Traduzido do 日本語 • Ver original 
"O que a Zero Trust deve fazer no final?"
"Se eu colocar um produto nele, vai virar Zero Trust?"
"Não parece ter nada a ver com minha empresa."
Na verdade, há muitos mal-entendidos sobre esse assunto.
Zero trust não é um produto específico, mas uma forma de pensar e como funciona.
E independentemente do tamanho da empresa, existe um "primeiro passo que pode ser dado agora".
1. Em vez de "não confie", "sempre verifique"
A tradução literal de "Zero Trust" em Zero Trust é "não confiar".
No entanto, a essência é a ideia de que "uma vez que você der permissão, não continuará confiando para sempre".
O modelo de segurança costumava ser assim:
- Rede interna segura
- Fora da empresa (Internet) é perigoso
- Depois de fazer login, você pode usá-lo livremente
No entanto, agora que o uso da nuvem e o trabalho remoto estão avançando,
O próprio conceito de "limite (permitter)" está desmoronando.
Por isso**, sempre verificamos quem está acessando, em qual dispositivo e em qual situação.**
Essa é a ideia central do Zero Trust.
2. Os Três Pilares da Confiança Zero
Diz-se que "Zero Trust = abolição dos limites",
O que você realmente precisa fazer pode ser simplesmente organizado nas seguintes três áreas.
(1) Protegendo a Identidade
É um mecanismo que verifica de forma confiável "quem está acessando".
- Autenticação multifator completa (MFA)
- Acesso condicional (terminais confiáveis e controle de localização)
- Privilégio mínimo de conta (Just-in-Time / Just-Enough-Access)
(2) Controle de Dispositivo e Rede
Verificamos continuamente que tipo de dispositivo e de qual canal eles estão acessando.
- Gerenciamento de dispositivos com MDM, Intune, etc.
- Gateway Web Seguro (ZTNA)
- Visibilidade de rede e detecção de anomalias (Firewall, IDPS)
(3) Proteção de Dados e Auditoria de Uso
Monitore constantemente quais informações são usadas e como.
- Prevenção de Perda de Dados (DLP) para prevenir vazamento de informações
- Auditoria das configurações de compartilhamento de armazenamento em nuvem
- A análise de logs detecta manipulação não autorizada e acesso suspeito
3. Quanto mais fácil é começar com empresas que pensam "ainda estamos cedo"
Zero Trust não é sobre "buscar uma forma completa."
O segredo é estruturar a verificação de confiança, mesmo que apenas parcialmente.
Por exemplo:
- Comece implementando MFA em todos os seus sistemas internos
- Fazer um inventário regular de quem tem acesso a dados críticos
- Controle de acesso a partir de terminais externos com acesso condicional
Só isso já é o primeiro passo rumo à Zero Trust.
Mesmo que você não seja uma empresa grande, isso é bastante essencial à medida que o uso da nuvem avança.
4. Armadilhas de Zero Trust: Adoção de Ferramenta = Não "Realização"
Aqui estão alguns equívocos comuns.
"Agora que o MFA foi implementado, concluímos o suporte Zero Trust"
"Agora que incluí os produtos SWG e ZTNA, posso ficar tranquilo."
Ferramentas são "meios", não "design".
O que você realmente precisa é:
- Qual acesso à confiança (política)
- Quem vai comandar (responsável)
- Como verificar e atualizar continuamente (processo)
Este é o mecanismo de governança.
Zero Trust não é sobre "construir e finalizar" segurança.
É uma forma de pensar que visa um modelo operacional que "verifica constantemente".
5. Aproximação da Colorkrew Security
Na Colorkrew Security, apoiamos o "design Zero Trust otimizado para cada ambiente de nuvem."
**Zero Trust não é sobre não confiar, mas sobre "confirmar" confiança. **
Vamos apoiá-lo na criação de um sistema assim, incluindo monitoramento.