Por que a confiança zero e a segmentação estão falhando em algumas organizações

Os aplicativos estão no centro de qualquer empresa moderna. Eles impulsionam a criação de experiências inovadoras para o cliente e apoiam a produtividade dos funcionários. Mas, à medida que o tráfego entre aplicativos aumentou e os ambientes se tornaram mais distribuídos, a visibilidade, o controle e a segurança diminuíram. Essa é a nova realidade para a qual as abordagens de Zero Trust baseadas em segmentação foram criadas. No entanto, nem toda segmentação é criada da mesma forma.

Um novo relatório do analista Enterprise Strategy Group (ESG) oferece importantes aprendizados para líderes de segurança de TI corporativa. Resumindo: essas ferramentas devem se concentrar no nível da carga de trabalho e, para evitar as limitações da segmentação tradicional baseada em rede, também devem dissociar a segmentação da infraestrutura de rede.

Por que Zero Trust?

Já se passou uma década desde que o famoso artigo de opinião de Marc Andreesen afirmou que “o software está comendo o mundo”. Atualmente, dezenas de aplicativos baseados em nuvem impulsionam a organização típica, impulsionando a colaboração dos funcionários, a fidelidade do cliente e os lucros. De acordo com o ESG, 88% das organizações agora oferecem suporte a pelo menos 100 aplicativos de negócios. Mas, embora as plataformas em nuvem tenham ajudado essas empresas a desenvolver seu próprio software, elas também introduziram complexidade e potencial risco cibernético.

As ferramentas de segurança tradicionais se concentram no tráfego norte-sul ou na proteção do perímetro. Enquanto isso, o volume de tráfego de aplicativo para aplicativo, ou leste-oeste, aumentou, gerando lacunas perigosas na proteção. É aqui que entra o Zero Trust.

O Zero Trust é fundamentalmente baseado no princípio de “nunca confie, sempre verifique”. Há duas suposições básicas e subjacentes: uma violação de rede já ocorreu e os usuários, recursos e dispositivos não devem ser cegamente confiáveis. Em vez disso, eles devem ser autenticados continuamente e seu acesso aos recursos restringido pelo princípio do menor privilégio. Quando o Zero Trust funciona conforme o esperado, ele fornece a base para uma cibersegurança altamente eficaz e adaptável, adequada à era atual centrada em aplicativos e nuvem.

No entanto, como a pesquisa do ESG também revela, muitos líderes de TI e segurança acreditam erroneamente que o Zero Trust é caro e complexo de implantar, tanto do ponto de vista organizacional quanto técnico. Embora muitas dessas percepções negativas tenham origem na confusão do mercado e nas mensagens confusas dos fornecedores, elas contêm um núcleo de verdade. A pesquisa do ESG revela que metade de todas as pessoas que tiveram que pausar ou abandonar um projeto Zero Trust no passado citam “problemas organizacionais” como a causa.

O caminho para a verdadeira segmentação

Como explica ainda o ESG, a segmentação deve ser um “elemento fundamental” de qualquer projeto Zero Trust. Isso porque o Zero Trust trata essencialmente de isolar entidades em rede para que elas possam se comunicar com outras pessoas somente quando a política permitir.

O problema é que nem todas as abordagens de segmentação oferecem os atributos necessários às organizações atuais. Por exemplo, métodos estáticos, como listas de controle de acesso (ACLs) e VLANs, normalmente não têm a escalabilidade exigida por um ambiente baseado em nuvem. Eles não oferecem uma maneira fácil de programar e gerenciar as milhares de regras de ACL que residem em dispositivos de rede. Eles também podem exigir que as redes sejam rearquitetadas — uma tarefa potencialmente importante.

De acordo com o ESG, o ponto principal é o seguinte: as organizações devem escolher soluções que abstraiam a segmentação da rede e se concentrem no nível da carga de trabalho. Por quê? Porque, ao fazer isso, eles podem superar esses desafios antigos e garantir que a segmentação seja tão dinâmica e escalável quanto o ambiente que ela protege.

Você pode ler o relatório completo do ESG aqui.

Na segunda parte desta série de duas partes, analisaremos os cinco principais atributos que as organizações estão exigindo de seus fornecedores de segmentação e como a oferta da Illumio se compara.