A Zero Trust cresceu. Aqui está o que seus fundadores dizem que está por vir.

A Zero Trust cresceu.

É assim que Chase Cunningham e John Kindervag descrevem o estado atual da estratégia de segurança que eles desenvolveram desde o conceito até o movimento global.

“Quando chego à Forrester, herdei o bebê de outra pessoa”, brincou Chase. “Esse pai era John. E agora o bebê é um adolescente.”

Nem sempre foi assim. Mas hoje, o Zero Trust está em toda parte. John e Chase agora estão ajudando líderes de segurança em todo o mundo a reimaginar como eles protegem o que é mais importante.

Então, o que está impulsionando o impulso — e o que vem a seguir?

Em nosso último episódio do podcast The Segment , conversei com John, o padrinho do Zero Trust, e Chase, conhecido no setor como Dr. Zero Trust, para falar sobre a ascensão da estratégia, o poder dos gráficos de segurança e o que realmente significa pensar como um atacante.

Zero Trust é uma estratégia. Ponto final.

When John and Chase first started evangelizing Zero Trust about 15 years ago, the response wasn’t exactly enthusiastic.

“Meu primeiro discurso teve 14 pessoas na sala”, disse John. “E a maioria deles me disse que eu era um idiota.”

Mas agora, é global. De pequenas empresas a governos internacionais, as organizações estão finalmente colocando a contenção e a visibilidade no centro de suas estratégias de segurança.

Chase acredita que cruzamos o abismo do Zero Trust. “O 'ódio' ainda flui on-line, mas a adoção é real”, disse ele.

Eles estão conduzindo workshops do Zero Trust em todos os lugares, de Taiwan à Suíça. Na verdade, John disse que recentemente se dirigiu aos líderes de segurança cibernética em Bletchley Park, no Reino Unido, lar dos decifradores de códigos originais.

O que está alimentando esse crescimento? Ambos concordaram que é a capacidade do Zero Trust de ressoar em todos os níveis, desde engenheiros de segurança até tomadores de decisões executivas e membros do conselho.

Desde o início, a Zero Trust não se preocupa com qual tecnologia comprar. É uma estrutura para criar organizações resilientes que funcionam em todas as funções em qualquer escala.

Os gráficos de segurança estão mudando o jogo cibernético

Zero Trust is such a unique strategy because it continues to work even as the industry evolves. One of the biggest leaps forward right now is how organizations are adopting Zero Trust alongside security graphs.

Chase’s new book, Think Like an Attacker: Why Security Graphs Are the Next Frontier of Threat Detection and Response, outlines how graph analysis is helping defenders understand their infrastructure with the same clarity attackers already have.

“Quando eu estava no exército, passamos de cinco operações bem-sucedidas por mês para 300 quando usamos modelos gráficos”, disse Chase. “Por quê? Porque entendemos o terreno.”

John concorda. Em seu modelo de cinco etapas para o Zero Trust, os gráficos de segurança são o motor por trás da segunda etapa: mapear os fluxos de transação. Sem esse mapa, o Zero Trust se torna uma suposição.

“Bons mapas vencem guerras”, disse ele. “Os ruins fazem você se perder.” E o mesmo pode ser dito em cibersegurança.

Bons mapas vencem guerras. Os ruins fazem você se perder.

Conheça suas prioridades de segurança ou corra o risco de perder o controle  

Os gráficos de segurança também estão ajudando as equipes de segurança a priorizar o que é mais importante.

Tanto John quanto Chase enfatizaram que os líderes de segurança cibernética precisam repensar o que é o sucesso. “Se tudo é uma prioridade, então nada é”, alertou Chase.  

That’s why defining the protect surface — the most critical data, applications, and services in your network — is foundational.

A partir daí, os líderes de segurança podem usar a visibilidade baseada em gráficos para tomar decisões informadas e implantar controles com um propósito. John disse isso claramente: “A maioria das pessoas espera que nada de ruim aconteça. Essa não é uma estratégia de risco.”

Em vez disso, as equipes de segurança devem aceitar que os atacantes entrem . Nosso trabalho é conter seu movimento e minimizar o raio de explosão.

Pense como um atacante — ou fique um passo atrás

Uma das conclusões mais convincentes de nossa discussão foi a seguinte: os defensores precisam inverter o roteiro.

“Os atacantes não seguem as listas de verificação de conformidade”, disse Chase. “Eles se movem rápido, brincam de forma suja e exploram as coisas que você acha que são seguras.”  

É por isso que não basta monitorar alertas ou corrigir vulnerabilidades conhecidas. Os defensores precisam entender a mentalidade do inimigo porque é provável que os atacantes já entendam sua infraestrutura melhor do que você.

Os atacantes não seguem as listas de verificação de conformidade. Eles se movem rápido, brincam de sujo e exploram as coisas que você acha que são seguras.

E embora a equipe vermelha exista há décadas, John enfatizou que é hora de evoluir. “Costumávamos fazer testes de penetração e entregar relatórios de 200 páginas sobre os quais ninguém agiu”, disse ele. “Agora, precisamos de testes direcionados que perguntem: um invasor pode chegar à minha superfície protegida e com que rapidez posso contê-lo?”

A IA pode ser uma aliada se você for cuidadoso

AI can be a real help for evolving how we see, understand, prioritize, and act on threats. While both John and Chase are skeptical of the AI hype, they’re bullish on the potential.

“A IA não é mágica”, disse Chase. “É matemática. Mas se isso ajudar os defensores a se moverem na velocidade da máquina, use-o.”

John acrescentou que o valor da IA está em ajudar as organizações a acelerar suas respostas. “Se você acionar um airbag da mesma forma que faz o gerenciamento de mudanças, você morre”, disse ele. “Precisamos de uma resposta automática. A IA pode nos levar até lá.”

A IA não é mágica. É matemática. Mas se isso ajudar os defensores a se moverem na velocidade da máquina, use-o.

But it’s not just about buying a tool labeled “AI.” It’s about ensuring your existing infrastructure is ready for it. Graph-based visibility, policy engines, and segmentation should already be in place to make real-time action with AI possible.

Zero Trust conquistou seu lugar na mesa

A parte mais inspiradora da nossa conversa foi ver até onde a Zero Trust chegou. De testes eletrônicos em cassinos e bate-papos em academias de hotéis a conselhos de generais e legisladores, John e Chase transformaram uma ideia em um movimento.

Esse movimento não é mais uma preocupação de nicho para a TI. É uma questão de diretoria, uma prioridade nacional e um imperativo estratégico.

Como disse John: “Os atacantes estão construindo máquinas para nos derrotar. Então, devemos construir máquinas para derrotá-los.”

Para fazer isso, precisamos de mapas melhores, sistemas mais inteligentes e a coragem de priorizar o que é mais importante.

Ouça nossa conversa completa sobre o podcast The Segment: A Zero Trust Leadership via maçã, Spotify, ou nosso site.