Um ex-CIO da Casa Branca explica por que a política de Confiança Zero deve ser projetada para a forma como as pessoas realmente trabalham.

Na Casa Branca, até mesmo algo tão simples quanto uma lista de reprodução de músicas pode se tornar um risco à segurança.

Durante minha conversa com a ex-CIO da Casa Branca, Theresa Payton, em um episódio recente do podcast The Segment , ela compartilhou como o presidente George W. Bush usava um iPod Shuffle para compartilhar músicas com suas filhas. O problema era que a atualização da lista de reprodução a divulgava automaticamente para todos os públicos.  

O que parecia ser uma característica inofensiva criou uma potencial exposição.

A solução não foi bloquear o dispositivo ou restringir a forma como ele poderia ser usado. Em vez disso, a equipe de Theresa projetou proteções invisíveis ao redor do usuário. Como ela explicou, eles tiveram que "permitir que ele vivesse sua vida enquanto criavam redes de segurança ao seu redor que eram praticamente invisíveis".

Essa história captura algo fundamental sobre a segurança cibernética hoje em dia.

Passamos anos projetando segurança em torno de sistemas, controles e requisitos de conformidade. Entretanto, os atacantes têm se concentrado em pessoas. Eles estudam o comportamento e exploram o atrito. Eles procuram por lacunas entre como a segurança é projetada e como ela é realmente usada.

Para que a abordagem Zero Trust produza resultados reais, ela precisa começar com a história do usuário humano como fundamento.

A matemática não faz sentido. E esse é o problema.

Theresa vê problemas graves no estado atual da segurança cibernética.

Ela apontou para um desequilíbrio gritante: estamos gastando cerca de US$ 240 bilhões em segurança cibernética, enquanto as perdas com crimes cibernéticos devem chegar a US$ 10,5 trilhões este ano.

A reação dela foi simples: "A matemática não faz sentido."

Essa discrepância evidencia um problema mais profundo. O setor não carece de ferramentas, estruturas ou financiamento. Faltam resultados.

Grande parte disso se resume à forma como abordamos a conformidade. Estruturas são necessárias e regulamentações são importantes. Mas, sem intenção, moldaram a forma como as organizações pensam sobre segurança.

Como disse Theresa, essas estruturas são "incrivelmente bem-intencionadas, mas podem ser a pior coisa que já nos aconteceu".

Por que? Porque incentivam uma mentalidade de lista de verificação.

As organizações se concentram em atender aos requisitos em vez de reduzir os riscos. E os atacantes se aproveitam disso. Eles entendem os controles e sabem onde estão as lacunas. Como resultado, eles podem simplesmente fazer engenharia reversa do sistema.

É aqui que o conceito de Zero Trust foi mal interpretado.

Não se trata de cumprir um padrão, mas sim de validar continuamente a confiança e limitar a exposição. A conformidade pode dizer o que é necessário, mas a abordagem Zero Trust força você a questionar o que é realmente eficaz.

A segurança ainda é projetada para compradores, não para usuários.

Theresa também abordou outro problema do setor que está bem à vista de todos: a maioria das soluções de segurança são criadas para o comprador, não para o usuário.

Theresa descreveu como os fornecedores muitas vezes veem o comprador como o cliente principal, e não as pessoas que realmente usam a tecnologia no dia a dia.

Essa distinção é crucial. Quando a segurança é projetada com foco na aquisição em vez do uso, isso gera atrito. E o atrito leva a soluções alternativas.

Todos nós já vimos isso. Políticas de senhas excessivamente complexas. Controles que tornam os fluxos de trabalho mais lentos. Sistemas que exigem que os usuários pensem como especialistas em segurança apenas para realizar seu trabalho.

Theresa resumiu a situação com um cenário familiar. Quando as pessoas descobrem que você trabalha com segurança, elas não agradecem pelos controles complexos. Eles te contam tudo o que detestam neles.

Essa desconexão é mais do que um problema de usabilidade. É um problema de segurança.

Se os usuários estão burlando os controles, esses controles não estão protegendo nada.

O conceito de Zero Trust muda isso ao deslocar o foco da restrição para a capacitação. Trata-se de tornar o caminho seguro o caminho mais fácil.

Projetar pensando nas pessoas muda a forma como a estratégia Zero Trust funciona.

Então, o que significa, na prática, projetar segurança em torno das pessoas? O conselho de Theresa foi surpreendentemente simples: observe.

“Sentem-se nos seus centros de atendimento, sentem-se nas instalações dos clientes e ouçam”, disse ela. “Você vai aprender muito sobre o que não está funcionando.”

Essa percepção é frequentemente negligenciada na área de segurança cibernética.

Gastamos tempo modelando ameaças e criando controles, mas não o suficiente para entender como esses controles interagem com os fluxos de trabalho reais.

Quando você começa a observar, padrões começam a surgir:

• Onde os usuários encontram dificuldades
• Onde os processos falham
• Onde as pessoas criam soluções alternativas

Esses sinais são a base para um projeto melhor. E é aqui que a estratégia Zero Trust se torna prática.

