John Kindervag fala sobre o que ainda falta aos líderes de segurança sobre Zero Trust

John Kindervag não se propôs a criar um movimento. Ele só achou que o firewall era idiota.

Naquela época, os firewalls específicos com os quais ele trabalhava atribuíam níveis de confiança a cada interface. Se você estivesse indo do lado “confiável” da rede para o lado “não confiável”, nem precisaria de uma regra.

John, então testador de penetração, sabia exatamente o quão perigoso isso era. E quando ele falou, ele foi criticado pelo cliente, sua empresa e o fornecedor do firewall.

Mas ele não conseguia se livrar da ideia: por que estávamos construindo redes com base em algo tão vago (e francamente, sem sentido) quanto “confiança”?

Essa pergunta lançou o que hoje chamamos de Zero Trust. E décadas depois, John, agora evangelista-chefe da Illumio, ainda está derrubando suposições ultrapassadas e pressionando o setor de segurança cibernética a pensar de forma diferente.

Nesta postagem do blog, analisaremos a sabedoria da recente conversa de John com o Dr. Chase Cunningham sobre o Sem confiança podcast, Da teoria à prática: a jornada do Zero Trust com John Kindervag e Dr. Chase Cunningham, onde ele compartilhou os principais princípios do Zero Trust, segundo os quais ainda faltam líderes de segurança.

Chega de centros mastigáveis: o nascimento do Zero Trust

Quando John ingressou na Forrester, ele finalmente teve espaço para explorar essa grande ideia, e o treinamento de analistas da empresa a incentivou.

“Eles escreveram a descrição do nosso trabalho no quadro branco”, disse ele. “'Pense em grandes pensamentos'. Então eu disse: quero estudar a confiança em sistemas digitais.”

Isso levou a dois anos de pesquisa primária, incluindo conversas com o Fórum Jericho (que originalmente se opôs ao Zero Trust), arquiteturas de protótipos e intermináveis tentativas de especialistas do setor tentando quebrar o conceito.

Mas ninguém poderia.

Eventualmente, John publicou seu artigo inovador, Chega de Chewy Centers, apresentando o Zero Trust. Um artigo de acompanhamento, Inclua a segurança no DNA da sua rede: a arquitetura de rede Zero Trust, apresentou uma visão que enfatizou segmentação, um conceito que John vê há muito tempo como fundamental para o Zero Trust.

“Para proteger uma superfície, você precisa de segmentação”, disse ele. “É por isso que estou na Illumio agora.”

O iceberg da visibilidade

Se Confiança zero Parece que de repente entrou em cena há alguns anos, John diz que você está apenas vendo a ponta do iceberg.

“As pessoas acham que foi reacendido em 2021, mas sempre esteve lá”, explicou. “Você simplesmente não tinha visibilidade.”

Ele aponta para o Violação de metas em 2013 e o Violação do OPM em 2015 como momentos críticos que colocaram o Zero Trust no radar das agências governamentais dos EUA.

Nos bastidores, a adoção começou a crescer como uma bola de neve, especialmente nos círculos federais. Mas as empresas estavam nervosas em admitir isso.

“Quando pedi para fazer estudos de caso, as equipes jurídica e de relações públicas disseram que não”, disse ele. “'Não queremos que as pessoas saibam que estamos fazendo o Zero Trust. Isso pode nos tornar um alvo. '”

Tudo isso mudou com Ordem executiva de 2021 do presidente Biden exigindo Zero Trust para agências federais. De repente, o que tinha sido um movimento silencioso ganhou impulso público.

“Eu não sigo mais as ameaças”

Uma das crenças mais contra-intuitivas de John é que ele não rastreia ameaças.

“Eu não estudo as últimas malware ou campanhas de ataque”, disse ele. “Porque em um ambiente Zero Trust bem projetado, eles não importam.”

Por quê? Porque a Zero Trust presume que as violações são inevitáveis e cria controles para proteger o que importa, em vez de perseguir todos os alertas.

