Operacionalizando o Zero Trust — Etapas 2 e 3: Determinar em qual pilar Zero Trust focar e especificar o controle exato

Esta série de posts no blog aprofunda as ideias apresentadas na minha publicação de março, “A Confiança Zero não é difícil… Se você for pragmático”.

Nesse post, descrevi seis etapas para alcançar o Zero Trust. Aqui, vou me aprofundar em duas das seis etapas descritas para fornecer uma estrutura sólida que possa ser usada por profissionais de microssegmentação em organizações grandes e pequenas para tornar seus projetos mais bem-sucedidos. Antes de começar, aqui está uma representação visual de cada etapa:

Etapa 2: Determine em qual pilar do Zero Trust focar

Na parte 1 desta série, examinei a questão de "Identificar o que proteger" e recomendei que, para atingir seu objetivo de longo prazo – a adoção do Zero Trust em toda a empresa – era prudente começar em pequena escala e procurar aplicativos candidatos que, idealmente, atendessem a pelo menos 2 dos 3 critérios listados abaixo:

• Tenha um forte motivador para adotar os princípios de segurança Zero Trust, ou seja, um requisito regulatório ou de conformidade, uma constatação de auditoria que precisa ser resolvida ou uma resposta a uma violação.
• São marcados como aplicativos críticos.
• Tenha vontade de ser cobaia.

Imagine que eu tenha procurado em toda a minha organização e encontrado um aplicativo que lida com dados PCI e, portanto, precisa estar em conformidade com os requisitos do PCI-DSS. Acontece também que a aplicação possui uma constatação de auditoria relacionada a "acesso excessivo à rede", está marcada como um componente crítico no meu sistema de pagamentos para clientes e, após muita insistência, a equipe de desenvolvimento concordou em trabalhar comigo na adoção de uma estrutura de Confiança Zero para proteger adequadamente a aplicação. Se eu consultar rapidamente minha lista de critérios de seleção, posso ver que o aplicativo escolhido atende a todos os 3 requisitos.

Então, agora vou determinar em qual pilar de confiança zero focar nesta iteração — eis quais são os pilares:

Da mesma forma que você deve adotar uma abordagem muito focada ao identificar quais aplicativos proteger neste estágio, você deve aplicar uma atitude semelhante ao determinar como abordar o Zero Trust em si. Tentar abordar cada pilar em um ciclo seria ambicioso e irreal, pois você provavelmente precisaria implementar um conjunto diversificado de controles e tecnologias, o que prejudicaria o objetivo recomendado de fazer um progresso relativamente rápido e mensurável.

A Forrester oferece uma ferramenta de avaliação do modelo de maturidade Zero Trust para ajudar os profissionais a identificar lacunas na adoção do Zero Trust em suas organizações, e esses resultados podem ser usados para identificar o(s) pilar(es) específico(s) do Zero Trust nos quais se concentrar. Vamos supor que você tenha executado essa avaliação no aplicativo que escolhi e que ela identifique lacunas significativas na proteção das cargas de trabalho que executam o aplicativo – e, especificamente, destaque que elas são facilmente acessíveis em toda a minha rede. Isso levaria você a concentrar esta iteração específica na proteção das cargas de trabalho que hospedam seu aplicativo, garantindo que você obtenha excelente visibilidade nessa área.

Etapa 3: especificar o controle exato

A proteção da carga de trabalho abrange muitos recursos de segurança, incluindo, mas não se limitando a, proteção e correção eficazes do sistema operacional e de qualquer aplicativo instalado, controles de proteção contra ameaças baseados em host, como antivírus, EDR, monitoramento da integridade de arquivos, firewall baseado em host, etc.

A Etapa 2 da Avaliação de Maturidade Zero Trust identificou o acesso excessivo à rede para as cargas de trabalho do aplicativo como a lacuna mais significativa no Zero Trust. Portanto, recomendo focar no firewall baseado em host ou, de forma mais geral, na microsegmentação, como o controle de segurança a ser aplicado para que seu aplicativo avance um passo em sua jornada rumo ao Zero Trust.

Com base na minha experiência pessoal como profissional da área antes de ingressar na Illumio, sei que, para implementar a microsegmentação de forma eficaz, é necessário ter excelente visibilidade das dependências upstream e downstream da sua aplicação. Isso permite obter as informações corretas para criar e validar políticas de Zero Trust baseadas em listas de permissão e com privilégios mínimos, que protegerão suas cargas de trabalho.

Portanto, ao se concentrar na proteção da carga de trabalho e na visibilidade e análise associadas a ela, e após esclarecer que planeja criar apenascontroles de microsegmentação nesta fase, você estará pronto para identificar os dados de entrada necessários para tornar essa visão realidade. E é exatamente nisso que me concentrarei na próxima edição desta série.

Mal posso esperar pela minha próxima postagem para saber mais? Visite nossa página sobre como operacionalizar sua estratégia Zero Trust com microssegmentação para obter informações privilegiadas.