A arquitetura de redes Zero Trust e o combate ao avanço da Shadow IT | CIO
Clique para copiar https://cio.com.br/a-arquitetura-de-redes-zero-trust-e-o-combate-ao-avanco-da-shadow-it/
26/11/2018 às 18h39 26/11/2018 às 18h39
A partir do momento em que a operação em nuvem deixou de ser um capítulo da TI e passamos a operar - seja de forma espontânea ou por força das circunstâncias - no novo modelo "cloud-first", a antiga concepção de segurança baseada em perímetro também deixou de fazer sentido.
Se até há algum tempo ainda estávamos pelejando com o fortalecimento do firewall, das VPNs e de outras barreiras típicas de infraestrutura, o avanço consistente da nuvem veio provar que não há mais como separar "um dentro e um fora" da rede corporativa. O fenômeno da "Shadow IT", antes considerado um problema de ordem organizacional, tornou-se rapidamente uma realidade estrutural e tendendo ao total descontrole. Isto não só devido ao caráter híbrido da infraestrutura, digamos "oficial" ou assumida, na qual o emprego de SaaS, PaaS, IaaS etc parte de uma decisão consciente e planejada por parte dos gestores.
É bem verdade que, por si só, estas novas práticas da TI já contribuem enormemente para a abstração da infraestrutura, mas o aumento da zona de sombra se acelera a cada dia devido aos novos padrões de relacionamento do usuário com a rede, e agora entendendo o usuário não mais como um agente interno associado a um escritório, a uma máquina e a um domínio. Estamos na era do BYOD, do usuário participativo (alguns deles, inclusive com um quase status de desenvolvedor associado) e da inclusão de clientes, parceiros e fornecedores no ecossistema de acessos. Há inúmeros usuários em trânsito, outros em situações de home office, outros em situação de acesso temporário (os terceirizados, por exemplo) e uma grande massa de agentes externos que acessam a rede da empresa em função das matrizes criadas pela cadeia integrada de negócios.
Diante desse quadro, bem mais complexo que o da antiga rede de perímetros, vem despontando no mercado um modelo de arquitetura de segurança focada não mais na "entidade" (interna ou externa à rede), mas na identidade de quem acessa a rede, que pode ser um funcionário, um equipamento da rede, um bot ou até um software de intermediação ou sincronização entre aplicações de negócio.
O problema é que toda essa parafernália, por mais bem intencionada (e quase sempre correta) que fosse, começou a mostrar suas falhas quando a massa de funcionários passou a necessitar da nuvem como condição de produtividade. Proibir que um colaborador acesse um aplicativo de viagem, um app de troca de mensagem ou um software colaborativo esbarra na questão prática de perda da produtividade.
Longe de criminalizar o colaborador, o que o modelo Zero Trust propõe é que todo e qualquer acesso, toda e qualquer abordagem a dados, aplicações e recursos deve ser encarada como um evento de segurança.
Sem a ambição de dar uma visão profunda do problema, é possível afirmar com convicção que a arquitetura Zero Trust, ao disseminar a desconfiança para todos os elementos da rede e ao focar na política de segurança em cada acesso individual, irá retirar do usuário prerrogativas como a detenção de uma senha fácil de memorizar, ou reduzir para uma população muito baixa nas empresas a existência do chamado usuário de acesso privilegiado.