Em vez de aplicar controles amplos e estáticos, você pode impor políticas com base em como os sistemas e os usuários realmente interagem. É possível aplicar o princípio do menor privilégio com precisão e reduzir a exposição sem prejudicar o desempenho das pessoas.

A segmentação desempenha um papel fundamental nesse processo.

Ao entender os padrões de comunicação entre sistemas, você pode limitar conexões desnecessárias. Se algo estiver comprometido, não poderá se mover livremente. O raio da explosão está contido.

É assim que a abordagem Zero Trust gera resultados reais. Não bloqueando tudo, mas controlando o que importa.

A IA torna o problema humano impossível de ignorar.

Se antes a indústria podia ignorar essa lacuna, agora não pode mais. A IA está a forçar a questão.

Theresa descreveu a IA como "seu acesso mais privilegiado e sua ameaça interna mais preocupante".

Os sistemas de IA têm acesso a dados, fluxos de trabalho e decisões em grande escala. Eles operam mais rápido que os humanos. E, em muitos casos, são implantados com supervisão limitada.

Isso cria um novo tipo de risco, não apenas em relação ao uso indevido, mas também à visibilidade e ao controle.

Theresa levantou questões fundamentais que todas as organizações deveriam estar fazendo:

• Você possui registros imutáveis das atividades da IA?
• Você pode verificar como a decisão foi tomada?
• Sua governança inclui uma voz para o cliente?

Essas são questões de Confiança Zero.

Eles retornam aos mesmos princípios: verificar continuamente, limitar o acesso e monitorar o comportamento.

E reforçam a necessidade de visibilidade.

Sem entender como a IA interage com o seu ambiente, você não consegue impor limites de confiança, detectar anomalias ou conter riscos.

A próxima fronteira: dados e risco quântico

Além da IA, Theresa vislumbra outro desafio no horizonte: a computação quântica.

Ela destacou que muitas organizações ainda não abordaram completamente o ciclo de vida de seus dados.

Nem todos os dados têm o mesmo valor. Algumas coisas se tornam irrelevantes rapidamente, enquanto outras permanecem relevantes por anos ou têm valor indefinidamente.

Em um mundo pós-quântico, essa distinção importa. Se os dados forem roubados hoje e descriptografados posteriormente, o impacto ainda será real.

Theresa foi clara: as organizações precisam entender “o verdadeiro prazo de validade dos dados e seu valor ao longo do tempo”.

Isso exige uma abordagem mais aprofundada em relação à classificação de dados, controle de acesso e arquitetura.

Isso também reforça a importância do conceito de Confiança Zero.

Ao limitar o acesso, monitorar o uso e controlar os canais de comunicação, você reduz a probabilidade de exposição em larga escala. Mesmo que os dados sejam comprometidos, seu impacto é contido.

O que os líderes de segurança devem fazer em resposta

A boa notícia é que você não precisa começar do zero. Você só precisa mudar o foco.  

Eis o que Theresa recomendou:

• Considere a adesão como um ponto de partida, não como uma meta. Deveria fornecer estrutura, mas não garante resiliência contra as ameaças modernas. ‍
• Invista em compreender como seus usuários realmente trabalham. Dedique um tempo para observar, ouvir e identificar os pontos de atrito. ‍
• Priorize a visibilidade. Você precisa entender como os sistemas se comunicam e como os dados fluem. ‍
• Aplicar de forma inteligente. Use a segmentação para aplicar o princípio do menor privilégio onde ele é mais importante. Isso limitará o movimento lateral e conterá as brechas precocemente.

Essas não são ideias novas, mas precisam ser aplicadas em conjunto. É aí que o conceito de Confiança Zero se torna realidade.

Por que continuar fazendo o mesmo não resolverá os problemas de segurança cibernética.

A cibersegurança está em um ponto de virada. A inteligência artificial está acelerando os ataques. A computação quântica está remodelando o conceito de risco. E a diferença entre gastos e resultados continua a aumentar.

Não podemos colmatar essa lacuna fazendo mais do mesmo.

Theresa levantou um ponto importante. O progresso não acontecerá na velocidade das máquinas. Isso acontecerá na velocidade da confiança e do aprendizado compartilhado.

Isso significa que as organizações precisam repensar a forma como projetam a segurança, e não apenas o que implementam.

O conceito de Zero Trust oferece um caminho a seguir, mas apenas se for implementado com a mentalidade correta. Essa mentalidade começa com a priorização de como as pessoas realmente irão usá-la.

Se a segurança não funcionar para o usuário, ela não funciona de jeito nenhum. E se não corrigirmos isso agora, a diferença entre o que gastamos e o que protegemos só continuará a aumentar.

Ouça o episódio completo de The Segment: A Zero Trust Leadership Podcast em Podcasts da Apple, Spotify, ou nosso site.