Zero Trust na prática: do diagnóstico ao perímetro zero

O modelo que não funciona mais

Durante décadas, a segurança corporativa foi construída sobre uma premissa simples: perímetro forte significa ambiente seguro. Quem está dentro, é confiável. Quem está fora, é ameaça.

Essa premissa não sobrevive à realidade operacional de 2026.

Trabalho remoto, cloud distribuído, micro serviços e acesso de terceiros eliminaram o conceito de “dentro”. Não existe mais um perímetro claro para proteger. E quando não há perímetro, a estratégia que depende dele falha silenciosamente.

O padrão documentado pelo FBI e pela CISA (Cybersecurity and Infrastructure Security Agency) é consistente: entrada via credencial comprometida, movimento lateral para expandir o acesso, encriptação ou exfiltração de dados. Cada etapa é facilitada por um modelo de segurança que confia implicitamente em quem está autenticado.

O NIST (National Institute of Standards and Technology) formalizou a resposta a esse problema em 2022, com a publicação da arquitetura Zero Trust como pilar do Cybersecurity Framework. A mudança de paradigma é direta: nunca confie. Sempre verifique.

O que é Zero Trust

Zero Trust não é um produto. Não é uma ferramenta que se instala. É um modelo arquitetural baseado em verificação contínua de identidade, acesso mínimo necessário e visibilidade total sobre o que acontece no ambiente.

Quatro pilares sustentam esse modelo:

Identidade

Autenticação não termina no login. Cada acesso a recurso crítico exige verificação ativa de quem está solicitando, a partir de onde e com qual contexto.

O mínimo operacional é MFA (Multi-Factor Authentication, autenticação de múltiplos fatores) em todos os acessos administrativos. O padrão ideal é MFA em qualquer transação que envolva dados sensíveis. Um funcionário autenticado que tenta acessar um banco de dados crítico precisa ser verificado novamente naquele momento, não apenas no início da sessão.

Itens de controle:

MFA ativo em acesso administrativo
MFA em transações críticas
Senhas com no mínimo 12 caracteres
Revisão trimestral de permissões ativas

Acesso

Least privilege: cada usuário, sistema e serviço tem acesso exatamente ao que precisa para executar sua função. Nada além disso.

Um DBA (Database Administrator) acessa o banco de dados que gerencia. Um analista tem leitura sobre as tabelas do seu escopo. Um sistema de pagamento não tem visibilidade sobre dados de RH. Quando um colaborador muda de função ou encerra o vínculo, o acesso é revogado em menos de 24 horas.

O controle de acesso é estruturado via RBAC (Role-Based Access Control), modelo que define permissões por função, não por indivíduo, tornando a gestão auditável e escalável.

Itens de controle:

RBAC definido com perfis claros de acesso
Least privilege implementado por função
Remoção automática de acesso ao desligamento
Acesso de terceiros sempre temporário e rastreável

Criptografia

Os dados não são confiáveis apenas por estarem dentro do ambiente. Criptografia em repouso (AES-256) e em trânsito (TLS, Transport Layer Security, versão 1.2 ou superior) garante que, mesmo que um ator mal-intencionado acesse o dado, não consiga utilizá-lo.

O gerenciamento de chaves criptográficas é feito por um KMS (Key Management System), sistema dedicado a criar, armazenar, rotacionar e controlar o acesso às chaves. A lógica é direta: não faz sentido criptografar dados e guardar a chave no mesmo lugar que os dados. O KMS separa essas duas coisas e registra em auditoria cada uso de cada chave, por quem e quando.

Itens de controle:

AES-256 em dados em repouso
TLS 1.2 ou superior em trânsito
Chaves gerenciadas centralizadamente via KMS
Rotação de chaves a cada 90 dias

Monitoramento

Zero Trust exige visibilidade total e contínua. A maioria das brechas não é descoberta no momento do ataque. É descoberta semanas depois. O monitoramento contínuo reduz esse intervalo de forma drástica.

A base tecnológica desse pilar é o SIEM (Security Information and Event Management), sistema que centraliza e correlaciona eventos de segurança de toda a infraestrutura em tempo real. Um ataque raramente aparece como um único evento óbvio: ele é a soma de vários eventos pequenos que, isolados, passariam despercebidos. O SIEM junta esses pontos, identifica o padrão e dispara o alerta antes que a ameaça se expanda.

