Zero-trust - modelo de confiança

Zero-trust é um modelo de segurança, não um produto. A premissa é simples: nada é confiável por posição na rede. Não importa se o request vem de dentro do data center, do laptop do CTO ou de um pod em outra conta: cada chamada é autenticada, autorizada e logada antes de tocar recurso algum.

O modelo nasce da constatação de que perímetro clássico não funciona mais. VPN coloca o usuário na rede interna, e a rede interna não tem mais muro - VPCs se conectam, workloads rodam em Kubernetes efêmero, parceiros têm federação, e o atacante que entra uma vez passeia até o bucket de pagamentos. Zero-trust responde mudando a unidade de confiança da rede para a identidade, e exige verificação explícita em cada fronteira.

NIST SP 800-207 define sete princípios que aparecem em toda implementação séria de zero-trust. Não são exclusivos, na prática são combinados, mas servem de régua para saber se a arquitetura em estudo é zero-trust ou apenas 'VPN com MFA'.

Zero-trust se concretiza em quatro frentes técnicas, quase sempre combinadas. O caminho costuma começar em uma frente (acesso de usuário, por exemplo) e expandir com o tempo até cobrir toda a malha de serviço.

O limite mais comum é confundir zero-trust com 'colocar MFA na VPN'. MFA é uma camada; zero-trust é uma arquitetura que pressupõe MFA em cada chamada, identidade em cada workload e policy por serviço. Time que chama qualquer coisa de 'zero-trust' porque liga MFA vira projeto de marketing, não de segurança.

O segundo limite é operacional. Trocar VPN por BeyondCorp em mil funcionários é um projeto de meses com vendor lock-in e roll-back difícil. A versão pragmática começa pequena (uma aplicação sensível, ou um cluster) e expande por ondas, com política versionada e teste antes de promover.