Maturidade Zero Trust · Estratégia e segurança do ambiente cloud
A sua trajetória Zero Trust, medida por domínio e traduzida num plano de ação orçamentado.
10 domínios, uma escala de 5 níveis. E a ação que faz passar de um nível para o seguinte.
Os 10 domínios do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 de uma vez.
Maturidade Zero Trust · Estratégia e segurança do ambiente cloud
10 domínios, escala de 5 níveis.
Nordhavn Industries
53 / 100
Medem a sua maturidade com a Datamensio
Um exemplo
Esta situação podia ser a sua.
Vejamos o exemplo de uma empresa: três instalações, três folhas de cálculo, nenhuma resposta comum.
Ninguém sabe consolidar.
Nordhavn Industries, 2 400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta em que ponto está o grupo. Cada instalação responde na sua folha de cálculo, com as suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Arquitetura Zero Trust, NIST SP 800-207, complementada pelos princípios de segurança cloud (CSA Cloud Controls Matrix, ANSSI) lançado nas três instalações ao mesmo tempo, a partir das notas de entrevista dos responsáveis. O referencial já estava escrito, os 10 domínios e os níveis N1 a N5 também.
Duas despesas evitadas antes de serem assumidas.
Uma pontuação de 53 em 100, um desvio concentrado em três domínios. O assistente de IA detetou que duas ações do plano duplicavam as de outro diagnóstico. O relatório de resultados para a comissão foi pedido numa frase.
O que isto lhes evitou
- 3instalações medidas na mesma base, em vez de três questionários a retrabalhar
- 2ações duplicadas detetadas antes da despesa
- 1relatório de resultados para a comissão, sem retrabalho manual
Estes números são os de um exemplo. Podiam ser os seus.
A norma impõe processos. A Datamensio diz onde está.
01
O referencial já está escrito
Domínios, perguntas e níveis N1 a N5 redigidos. Não parte de uma folha de cálculo em branco.
02
A pontuação sai no próprio dia
Online, por link de autoavaliação ou em entrevista. Domínio a domínio, comparável ao longo do tempo.
03
O desvio transforma-se num plano com custos
Cada passagem de nível tem a sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A progressão demonstra-se
Campanha após campanha, face ao seu objetivo e ao seu histórico. É isso que a sua comissão executiva pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É este mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação numa trajetória.
Os acessos privilegiados aos ambientes cloud são concedidos segundo o princípio do privilégio mínimo e por um período limitado?
- N1
São atribuídos direitos de administração permanentes a contas nominativas ou partilhadas, sem inventário consolidado.
- N2
As contas privilegiadas estão identificadas e documentadas, mas os direitos permanecem permanentes e as revisões são irregulares.
- N3
Os direitos são atribuídos por função, revistos periodicamente, e a elevação de privilégios é solicitada e depois registada para as operações sensíveis.
- N4
O acesso privilegiado é concedido just in time, por um período delimitado, com aprovação e registo sistemáticos em todos os ambientes.
- N5
Os direitos são derivados automaticamente do contexto e das funções, os desvios são detetados e corrigidos, e a política é revista após cada incidente ou alteração de arquitetura.
Ação para passar de N2 a N3
Definir os papéis de administração por ambiente, substituir as atribuições individuais permanentes por esses papéis, e inscrever a revisão das contas privilegiadas no comité de segurança trimestral com um responsável nomeado por ambiente.
« Graças à Datamensio, cumprimos os nossos objetivos com muito mais eficácia. Os serviços de inspeção do FEDER e do nosso ministério de tutela apreciaram particularmente esta abordagem, que lhes fornece dados fiáveis. »
Diretora da CCI 94CCI Île-de-France
« Consideramos que é a solução mais adequada para levar o nosso projeto de transformação à escala e medir o impacto de acordo com as nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial combina-se. Associe vários para cobrir a sua atividade, ou peça à IA para escrever o seu.
Faça a sua primeira mediçãoem ZERO TRUST.
