Maturidade Zero Trust · Estratégia e segurança do ambiente cloud
Sua trajetória Zero Trust, medida por domínio e traduzida em plano de ação detalhado.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade Zero Trust · Estratégia e segurança do ambiente cloud
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Arquitetura Zero Trust, NIST SP 800-207, complementada pelos princípios de segurança cloud (CSA Cloud Controls Matrix, ANSSI) iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior e a ação que liga os dois) que transforma uma constatação em trajetória.
Os acessos privilegiados aos ambientes cloud são concedidos segundo o princípio do menor privilégio e por tempo limitado?
- N1
Direitos de administração permanentes são atribuídos a contas nominais ou compartilhadas, sem inventário consolidado.
- N2
As contas privilegiadas são identificadas e documentadas, mas os direitos permanecem permanentes e as revisões são irregulares.
- N3
Os direitos são atribuídos por função, revisados periodicamente, e a elevação de privilégios é solicitada e rastreada para operações sensíveis.
- N4
O acesso privilegiado é concedido just-in-time, por tempo delimitado, com aprovação e registro sistemáticos em todos os ambientes.
- N5
Os direitos são derivados automaticamente do contexto e das funções, os desvios são detectados e corrigidos, e a política é revisada após cada incidente ou mudança de arquitetura.
Ação para passar de N2 para N3
Definir as funções de administração por ambiente, substituir as atribuições individuais permanentes por essas funções, e incluir a revisão das contas privilegiadas no comitê de segurança trimestral com um responsável nomeado por ambiente.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem ZERO TRUST.
Do que trata esse referencial
O Zero Trust não é um produto, mas um modelo de arquitetura. Formalizado pelo NIST na publicação SP 800-207, ele estabelece que a confiança não se deduz da posição na rede: todo acesso a um recurso é autenticado, autorizado e avaliado continuamente, a partir da identidade, do estado do equipamento e do contexto da solicitação. Aplicado a um ambiente cloud, esse modelo abrange a gestão de identidades e privilégios, a segmentação das cargas de trabalho, a criptografia dos dados, a configuração dos serviços gerenciados e a supervisão dos acessos.
Na prática, a condução desse tema é difícil porque ele atravessa diversas equipes. A identidade pertence à área de TI, a rede à infraestrutura, as configurações cloud às equipes de produto, a supervisão ao SOC. Três perguntas aparecem sistematicamente. A autenticação multifator cobre realmente todos os acessos privilegiados, incluindo contas de serviço e acessos de emergência? A segmentação existe no nível das cargas de trabalho, ou para no perímetro da VPC? As decisões de autorização são reavaliadas durante a sessão, ou apenas uma vez no momento da conexão?
Uma confusão frequente merece ser esclarecida: implantar um acesso de rede Zero Trust em substituição à VPN não constitui uma arquitetura Zero Trust. A substituição da VPN trata do acesso remoto, mas não trata dos fluxos internos entre serviços, nem dos acessos dos administradores aos consoles cloud, nem das identidades de máquina, cujo número frequentemente ultrapassa o das identidades humanas. Acrescente-se o modelo de responsabilidade compartilhada: o provedor protege a infraestrutura, mas a configuração dos serviços e a gestão dos direitos permanecem a cargo do cliente.
O diagnóstico de maturidade responde a uma pergunta diferente da do audit de conformidade. O audit pergunta se um requisito é atendido, sim ou não. O diagnóstico posiciona cada domínio em uma escala progressiva e indica a ação precisa que leva ao nível seguinte. É isso que permite sequenciar um programa de transformação Zero Trust ao longo de vários exercícios, em vez de constatar uma lacuna geral sem saber por onde começar.
No Datamensio, o referencial está pronto para uso. Você também pode adaptá-lo ao seu contexto: a IA ajusta os temas, as perguntas e os níveis conforme a metodologia CMMI, ou constrói uma versão personalizada a partir dos seus próprios documentos de arquitetura e das suas políticas de acesso.
