0 
0 Em um mundo onde não podemos mais confiar em ninguém, a segurança de confiança zero ganhou impulso, especialmente desde 2018, quando o NIST publicou Implementing a Zero Trust Architecture . Com violações sempre altas e sofisticação cada vez maior em ataques cibernéticos, não é de admirar que o Gartner estime que até o final de 2022 os gastos com confiança zero atingirão US$ 891,9 milhões e projete que até 2026 chegará a US$ 2 bilhões.
Existe um modelo prático de confiança zero para segurança de dados que toda empresa pode seguir com esse modelo atendendo ao acesso aos dados no início.
Arquitetura de confiança zero revisitada
Para aqueles que precisam de uma atualização, a confiança zero é uma estrutura de segurança que exige que todos os usuários, independentemente de onde estejam localizados – dentro ou fora da rede da organização – sejam autenticados, autorizados e validados continuamente antes que possam acessar aplicativos e dados. Com o surgimento da nova força de trabalho híbrida e distribuída que faz logon em locais domésticos e de escritórios em todo o mundo, os usuários geralmente não acessam dados ou aplicativos de um segmento de rede específico. E, à medida que mais aplicativos e dados são baseados em SaaS ou não fazem parte de um perímetro de rede específico, é necessário um modelo de segurança diferente.
As arquiteturas de confiança zero têm os seguintes componentes:
Não existe uma estratégia única para projetar e implementar políticas de segurança de confiança zero , pois empresas diferentes têm objetivos, prioridades e níveis de maturidade diferentes em sua jornada de acessibilidade de dados. Por exemplo, as estratégias de algumas organizações são impor políticas de “necessidade de conhecimento”, enquanto outras estão adotando uma postura de segurança de “necessidade de compartilhamento”.
Por que adotar uma abordagem unificada de confiança zero para acesso a dados
Há muitas razões pelas quais as empresas precisam considerar uma abordagem unificada e de confiança zero para seu acesso a dados como parte de sua estratégia de proteção de dados – tanto em termos de valor quanto de risco.
Na frente unificada, um dos componentes funcionais da arquitetura de confiança zero do NIST é a segurança de dados, definida especificamente como “todas as políticas e regras de acesso a dados que uma empresa desenvolve para proteger suas informações e os meios para proteger dados em repouso e em transito.”
Como a maioria das empresas possui dados confidenciais em seus bancos de dados, data warehouses ou data lakes, é imperativo que todas as empresas procurem controlar e proteger o acesso a todos esses dados confidenciais em seus ambientes distribuídos. Em muitos casos, as organizações estão enfrentando um número crescente de usuários de dados (uma tendência comumente chamada de democratização de dados ), o que, por sua vez, apresenta uma grande oportunidade – para gerar mais valor de negócios, por exemplo, e um risco de segurança adicional devido à redução de controla quem acessa os dados confidenciais e quando. Portanto, toda empresa precisa ter políticas de segurança e acesso a dados claras e determinísticas para garantir que os dados sejam armazenados, processados, acessados, usados e compartilhados de maneira segura.
Como aplicar um modelo de confiança zero unificado e contínuo ao acesso a dados
Independentemente da abordagem da organização para a confiança zero, para seguir o princípio da confiança zero, toda organização deve validar continuamente os usuários que precisam de acesso aos dados – ou seja, autenticar, autorizar e validar continuamente os usuários em todas as fontes de dados.
Vamos explorar essas três dimensões com mais detalhes:
- A autenticação contínua envolve a verificação da identidade de cada usuário toda vez que eles acessam os dados . A autenticação pode ser feita de várias maneiras, usando credenciais de banco de dados, usando autenticação de par de chaves ou por meio de logon único (SSO) com um provedor de identidade (IdP), como Okta ou MSFT Active Directory. Aqui está uma realidade comum: todas as organizações precisam permitir que analistas de dados acessem dados em produção. O caminho típico que a maioria das organizações segue é a) fornecer acesso constante aos dados ou b) ter um login de usuário, que por sua vez é compartilhado por muitos dentro do departamento para acessar os dados de produção. A abordagem prática de confiança zero neste caso é fornecer acesso temporário aos dados conforme necessário.
- A autorização contínua envolve verificar, uma vez que um usuário é autenticado, quais dados um usuário pode acessar . A autorização é um grande desafio, especialmente em escala. Por um lado, quanto mais dados você autoriza, mais riscos de segurança você assume. Por outro, você deseja que os usuários tenham acesso a todos os dados de que precisam. A abordagem prática para a autorização de confiança zero é consolidar a autenticação entre plataformas e implementar a autorização em tempo real com base nas diversas necessidades de seus consumidores de dados. Isso requer um controle firme sobre os diferentes conjuntos de dados que cada usuário pode acessar, solicitação e concessão de acesso em tempo real ou próximo; juntamente com o gerenciamento de acesso temporário ou acesso não mais necessário, revogando-o em datastores.
- A validação contínua precisa garantir que nenhum risco excessivo seja assumido e que os dados sejam usados da maneira pretendida . Exemplos desse tipo de validação são a aplicação de políticas de anonimização, como políticas de mascaramento de dados e localização de dados, entre outras. A partir daí, as organizações precisam procurar maneiras de aplicar as políticas de segurança de dados da organização continuamente em todos os acessos a dados e em todas as plataformas de dados. Ter uma abordagem unificada para as políticas de acesso a dados não apenas garantirá sua aplicação consistente, mas também permitirá monitoramento e auditoria contínuos para quaisquer riscos ocultos ou novos e uma resposta adequada às regulamentações de privacidade e conformidade.
FONTE: HELPNET SECURITY