Itens de controle:

SIEM implementado com logs centralizados
Análise comportamental ativa
Alertas automáticos configurados
Logs retidos por no mínimo 90 dias

Implementação em 5 etapas

Zero Trust não exige uma transformação total e simultânea. Cada etapa entrega redução de risco imediata e prepara o ambiente para a próxima. O ritmo de execução depende da maturidade, do porte e das prioridades de cada organização: o que define o cronograma é o contexto do negócio, não um prazo genérico.

Etapa 1 – Inventário: Mapeie o ambiente completo: servidores, bancos de dados, APIs, dados sensíveis e quem tem acesso a cada um. Classifique por criticidade. Sem esse mapa, os passos seguintes não têm base.

Etapa 2 – identidade: Implemente MFA em todos os acessos administrativos por meio de uma solução de gestão de identidade centralizada. É o passo com maior retorno imediato sobre risco e geralmente o mais rápido de executar.

Etapa 3 – acesso: Defina o modelo RBAC com os perfis da organização. Mapeie cada perfil para permissões específicas. Revogue o que está fora do mínimo necessário.

Etapa 4 – criptografia: Ative criptografia em dados em repouso e em trânsito. Implemente gestão de chaves via KMS integrado à infraestrutura existente.

Etapa 5 – monitoramento: Implemente o SIEM, configure os alertas e estabeleça o protocolo de resposta a incidentes. Essa etapa não tem fim: é a operação permanente do modelo.

Checklist: onde sua organização está hoje

Use esse checklist para identificar lacunas antes de definir prioridades de implementação.

Identidade:

MFA ativo em acesso administrativo
MFA ativo em transações críticas
Senhas com mínimo de 12 caracteres
Revisão trimestral de acessos ativos

Acesso:

RBAC definido e documentado
Least privilege implementado
Remoção automática ao desligamento
Acesso de terceiros temporário e rastreável

Criptografia:

AES-256 em dados em repouso
TLS 1.2 ou superior em trânsito
Chaves gerenciadas centralizadamente via KMS
Rotação de chaves a cada 90 dias

Monitoramento:

SIEM implementado
Análise comportamental ativa
Alertas automáticos configurados
Logs retidos por 90 dias ou mais

Como a Surfix viabiliza Zero Trust na prática

Implementar Zero Trust exige infraestrutura. Os quatro pilares descritos acima precisam de uma base física e operacional que os sustente com disponibilidade, segurança e conformidade auditáveis.

A Surfix entrega essa base, com um ecossistema de parceiros especializados para cada camada do modelo:

Detecção contínua de ameaças: em parceria com a Lumu.io, a Surfix oferece Continuous Compromise Assessment, metodologia que monitora continuamente os ativos da organização em busca de sinais de comprometimento em tempo real, incluindo tráfego de rede, credenciais e endpoints. Para o pilar de monitoramento do Zero Trust, é a inteligência que transforma dados em resposta.

Gestão de vulnerabilidades em aplicações e endpoints: a parceria com a Vicarius cobre a camada de VMDR (Vulnerability Management, Detection and Response), identificando, priorizando e remediando vulnerabilidades antes que se tornem vetores de ataque. É a aplicação direta do pilar de acesso: reduzir a superfície explorável de cada ativo.

Proteção de perímetro e rede: a solução de Network Security em parceria com a Fortinet posiciona firewalls de nova geração como primeira linha de defesa, com visibilidade profunda de tráfego e controle granular de acesso à rede, cobrindo os pilares de identidade e acesso no nível de infraestrutura.

Cloud seguro e certificado: a infraestrutura de Cloud Security da Surfix protege dados em trânsito e em repouso sobre uma base certificada ISO 27001 e ISO 27701. Para organizações que precisam comprovar conformidade com a LGPD, essa certificação não é detalhe técnico: é requisito de contrato.

Base física com disponibilidade garantida: a Surfix opera o único Data Center TIER III de Pernambuco, com monitoramento NOC (Network Operations Center) 24h/7 e redundância N+1 em energia, refrigeração e conectividade. A disponibilidade de 99,982% é exigência da certificação, não promessa comercial.

Zero Trust começa com uma decisão arquitetural. Mas depende de infraestrutura e de parceiros certos para funcionar.

Fale com um especialista Surfix e avalie como a sua organização está posicionada hoje: surfix.com.br

Referências