“Não há nenhuma política em um ambiente Zero Trust que permita que um recurso desconhecido da Internet coloque uma carga útil desconhecida em sua superfície protegida”, explicou ele.

Eu não estudo as campanhas mais recentes de malware ou ataque porque, em um ambiente Zero Trust bem projetado, elas não importam.

Os protocolos usados pelos atacantes não mudaram. E os mesmos vetores básicos de ataque, como links de phishing ou senhas incorretas, ainda dominam.

“Os atacantes ainda estão usando as mesmas ferramentas de 20 anos atrás”, disse ele. “Esse não é o mundo cinético. No mundo cibernético, eles ainda estão presos nos mesmos trilhos TCP/IP.”

Em vez de buscar informações sobre ameaças, John se concentra em políticas aplicáveis e em superfícies protegidas.

Zero Trust não significa necessariamente reagir mais rápido. Trata-se, em primeiro lugar, de remover as opções do atacante.

Esqueça os pilares: siga o modelo de 5 etapas do Zero Trust

Uma razão pela qual tantos esforços do Zero Trust estagnam é porque as organizações tentam seguir estruturas rígidas cheias de palavras-chave e pilares. John diz que é hora de simplificar.

“Eu uso o modelo de cinco etapas. Sempre. Comece com a superfície protegida, não com uma lista de produtos”, ele incentivou.

As cinco etapas, descritas em publicações governamentais como a Relatório do NSTAC ao presidente sobre Zero Trust e Trusted Identity Management, incluem:

1. Defina a superfície de proteção
2. Mapeie fluxos de transação
3. Crie uma arquitetura Zero Trust
4. Crie uma política
5. Monitore e mantenha

John adverte contra tentar enfrentar o Zero Trust de uma só vez ou pensar que é uma jornada de maturidade linear.

“As pessoas pensam: 'Primeiro faremos toda a identidade, depois os dispositivos e depois a rede'”, disse ele. “Você nunca conseguirá nada dessa maneira.”

Em vez disso, ele recomenda que as equipes dividam o projeto em superfícies protegidas, que são partes pequenas e de alto valor da sua rede que podem ser protegidas de ponta a ponta.

E sempre comece com a pergunta mais importante: O que estamos protegendo?

Zero Trust é um imperativo de liderança

Quando perguntado sobre como manter o ritmo do Zero Trust, John ofereceu uma verdade simples: “Consiga a adesão da liderança. Tudo muda quando eles estão a bordo.”

É isso que transforma incentivos desalinhados em alinhamento.

“Muitas pessoas me disseram: 'Nunca faremos o Zero Trust aqui'. E então o CEO diz que estamos fazendo isso e, de repente, está acontecendo.”

A única maneira de mudar a mentalidade das compras de segurança de curto prazo para a estratégia de longo prazo? Faça disso uma prioridade de liderança.

“A cibersegurança não é um item orçamentário trimestral”, disse John. “É a coisa que administra sua empresa.” Ou, como ele disse sem rodeios, “Se o computador cair, os aviões não voam”.

A cibersegurança não é um item do orçamento trimestral. É a coisa que administra seu negócio.

Zero Trust: não está na moda ou opcionais

O Zero Trust se tornou popular. Você vê isso em mandatos governamentais, campanhas de fornecedores e whitepapers chamativos. Mas a maior parte não entende o assunto.

O que John Kindervag está compartilhando há quase 20 anos não é uma proposta de produto ou uma estrutura de marketing. É uma mudança de mentalidade. Uma que força as organizações a pararem de reagir e começarem a arquitetar. Um que esteja enraizado na estratégia real, não nos gastos baseados no medo.

Em um mundo de ataques constantes, ferramentas sobrepostas e pressão para agir rapidamente, a voz de John é fundamental. Isso nos lembra que a cibersegurança não se trata de seguir tendências — trata-se de proteger o que é mais importante.

É exatamente por isso que o Zero Trust não é mais opcional. É antifragilidade operacional, por design.

Quer ouvir mais podcasts de líderes do Zero Trust, como John? Assine nosso podcast premiado O segmento: um podcast de liderança Zero Trust.