Norma de referência: Arquitetura Zero Trust, NIST SP 800-207, complementada pelos princípios de segurança cloud (CSA Cloud Controls Matrix, ANSSI)
Os temas avaliados
Estratégia e governança Zero Trust
Existência de uma arquitetura alvo documentada, escopo dos recursos protegidos, papéis e responsabilidades entre segurança, infraestrutura e equipes de produto, trajetória plurianual e acompanhamento.
Identidades e autenticação
Referencial de identidades unificado, cobertura da autenticação multifator, resistência a phishing dos fatores, tratamento das contas de emergência e das identidades de máquina.
Gestão de acessos e privilégios
Menor privilégio, acesso just-in-time, revisões de direitos, elevação rastreada, separação dos papéis de administração dos ambientes cloud.
Segurança dos equipamentos e dos dispositivos
Inventário dos equipamentos, avaliação do estado de conformidade antes do acesso, gestão de correções, tratamento de equipamentos não gerenciados e de terceiros.
Segmentação e segurança dos fluxos
Microssegmentação das cargas de trabalho, controle dos fluxos leste-oeste, criptografia das comunicações internas, autenticação entre serviços.
Proteção de dados
Classificação, criptografia em repouso e em trânsito, gestão de chaves e segredos, controle de compartilhamentos e exportações fora do perímetro controlado.
Configuração e postura dos ambientes cloud
Referenciais de configuração, detecção de desvios, infraestrutura descrita como código, gestão das exposições públicas, responsabilidade compartilhada com os provedores.
Decisão de acesso e avaliação contínua
Política de autorização centralizada, sinais considerados na decisão, reavaliação durante a sessão, revogação efetiva dos acessos.
Supervisão, registro de logs e detecção
Cobertura dos logs de acesso e de API, correlação no SOC, casos de uso de detecção específicos do cloud, prazos de tratamento dos alertas.
Melhoria contínua e medição
Indicadores de cobertura, testes de intrusão e exercícios direcionados, lições aprendidas após incidentes, atualização da arquitetura alvo.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
O Zero Trust é certificável?
Não. É um modelo de arquitetura, descrito entre outros pelo NIST na publicação SP 800-207, sem organismo de certificação associado. A certificação se aplica a sistemas de gestão como a ISO 27001, para os quais o Zero Trust pode ser uma escolha de arquitetura. O diagnóstico mede a maturidade das suas práticas, não emite nenhum atestado.
Qual a diferença entre esse diagnóstico e um audit de conformidade?
O audit verifica a presença de um requisito e conclui por uma lacuna ou uma conformidade. O diagnóstico posiciona cada domínio em uma escala de maturidade e indica a ação que leva ao nível seguinte. O diagnóstico serve para construir o roteiro, o audit para validar um estado.
Quanto tempo leva a avaliação?
A versão curta é preenchida em cerca de trinta minutos por um responsável de segurança. A versão completa, em modo colaborativo, geralmente se estende de uma a duas semanas: a maior parte do tempo é dedicada à coleta junto às equipes de identidade, infraestrutura e cloud.
É possível adaptar o referencial à nossa arquitetura?
Sim. As perguntas, os níveis e os temas podem ser modificados, e você pode adicionar seus próprios domínios, por exemplo um ambiente industrial ou um provedor cloud específico. A IA gera uma versão personalizada a partir dos seus documentos de arquitetura e das suas políticas de acesso.
É necessária expertise técnica para responder?
As perguntas tratam de práticas de gestão e controle, não de parâmetros de um serviço específico. Algumas exigem a contribuição de um arquiteto ou administrador cloud: o modo colaborativo permite atribuir essas perguntas à pessoa certa e registrar as respostas.
Como comparar várias entidades ou vários ambientes?
O mesmo referencial pode ser aplicado por cada unidade de negócio ou cada ambiente, e depois comparado por tema. Os roteiros transversais consolidam os planos de ação de várias avaliações para evitar financiar duas vezes o mesmo projeto.
Como esse diagnóstico se articula com a NIS2 ou a DORA?
Essas normas exigem controles de acesso, registro de logs e gestão de terceiros que se baseiam nos mesmos mecanismos. As constatações do diagnóstico Zero Trust podem ser reaproveitadas, e o roteiro transversal permite cruzar os referenciais sem duplicar ações.
Onde os dados são armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.