Introdução

Durante décadas, a segurança de TI corporativa funcionou como um castelo medieval: construa uma muralha forte (firewall), proteja o perímetro e confie em tudo que está dentro. Quem estava dentro da rede podia acessar os sistemas livremente, porque presumia-se que era confiável.

Esse modelo funcionou enquanto todos os colaboradores trabalhavam no escritório, os dados ficavam em servidores locais e os ataques vinham de fora. Mas o mundo mudou: trabalho remoto, aplicações em nuvem, dispositivos pessoais no trabalho e ameaças internas tornaram o modelo de perímetro obsoleto.

Zero Trust é a resposta para esse novo cenário. O princípio é simples e radical: não confie em ninguém, verifique tudo, sempre. Este artigo explica o que é Zero Trust, como funciona na prática e o que uma PME em São Paulo pode implementar sem precisar de orçamento de grande corporação.

O que é Zero Trust

Zero Trust é um modelo de segurança baseado no princípio de que nenhum usuário, dispositivo ou sistema deve ser automaticamente confiável, mesmo que esteja dentro da rede corporativa.

Em vez de confiar em quem está "dentro" e desconfiar de quem está "fora", o Zero Trust trata cada requisição de acesso como potencialmente suspeita e exige verificação contínua. Não importa se o usuário está no escritório, em casa ou em outro país, precisa provar quem é, que seu dispositivo está seguro e que tem permissão para acessar aquele recurso específico.

O conceito foi formalizado pelo analista John Kindervag em 2010 no Forrester Research e adotado por grandes empresas como Google (que implementou o BeyondCorp internamente) e Microsoft. Hoje está acessível para empresas de qualquer tamanho.

Os três pilares do Zero Trust são: verificar explicitamente (sempre autenticar e autorizar com base em todos os dados disponíveis), usar acesso de menor privilégio (cada usuário acessa apenas o que precisa para trabalhar) e assumir violação (projetar sistemas assumindo que o atacante já está dentro).

Por que o modelo de perímetro tradicional falhou

O modelo tradicional de segurança assume que a rede interna é segura. O problema é que essa premissa é falsa por várias razões:

Trabalho remoto e híbrido

Colaboradores acessam sistemas corporativos de casa, cafeterias e aeroportos. O "perímetro" deixou de existir quando o trabalho saiu do escritório.

Aplicações em nuvem

Microsoft 365, Google Workspace, Salesforce, sistemas ERP em nuvem, os dados não estão mais dentro do servidor local protegido pelo firewall. Estão em data centers de terceiros acessados pela internet.

Ameaças internas

Funcionários insatisfeitos, credenciais comprometidas ou dispositivos infectados dentro da rede são ameaças que o firewall perimetral não detecta, porque o tráfego vem de dentro.

Movimento lateral

Quando um atacante compromete um dispositivo dentro da rede, o modelo de perímetro permite que ele se mova livremente para outros sistemas. Com Zero Trust, cada acesso é verificado individualmente, limitando o alcance do ataque.

Os 5 princípios práticos do Zero Trust

1. Identidade como novo perímetro

Em vez de confiar em quem está na rede, confie em quem prova sua identidade. Isso significa autenticação multifator (MFA) obrigatória para todos os usuários em todos os sistemas. Senha sozinha não é suficiente, o segundo fator (app autenticador, SMS, chave de segurança) é obrigatório.

2. Acesso de menor privilégio

Cada colaborador acessa apenas o que precisa para fazer seu trabalho. O contador não precisa acessar o servidor de desenvolvimento. O vendedor não precisa ver dados de RH. Revise periodicamente quem tem acesso a quê e remova permissões desnecessárias.

3. Verificação contínua de dispositivos

Não basta verificar o usuário, o dispositivo também precisa ser confiável. Computadores desatualizados, sem antivírus ativo ou com configurações inseguras não devem ter acesso a sistemas críticos. Soluções de MDM (Mobile Device Management) e EDR garantem que apenas dispositivos saudáveis se conectem.

4. Microsegmentação da rede

Em vez de uma rede plana onde tudo se comunica com tudo, divida a rede em segmentos isolados. Financeiro não se comunica com TI. Servidores de produção não se comunicam com computadores de usuário final. VLANs implementam isso na prática, um atacante que compromete um segmento não alcança os outros.

5. Monitoramento e análise contínua

Registre tudo e analise padrões. Um usuário que normalmente acessa o sistema das 9h às 18h de SP, mas de repente acessa às 3h de outro país, é uma anomalia que deve gerar alerta. Ferramentas de SIEM (Security Information and Event Management) fazem essa análise automaticamente.

