Onde a segmentação Zero Trust se encaixa no novo modelo de maturidade Zero Trust da CISA?

Na semana passada, a CISA lançou seu tão aguardado Modelo de Maturidade de Confiança Zero 2.0 – uma versão atualizada do consagrado Modelo de Maturidade de Confiança Zero (ZTMM), lançado inicialmente em 2021.  

Em linhas gerais, o ZTMM da CISA descreve como as organizações modernas podem construir resiliência cibernética "em um ambiente e cenário tecnológico em rápida evolução". Trata-se também de uma extensão crucial da Ordem Executiva de 2021 da Administração Biden sobre a Melhoria da Segurança Cibernética Nacional , que exigiu que as agências federais desenvolvessem e implementassem uma Arquitetura de Confiança Zero (ZTA).

Embora careça de detalhes específicos e, no geral, apresente um esboço mais genérico dos objetivos federais de resiliência a longo prazo (como costumam ser os guias de arquitetura desse tipo), é sempre promissor ver o impulso federal em direção à Confiança Zero continuar! Com orientações de segmentação distribuídas por todos os pilares e níveis de maturidade, táticas atualizadas como essas ajudarão as agências federais a atingir seus objetivos de resiliência cibernética com mais eficácia.

É aqui que entra a segmentação

Muitas vezes, quando as pessoas da TI federal pensam em segmentação, a primeira coisa em que pensam é na rede. O ZTMM atualizado não é diferente. A segmentação de rede está incluída como uma capacidade técnica completa na seção 5.3 — referente ao Pilar de Rede da ZTA da CISA. A CISA escreve que, no estágio inicial, a segmentação de rede se parece com isso: “A agência começa a implantar a arquitetura de rede com o isolamento de cargas de trabalho críticas, restringindo a conectividade aos princípios de menor função e uma transição para interconexões específicas de serviços”.  

Em termos práticos, isso significa começar a praticar o menor privilégio (ou seja, limitar a confiança implícita) e começar a segmentar cargas de trabalho críticas fora do servidor. Parece bastante simples, certo?

A CISA então expande a aparência da funcionalidade de segmentação de rede em todos os níveis de maturidade — desde a implementação da macrosegmentação em níveis mais tradicionais até a aplicação de microssegmentação mais grossa em estágios avançados e ideais.

Para agências federais avançadas, o aplicativo de segmentação de rede pode ter a seguinte aparência: “A agência expande a implantação de mecanismos de isolamento de terminais e perfis de aplicativos para uma maior parte de sua arquitetura de rede com microperímetros de entrada/saída e interconexões específicas de serviços”.  

Com soluções como o Illumio Endpoint, a Illumio torna simples e integrado para organizações de todos os níveis de maturidade a aplicação da Segmentação de Confiança Zero (ZTS) até o ponto final.  

Os princípios do ZTS não se limitam apenas ao contexto da rede. Na seção 5.4, que aborda a segurança de aplicativos e cargas de trabalho, a CISA escreve que, no estágio inicial: “A agência começa a implementar recursos de autorização de acesso a aplicativos que incorporam informações contextuais (por exemplo, identidade, conformidade do dispositivo e/ou outros atributos) por solicitação, com prazo de expiração.”  

No estágio avançado, “a Agência automatiza as decisões de acesso a aplicativos com informações contextuais expandidas e condições de expiração impostas que seguem os princípios de menor privilégio”.  

Esses também são lugares em que a visibilidade e a segmentação podem ajudar, criando limites de fiscalização em torno de identidades e dispositivos, aplicando princípios de menor privilégio e automatizando políticas com base no contexto verificado.

Outras conclusões importantes de um CTO federal

Embora não esteja necessariamente no centro da nova ZTMM, a realidade é que a segmentação se encaixa em todos os setores — e é essencial (e viável) para organizações de todos os níveis de Zero Trust. Francamente, é promissor ver a tecnologia finalmente recebendo os elogios que merece, mas ainda há trabalho e educação a serem feitos.  

Especialmente quando as agências federais buscam alcançar os estágios mais avançados de maturidade do Zero Trust, a visibilidade e a segmentação são essenciais. A visibilidade em todo o ambiente híbrido (nuvem, local, endpoint, TI/OT) é fundamental para entender o que você tem e saber o que proteger. E uma política de bom senso pode ser implementada para autorizar o acesso — com base na conformidade do dispositivo ou em outros requisitos — fornecendo uma fiscalização consistente sem silos.

O ZTS não é apenas um controle proativo para agências federais que buscam aprimorar seu ZTA. É também uma estratégia proativa essencial – garantir que, quando as agências federais forem invadidas, as missões possam continuar sem impedimentos. Na verdade, as organizações que utilizam o Illumio ZTS observaram uma redução de 66% no impacto (ou raio de explosão) de uma violação de segurança e economizaram US$ 3,8 milhões devido à redução de interrupções e tempo de inatividade. Em última análise, uma verdadeira ZTA leva em consideração tanto organizações em processo de amadurecimento quanto ameaças avançadas e persistentes.

Você pode aprender mais sobre como o ZTS da Illumio pode ajudar sua agência federal a atingir suas metas de Zero Trust.

‍