Segurança Zero Trust: protegendo seus dados não estruturados

Os dados não estruturados são aqueles que não seguem um formato padrão ou uma estrutura definida, como documentos, planilhas, e-mails, vídeos, áudios, imagens, etc. Eles representam cerca de 80% de todos os dados corporativos e podem conter informações sensíveis ou confidenciais sobre clientes, funcionários, parceiros, produtos, processos, etc.
No entanto, os dados não estruturados também são os mais vulneráveis a vazamentos e violações, pois estão espalhados por diferentes plataformas e dispositivos, e muitas vezes não são gerenciados ou protegidos adequadamente. Além disso, as ameaças à segurança dos dados não estruturados podem vir de dentro ou de fora da rede, e podem explorar as vulnerabilidades dos dispositivos, das aplicações ou dos usuários.

Para enfrentar esses desafios, as empresas precisam adotar um novo modelo de segurança, baseado no princípio de zero trust (confiança zero). Esse modelo assume que nenhum elemento da rede é confiável por padrão e que todos devem ser verificados continuamente antes de acessar ou compartilhar os dados. Além disso, o modelo de zero trust aplica políticas granulares de controle de acesso e de criptografia aos dados não estruturados, independentemente de onde eles estejam armazenados ou de como eles sejam transmitidos.

Neste artigo, vamos explicar o que é o modelo de segurança zero trust, quais são os seus benefícios para a proteção de dados não estruturados e como você pode implementá-lo na sua empresa.

O que é o modelo de segurança zero trust?

O modelo de segurança zero trust foi criado em 2010 pelo analista John Kindervag quando trabalhava na Forrester Research, como uma alternativa aos modelos de segurança tradicionais, baseados em perímetros e em credenciais. Esses modelos confiam em firewalls e em senhas para proteger os dados dentro da rede corporativa, mas não conseguem impedir que invasores ou usuários mal-intencionados acessem os dados uma vez que eles estejam dentro do perímetro.

O modelo de segurança zero trust elimina a ideia de um perímetro confiável e trata todos os elementos da rede como potencialmente hostis. Em vez de confiar em credenciais estáticas ou em listas positivas e negativas, o modelo de zero trust usa uma abordagem dinâmica e adaptativa para verificar a identidade dos usuários, o contexto das solicitações e o comportamento dos dispositivos. O modelo de zero trust também usa o conceito de least-privilege access (acesso mínimo necessário), que limita o acesso dos usuários aos recursos que eles precisam para realizar as suas tarefas num exato momento.

O modelo de segurança zero trust é composto por três pilares principais:

• Identidade: refere-se à verificação da identidade dos usuários e dos dispositivos que tentam acessar os dados não estruturados. Isso pode ser feito por meio de soluções como autenticação multifator (MFA), gerenciamento de identidade e acesso (IAM) e gerenciamento do ciclo de vida das identidades (ILM).
• Dados: refere-se à proteção dos dados não estruturados em repouso ou em trânsito. Isso pode ser feito por meio de soluções como criptografia, prevenção contra perda de dados (DLP), classificação e rotulagem dos dados, controle granular do acesso aos dados, ou seja Digita Rights Management – DRM.
• Rede: refere-se à segmentação da rede em microperímetros isolados que restringem o movimento lateral dos invasores ou dos usuários mal-intencionados. Isso pode ser feito por meio de soluções baseadas em SDP – Software Defined Perimeter, firewall de aplicativo web (WAF), firewall interno (NGFW), e rede privada virtual (VPN – mesmo apresentando sérias vulnerabilidades, é melhor do que o acesso remoto puro por protocolos padrões).

Quais são os benefícios do modelo de segurança zero trust para a proteção de dados não estruturados?

