente no firewall.
Esse desenho funciona mal quando as aplicações estão em nuvem e as pessoas trabalham de casa. Ele também favorece o movimento lateral: um atacante que rouba uma credencial de VPN pode vasculhar a rede em busca de servidores vulneráveis, como acontece em muitos ataques de ransomware.
No Zero Trust, o acesso é concedido por aplicação, e não para a rede inteira. Soluções de ZTNA (Zero Trust Network Access) seguem essa lógica: o usuário autorizado chega apenas ao sistema liberado, e os demais permanecem invisíveis para ele. A VPN pode continuar existindo em alguns casos, mas deixa de ser a porta para tudo.
O que perguntar a um fornecedor que vende Zero Trust?
Como o termo virou argumento de venda, muitos produtos se apresentam como Zero Trust. Nenhum deles cobre o modelo inteiro sozinho. Antes de contratar, a empresa deve esclarecer:
- Quais partes do modelo a solução atende: identidade, dispositivos, rede, aplicações ou dados?
- Ela se integra ao provedor de identidade que a empresa já usa?
- Como avalia o estado do dispositivo, por exemplo, se o sistema está atualizado e se o EDR está ativo?
- Funciona com sistemas legados e com aplicações instaladas no próprio datacenter?
- Que registros gera e como eles chegam ao SIEM ou à equipe de monitoramento?
- O que acontece se o serviço do fornecedor ficar indisponível? O acesso é bloqueado ou liberado?
Como medir se o Zero Trust está avançando?
Como a adoção é gradual, faz sentido acompanhar alguns indicadores simples:
- Percentual de usuários com MFA, com destaque para métodos resistentes a phishing.
- Percentual de dispositivos gerenciados e em conformidade com as políticas.
- Quantidade de aplicações protegidas por SSO e acesso condicional.
- Contas administrativas com privilégio permanente versus acesso concedido sob demanda.
- Protocolos antigos de autenticação que ainda estão em uso.
- Tempo para retirar todos os acessos de quem deixa a empresa.
Revisados a cada trimestre, esses números mostram onde a confiança automática ainda existe e indicam qual deve ser a próxima prioridade.
Zero Trust substitui a confiança automática por decisões de acesso baseadas em contexto. Não é uma ferramenta isolada nem uma implantação única, mas uma evolução contínua dos controles de segurança.
Este conteúdo foi útil?
Revisão técnica VIPER IT — última atualização em 11 de outubro de 2026.