Zero Trust: o fim definitivo do modelo de perímetro na segurança da informação
📅 Artigo Recente: Janeiro 2026
Por Oswaldo Souza — Tempo de leitura: 05 minutos
 |
| freepik.com/autor/rawpixel-com |
O modelo de castelo e fosso: quando a segurança parecia simples
Quando comecei a estudar sobre segurança da informação,
lá no final de 2015, a lógica dominante era quase ingênua. Bastava erguer um
muro ao redor da rede corporativa, colocar um firewall poderoso na entrada e
pronto: quem estivesse do lado de dentro era automaticamente considerado
confiável. Havia um certo romantismo no modelo de castelo e fosso, algo que
fazia sentido numa época em que tudo ficava dentro do data center e o
expediente terminava às seis da tarde. Mas esse mundo acabou, embora muitos insistam
em acreditar que ele ainda existe.
O perímetro desapareceu: nuvem, home office e ataques modernos
A transformação veio aos poucos, e quando percebemos já
era tarde. A nuvem expandiu as fronteiras, o home office virou regra,
dispositivos pessoais passaram a fazer parte da rotina de trabalho e ataques de
supply chain se tornaram comuns. O perímetro, que antes servia como uma espécie
de linha sagrada, simplesmente desapareceu. E hoje, muitos não conseguem nem
enxergar onde termina sua rede e começa a do fornecedor.
Zero Trust: desconfiança como princípio, não como exagero
É nesse novo cenário que o Zero Trust aparece, não como moda passageira, mas como um reflexo inevitável da realidade. A ideia central é quase desconfortável: não confie em ninguém até que prove que merece confiança, e repita essa verificação continuamente. A origem do acesso deixa de ter relevância. Não importa se vem do datacenter, da VPN ou do celular do CEO durante uma viagem. Todo pedido é tratado como suspeito até que se mostre legítimo. Para alguns isso soa exagerado, mas depois de presenciar o impacto de ataques como SolarWinds e Colonial Pipeline, a prudência parece muito mais sensata do que a confiança automática.
Zero Trust exige maturidade, não apenas tecnologia
O que mais me chama atenção no Zero Trust é que ele
obriga as empresas a evoluir em diversas frentes ao mesmo tempo. Não dá para
vestir a fantasia de Zero Trust comprando uma solução moderna e achando que ela
vai resolver tudo magicamente. É preciso fortalecer a identidade com MFA real,
segmentar a rede em partes menores, monitorar comportamento continuamente,
criptografar o que faz sentido e, acima de tudo, preparar as pessoas para uma
nova mentalidade. Já acompanhei projetos tecnicamente impecáveis que nunca
decolaram porque a alta gestão acreditava que exigir MFA do time de marketing
era exagero. O problema é que, na prática, esses mesmos times costumam ser
alvos favoritos de golpes de engenharia social, e o prejuízo costuma ser
grande.
 |
| freepik.com/autor/dcstudio |
Zero Trust não é produto, é arquitetura contínua
Sempre repito a mesma frase para os clientes: Zero Trust não é um produto, é uma arquitetura. Você não clica em “instalar Zero Trust” numa sexta-feira e vai para casa tranquilo. É um esforço contínuo que envolve pessoas, processos e tecnologia. Os modelos de referência mais usados, como o de maturidade da Microsoft e as diretrizes do CISA, reforçam a mesma sequência lógica: comece sabendo quais são seus ativos mais valiosos, identifique quem realmente precisa acessá-los e implemente controles alinhados a esse risco. Não é glamouroso e pode ser demorado, mas certamente é mais barato do que pagar o resgate de um ataque sofisticado.
O cenário brasileiro e o desafio da mentalidade antiga
No Brasil, esse movimento ganha contornos ainda mais
interessantes. Vivemos uma mistura de regulamentações rigorosas com um cenário
de ameaças que cresce ano após ano. Basta olhar para o volume de credenciais
brasileiras expostas na deep web, números que assustam qualquer profissional do
setor. A parte mais curiosa é que muitas empresas já possuem boa parte das
ferramentas necessárias para iniciar uma jornada Zero Trust, mas continuam
presas à mentalidade antiga porque ninguém se dedicou a orquestrar o quebra-cabeça.
Preparando seus negócios online para a era do Zero Trust
Líderes de tecnologia precisam encarar uma realidade clara: o perímetro já não existe. A pergunta agora não é se um ataque vai acontecer, mas se a organização está preparada para limitar seus efeitos quando ele ocorrer. Zero Trust não é excesso de cautela — é maturidade operacional.
O grande benefício do Zero Trust não é impedir que um
ataque aconteça, porque isso é impossível. O ponto é limitar o impacto quando
ele acontecer. Mais cedo ou mais tarde uma credencial será comprometida e
alguém tentará se movimentar lateralmente pela rede. Em ambientes preparados,
cada passo exige nova validação. Já vi ambientes onde o tempo médio para
detectar atividades suspeitas caiu drasticamente após a implementação de
microsegmentação e autenticação contínua. Isso faz diferença entre um incidente
rapidamente contido e um desastre estampado nas manchetes.
Desafios reais e a pergunta que todo diretor precisa responder
É claro que há desafios. Licenciamento sobe, algumas
aplicações legadas sofrem com latência e os usuários reclamam quando precisam
confirmar a identidade com mais frequência. Mas, quando converso com diretores
de tecnologia, gosto de fazer uma pergunta simples: quanto vale a tranquilidade
de saber que um ataque direcionado ao financeiro, por exemplo, terá alcance
limitado a poucos sistemas? A resposta, quase sempre, é que vale mais do que
qualquer irritação momentânea.
Por onde começar a jornada Zero Trust
Se a sua empresa ainda não começou, inicie com passos
pequenos. Defina claramente o que é mais valioso, implemente MFA sem exceções,
reduza privilégios excessivos e monitore o comportamento dos usuários. Pode ser
um caminho lento, mas é um caminho seguro. O castelo já não existe há muito
tempo. Agora precisamos construir um ambiente onde cada componente faz a
pergunta que realmente importa: quem é você e por qual motivo deveria ter
acesso aqui?
Oswaldo Souza
Especialista em IA e Defesa Cibernética | Professor e Pesquisador Científico | Profissional com mais de 10 anos de experiência em Tecnologia da Informação
Profissional com mais de 10 anos de experiência em Tecnologia da Informação, especialista em Defesa Cibernética, Inteligência Artificial e Gestão. Colunista, Professor e Pesquisador científico.
Portal Líderes - Equipe de Colunistas e Redatores - Conteúdo Especializado em Segurança Cibernética
Conteúdo produzido por especialistas em defesa cibernética e tecnologia
.jpeg)
Nenhum comentário:
Agradeço a sua participação! Compartilhe nossos artigos com os amigos, nas redes sociais. Parabéns