10% das grandes empresas terão programas de proteção “Zero Trust” até 2026

A adoção de modelos de segurança “Zero Trust” é uma prioridade para a maioria das organizações que possuem uma estratégia para reduzir riscos e ameaças cibernéticas, mas poucas companhias estão conseguindo concluir o processo de implementação. Esse é um dos insights da mais recente pesquisa do Gartner, atuante no segmento de pesquisa e aconselhamento para empresas, que prevê que, até 2026, 10% das grandes empresas terão um programa de “Zero Trust” maduro e mensurável em vigor, contra apenas menos de 1% que temos atualmente.

O Gartner define “Zero Trust” como um paradigma de segurança que identifica explicitamente usuários e dispositivos, concedendo a eles a quantidade certa de acesso para que a empresa possa operar com atrito mínimo enquanto os riscos são reduzidos.

“Muitas organizações estabeleceram sua infraestrutura com modelos de confiança implícitos, ao invés de explícitos, para facilitar o acesso, o trabalho e as operações de colaboradores. Os invasores abusam dessa confiança implícita na infraestrutura para proliferar a disseminação de malwares e, em seguida, atingir seus objetivos”, afirma John Watts, vice-presidente e analista do Gartner. “O Zero Trust é uma mudança de pensamento para lidar com essas ameaças, exigindo confiança continuamente avaliada, explicitamente calculada e adaptável entre usuários, dispositivos e recursos.”

Para ajudar as empresas a completarem o escopo de suas implementações de “Zero Trust”, é fundamental que os Cisos (Chief Information Security Officers) e os líderes de gerenciamento de riscos comecem desenvolvendo uma estratégia eficaz que equilibre a necessidade de segurança com a administração do negócio.

“Isso significa começar com a estratégia de uma organização e definir um escopo para programas de Zero Trust”, diz Watts. Segundo o analista, após a definição da estratégia, os executivos responsáveis por segurança cibernética e os líderes de gerenciamento de risco devem começar gerenciando a identidade, pois esse é um fator fundamental para a aplicação do “Zero Trus”’. Eles também precisam melhorar não apenas a tecnologia, mas também apoiar no desenvolvimento das pessoas e dos processos para construir e gerenciar essas identidades. “Não se deve presumir que o Zero Trust eliminará todas as ameaças cibernéticas. Ao invés disso, diminui o risco e limita os impactos de um eventual ataque.”

Os analistas do Gartner estimam que, até 2026, mais da metade dos ataques cibernéticos serão direcionados a áreas nas quais os controles de “Zero Trust” não cobrem ou que não conseguem proteger. “A superfície de ataque empresarial está se expandindo mais rapidamente e os invasores considerarão rapidamente direcionar os ativos e as vulnerabilidades fora do escopo das arquiteturas Zero Trust (ZTAs)”, afirma Jeremy D’Hoinne, vice-presidente do Gartner. Para o analista, isso pode assumir a forma de varredura e exploração de APIs (mecanismos de comunicação entre componentes de software) voltados para o público ou direcionados a colaboradores por meio de engenharia social, intimidação ou exploração de falhas devido a funcionários que criam seu próprio “desvio” para evitar políticas rigorosas de “Zero Trust”.

O Gartner recomenda que as organizações implementem o “Zero Trust” para mitigar riscos para os ativos mais críticos, já que o retorno será maior dessa forma. No entanto, o “Zero Trust” não resolve todas as necessidades de segurança. Executivos de cybersegurança e líderes de gerenciamento de riscos também devem executar um programa de gerenciamento contínuo de Exposição a Ameaças (CTEM – de Continuous Threat Exposure Management, em inglês) para melhor controlar a estrutura e conseguir otimizar a exposição a ameaças que vão além do escopo das arquiteturas de “Zero Trust”.