O modelo de segurança zero trust oferece vários benefícios para a proteção de dados não estruturados, tais como:

• Aumento da segurança: ao verificar continuamente todos os elementos da rede e aplicar políticas granulares aos dados não estruturados, o modelo de segurança zero trust reduz a superfície de ataque e minimiza o impacto de vazamentos e violações.
• Melhoria da conformidade: ao proteger e gerenciar os dados não estruturados de acordo com o seu nível de sensibilidade e criticidade, o modelo de segurança zero trust facilita o cumprimento das normas e regulamentações vigentes, como LGPD, GDPR, HIPAA, PCI DSS, etc.
• Otimização da produtividade: ao permitir que os usuários acessam os dados não estruturados de forma ágil e personalizada, de acordo com a sua identidade, contexto, comportamento e risco, o modelo de segurança zero trust melhora a experiência e a colaboração dos usuários.
• Redução dos custos: ao simplificar e automatizar os processos de verificação, proteção e monitoramento dos dados não estruturados, o modelo de segurança zero trust diminui os custos operacionais e administrativos associados à segurança da informação.

Como implementar o modelo de segurança zero trust na sua empresa?

A implementação do modelo de segurança zero trust na sua empresa requer uma mudança cultural e tecnológica. Não se trata apenas de adquirir novas ferramentas ou soluções, mas sim de adotar uma nova mentalidade e uma nova abordagem para a segurança dos seus dados não estruturados.

Para isso, você pode seguir alguns passos básicos:

• Avalie o seu cenário atual: faça um diagnóstico da sua infraestrutura, dos seus processos e das suas políticas atuais relacionadas à segurança dos seus dados não estruturados. Identifique as suas principais vulnerabilidades, ameaças e riscos. Indicamos sempre que um trabalho de estabelecimento de diretrizes estratégicas de classificação da informação seja realizado pois servirá como alicerce para os projetos de segurança digital. 
• Defina os seus objetivos: estabeleça quais são os seus objetivos ao implementar o modelo de segurança zero trust na sua empresa. Por exemplo: aumentar a confiança dos seus clientes e parceiros; garantir a conformidade com as normas e regulamentações vigentes; reduzir os custos e os riscos associados à segurança da informação; etc.
• Elabore um plano: elabore um plano detalhado para implementar o modelo de segurança zero trust na sua empresa. Defina quais são as soluções que você vai usar para cada pilar do modelo (identidade, dados e rede); quais são as etapas que você vai seguir para implantá-las; quais são os recursos que você vai precisar; quais são os indicadores que você vai monitorar; etc.
• Execute o plano: execute o plano que você elaborou para implementar o modelo de segurança zero trust na sua empresa. Faça testes pilotos; treine os seus usuários; faça ajustes conforme necessário; etc.
• • Avalie os resultados: avalie os resultados obtidos com a implementação do modelo de segurança zero trust na sua empresa. Compare-os com os objetivos definidos anteriormente; verifique se houve melhoria na segurança dos seus dados não estruturados; identifique as lições aprendidas; etc.

Conclusão

O modelo de segurança zero trust é uma forma moderna e eficaz de proteger os seus dados não estruturados contra vazamentos e violações. Ao verificar continuamente todos os elementos da rede e aplicar políticas granulares aos dados não estruturados, o modelo de segurança zero trust aumenta a sua segurança, conformidade, produtividade e reduz os seus custos.

A fiandeira tecnologia tem soluções que atendem aos requisitos estabelecidos pelo modelo Zero Trust e podemos ajudar sua empresa na migração para este novo modelo: 

• Consultoria Estratégica de Classificação da Informação
• Prevenção de Vazamento de Informações Corporativas
• Plataforma de Segurança de Dados Não Estruturados – Discover, Classificação, Proteção e Colaboração de Dados
• Conectividade e Segurança com Socks
• Acesso Remoto à Aplicações e Desktops Virtualizados (VDI)
• Remote Browser Isolation – Navegação e webmail seguros
• Plataforma SASE – Secure Access Service Edge
• Zero Trust Access – SDP (Software Defined Perimeter)

No próximo artigo falaremos sobre a abordagem do NIST e da CISA sobre o modelo de segurança zero trust.