Como uma PME pode implementar Zero Trust na prática

Zero Trust não precisa ser implementado de uma vez. É uma jornada progressiva, você pode começar com os fundamentos e evoluir conforme o orçamento e a maturidade da empresa crescem.

Nível 1, Fundamentos (implementar imediatamente)

MFA em todos os sistemas: e-mail, VPN, ERP, Microsoft 365 ou Google Workspace. Isso sozinho elimina mais de 99% dos ataques baseados em credenciais comprometidas segundo a Microsoft.

Revisão de acessos: mapear quem tem acesso a quê e remover permissões desnecessárias. Começar pelos sistemas mais críticos, financeiro, RH, dados de clientes.

Política de senhas: senhas únicas e complexas para cada sistema, gerenciadas por um gerenciador de senhas corporativo (LastPass, 1Password, Bitwarden).

Nível 2, Intermediário (implementar em 3 a 6 meses)

EDR em todos os dispositivos: substituir antivírus tradicional por EDR que monitora comportamento em tempo real.

VPN com autenticação forte: acesso remoto apenas via VPN com MFA, nunca diretamente pela internet.

Microsegmentação com VLANs: separar redes por departamento e função, visitantes, operação, servidores, IoT.

Nível 3, Avançado (implementar conforme maturidade)

MDM para gerenciamento de dispositivos: garantir que apenas dispositivos corporativos gerenciados acessem sistemas críticos.

SIEM para monitoramento: centralizar logs e detectar anomalias automaticamente.

Acesso condicional: políticas que bloqueiam acesso de dispositivos não conformes ou de localizações suspeitas.

Quanto custa implementar Zero Trust para uma PME

O custo depende do nível de implementação. Os fundamentos, MFA, revisão de acessos e política de senhas, têm custo praticamente zero se a empresa já usa Microsoft 365 ou Google Workspace, pois essas plataformas incluem MFA nativo.

O nível intermediário adiciona custos de EDR (R$ 30 a R$ 80 por dispositivo/mês), VPN gerenciada e configuração de VLANs. Para uma empresa de 20 colaboradores, o custo total fica entre R$ 800 e R$ 2.000 por mês, uma fração do custo de um incidente de segurança bem-sucedido.

Como a Accertiva implementa Zero Trust para empresas em São Paulo

A Accertiva auxilia PMEs em São Paulo a implementar os princípios de Zero Trust de forma progressiva e adequada ao orçamento: configuração de MFA, revisão de acessos, implementação de EDR, VLANs, VPN gerenciada e monitoramento contínuo.

Saiba mais sobre Segurança e continuidade para empresas.

Perguntas frequentes sobre Zero Trust

Zero Trust é adequado para pequenas empresas?

Sim. Os princípios fundamentais, MFA, menor privilégio e segmentação, são acessíveis para qualquer tamanho de empresa. Não é necessário implementar tudo de uma vez. Começar pelo MFA em todos os sistemas já coloca a empresa em um nível de segurança muito acima da média das PMEs brasileiras.

Zero Trust substitui o firewall?

Não, complementa. O firewall continua sendo necessário para controle de tráfego de entrada e saída. O Zero Trust adiciona uma camada de verificação de identidade e acesso que o firewall sozinho não oferece. Os dois trabalham juntos.

Quanto tempo leva para implementar Zero Trust em uma PME?

Os fundamentos, MFA e revisão de acessos, podem ser implementados em 1 a 2 semanas. A implementação completa com EDR, VLANs e monitoramento leva de 2 a 4 meses dependendo da complexidade do ambiente. É um processo progressivo, não uma implantação de uma só vez.

Zero Trust funciona para equipes em home office?

É exatamente para esse cenário que o Zero Trust foi projetado. Com colaboradores acessando sistemas de diferentes locais e dispositivos, verificar explicitamente cada acesso, independentemente de onde vem, é a abordagem mais segura. VPN com MFA é o ponto de partida para equipes remotas.

Como saber se minha empresa está pronta para Zero Trust?

O ponto de partida é um diagnóstico de segurança: mapear todos os sistemas, quem tem acesso a quê, quais dispositivos estão na rede e quais são as vulnerabilidades mais críticas. A Accertiva oferece esse diagnóstico gratuitamente para empresas em São Paulo.

Zero Trust: o que é e como aplicar na segurança de TI da sua empresa