A Zero Trust cresceu. Aqui está o que seus fundadores dizem que está por vir.

A Zero Trust cresceu.

É assim que Chase Cunningham e John Kindervag descrevem o estado atual da estratégia de segurança que eles desenvolveram desde o conceito até o movimento global.

“Quando chego à Forrester, herdei o bebê de outra pessoa”, brincou Chase. “Esse pai era John. E agora o bebê é um adolescente.”

Nem sempre foi assim. Mas hoje, o Zero Trust está em toda parte. John e Chase agora estão ajudando líderes de segurança em todo o mundo a reimaginar como eles protegem o que é mais importante.

Então, o que está impulsionando o impulso — e o que vem a seguir?

Em nosso último episódio do podcast The Segment , conversei com John, o padrinho do Zero Trust, e Chase, conhecido no setor como Dr. Zero Trust, para falar sobre a ascensão da estratégia, o poder dos gráficos de segurança e o que realmente significa pensar como um atacante.

Zero Trust é uma estratégia. Ponto final.

Quando John e Chase começaram a evangelizar o Zero Trust, há cerca de 15 anos, a resposta não foi exatamente entusiástica.

“Meu primeiro discurso teve 14 pessoas na sala”, disse John. “E a maioria deles me disse que eu era um idiota.”

Mas agora, é global. De pequenas empresas a governos internacionais, as organizações estão finalmente colocando a contenção e a visibilidade no centro de suas estratégias de segurança.

Chase acredita que cruzamos o abismo do Zero Trust. “O 'ódio' ainda flui on-line, mas a adoção é real”, disse ele.

Eles estão conduzindo workshops do Zero Trust em todos os lugares, de Taiwan à Suíça. Na verdade, John disse que recentemente se dirigiu aos líderes de segurança cibernética em Bletchley Park, no Reino Unido, lar dos decifradores de códigos originais.

O que está alimentando esse crescimento? Ambos concordaram que é a capacidade do Zero Trust de ressoar em todos os níveis, desde engenheiros de segurança até tomadores de decisões executivas e membros do conselho.

Desde o início, a Zero Trust não se preocupa com qual tecnologia comprar. É uma estrutura para criar organizações resilientes que funcionam em todas as funções em qualquer escala.

Os gráficos de segurança estão mudando o jogo cibernético

O Zero Trust é uma estratégia única porque continua funcionando mesmo com a evolução do setor. Um dos maiores avanços no momento é como as organizações estão adotando o Zero Trust junto com os gráficos de segurança.

O novo livro de Chase, Think Like an Attacker: Why Security Graphs Are the Next Frontier of Threat Detection and Response, descreve como a análise gráfica está ajudando os defensores a entender sua infraestrutura com a mesma clareza que os atacantes já têm.

“Quando eu estava no exército, passamos de cinco operações bem-sucedidas por mês para 300 quando usamos modelos gráficos”, disse Chase. “Por quê? Porque entendemos o terreno.”

John concorda. Em seu modelo de cinco etapas para o Zero Trust, os gráficos de segurança são o motor por trás da segunda etapa: mapear os fluxos de transação. Sem esse mapa, o Zero Trust se torna uma suposição.

“Bons mapas vencem guerras”, disse ele. “Os ruins fazem você se perder.” E o mesmo pode ser dito em cibersegurança.

Bons mapas vencem guerras. Os ruins fazem você se perder.

Conheça suas prioridades de segurança ou corra o risco de perder o controle  

Os gráficos de segurança também estão ajudando as equipes de segurança a priorizar o que é mais importante.

Tanto John quanto Chase enfatizaram que os líderes de segurança cibernética precisam repensar o que é o sucesso. “Se tudo é uma prioridade, então nada é”, alertou Chase.  

É por isso que definir a superfície de proteção — os dados, aplicativos e serviços mais críticos em sua rede — é fundamental.

A partir daí, os líderes de segurança podem usar a visibilidade baseada em gráficos para tomar decisões informadas e implantar controles com um propósito. John disse isso claramente: “A maioria das pessoas espera que nada de ruim aconteça. Essa não é uma estratégia de risco.”

Em vez disso, as equipes de segurança devem aceitar que os atacantes entrem . Nosso trabalho é conter seu movimento e minimizar o raio de explosão.

Pense como um atacante — ou fique um passo atrás

Uma das conclusões mais convincentes de nossa discussão foi a seguinte: os defensores precisam inverter o roteiro.

“Os atacantes não seguem as listas de verificação de conformidade”, disse Chase. “Eles se movem rápido, brincam de forma suja e exploram as coisas que você acha que são seguras.”  

É por isso que não basta monitorar alertas ou corrigir vulnerabilidades conhecidas. Os defensores precisam entender a mentalidade do inimigo porque é provável que os atacantes já entendam sua infraestrutura melhor do que você.

Os atacantes não seguem as listas de verificação de conformidade. Eles se movem rápido, brincam de sujo e exploram as coisas que você acha que são seguras.

E embora a equipe vermelha exista há décadas, John enfatizou que é hora de evoluir. “Costumávamos fazer testes de penetração e entregar relatórios de 200 páginas sobre os quais ninguém agiu”, disse ele. “Agora, precisamos de testes direcionados que perguntem: um invasor pode chegar à minha superfície protegida e com que rapidez posso contê-lo?”

A IA pode ser uma aliada se você for cuidadoso

A IA pode ser uma ajuda real para evoluir a forma como vemos, entendemos, priorizamos e agimos em relação às ameaças. Embora John e Chase sejam céticos em relação ao hype da IA, eles estão otimistas quanto ao potencial.

“A IA não é mágica”, disse Chase. “É matemática. Mas se isso ajudar os defensores a se moverem na velocidade da máquina, use-o.”

John acrescentou que o valor da IA está em ajudar as organizações a acelerar suas respostas. “Se você acionar um airbag da mesma forma que faz o gerenciamento de mudanças, você morre”, disse ele. “Precisamos de uma resposta automática. A IA pode nos levar até lá.”

A IA não é mágica. É matemática. Mas se isso ajudar os defensores a se moverem na velocidade da máquina, use-o.

Mas não se trata apenas de comprar uma ferramenta chamada “IA”. Trata-se de garantir que sua infraestrutura existente esteja pronta para isso. A visibilidade baseada em gráficos, os mecanismos de políticas e a segmentação já devem estar em vigor para possibilitar a ação em tempo real com a IA.

Zero Trust conquistou seu lugar na mesa

A parte mais inspiradora da nossa conversa foi ver até onde a Zero Trust chegou. De testes eletrônicos em cassinos e bate-papos em academias de hotéis a conselhos de generais e legisladores, John e Chase transformaram uma ideia em um movimento.

Esse movimento não é mais uma preocupação de nicho para a TI. É uma questão de diretoria, uma prioridade nacional e um imperativo estratégico.

Como disse John: “Os atacantes estão construindo máquinas para nos derrotar. Então, devemos construir máquinas para derrotá-los.”

Para fazer isso, precisamos de mapas melhores, sistemas mais inteligentes e a coragem de priorizar o que é mais importante.

Ouça nossa conversa completa sobre o podcast The Segment: A Zero Trust Leadership via maçã, Spotify, ou nosso site.