Sobre o que trata este referencial
O Zero Trust não é um produto mas um modelo de arquitetura. Formalizado pelo NIST na publicação SP 800-207, este modelo estabelece que a confiança não se deduz da posição na rede: cada acesso a um recurso é autenticado, autorizado e avaliado continuamente, a partir da identidade, do estado do equipamento e do contexto do pedido. Aplicado a um ambiente cloud, este modelo abrange a gestão das identidades e dos privilégios, a segmentação das cargas de trabalho, a cifragem dos dados, a configuração dos serviços geridos e a supervisão dos acessos.
Na prática, a gestão é difícil porque o tema atravessa várias equipas. A identidade pertence à DSI, a rede à infraestrutura, as configurações cloud às equipas de produto, a supervisão ao SOC. Três questões surgem sistematicamente. A autenticação multifator cobre efetivamente todos os acessos privilegiados, incluindo as contas de serviço e os acessos de emergência? A segmentação existe ao nível das cargas de trabalho, ou fica-se pelo perímetro do VPC? As decisões de autorização são reavaliadas durante a sessão, ou apenas uma vez no momento da ligação?
Vale a pena esclarecer uma confusão frequente: implementar um acesso de rede Zero Trust em substituição da VPN não constitui uma arquitetura Zero Trust. A substituição da VPN trata do acesso remoto, mas não trata nem os fluxos internos entre serviços, nem os acessos dos administradores às consolas cloud, nem as identidades máquina, cujo número frequentemente ultrapassa o das identidades humanas. Acrescente-se o modelo de responsabilidade partilhada: o fornecedor assegura a infraestrutura, mas a configuração dos serviços e a gestão dos direitos permanecem a cargo do cliente.
O diagnóstico de maturidade responde a uma questão diferente da do auditoria de conformidade. A auditoria pergunta se uma exigência é cumprida, sim ou não. O diagnóstico situa cada domínio numa escala progressiva e indica a ação precisa que permite passar ao nível seguinte. É isto que permite sequenciar um programa de transformação Zero Trust ao longo de vários exercícios, em vez de constatar um desvio global sem saber por onde começar.
No Datamensio, o referencial está pronto a usar. Também o pode adaptar ao seu contexto: a IA ajusta os domínios, as perguntas e os níveis segundo o método CMMI, ou constrói uma versão adaptada a partir dos seus próprios documentos de arquitetura e das suas políticas de acesso.
Norma de referência: Arquitetura Zero Trust, NIST SP 800-207, complementada pelos princípios de segurança cloud (CSA Cloud Controls Matrix, ANSSI)
Os domínios avaliados
Estratégia e governação Zero Trust
Existência de uma arquitetura alvo documentada, âmbito dos recursos protegidos, papéis e responsabilidades entre segurança, infraestrutura e equipas de produto, trajetória plurianual e acompanhamento.
Identidades e autenticação
Referencial de identidades unificado, cobertura da autenticação multifator, resistência ao phishing dos fatores, tratamento das contas de emergência e das identidades máquina.
Gestão dos acessos e dos privilégios
Privilégio mínimo, acesso just in time, revisões de direitos, elevação registada, separação dos papéis de administração dos ambientes cloud.
Segurança dos equipamentos e dos postos
Inventário dos equipamentos, avaliação do seu estado de conformidade antes do acesso, gestão de correções, consideração dos equipamentos não geridos e dos prestadores.
Segmentação e segurança dos fluxos
Micro-segmentação das cargas de trabalho, controlo dos fluxos leste-oeste, cifragem das comunicações internas, autenticação entre serviços.
Proteção de dados
Classificação, cifragem em repouso e em trânsito, gestão de chaves e segredos, controlo das partilhas e das exportações fora do perímetro controlado.
Configuração e postura dos ambientes cloud
Referenciais de configuração, deteção de desvios, infraestrutura descrita como código, gestão das exposições públicas, responsabilidade partilhada com os fornecedores.
Decisão de acesso e avaliação contínua
Política de autorização centralizada, sinais considerados na decisão, reavaliação durante a sessão, revogação efetiva dos acessos.
Supervisão, registo e deteção
Cobertura dos registos de acesso e de API, correlação no SOC, casos de uso de deteção próprios do cloud, prazos de tratamento dos alertas.
Melhoria contínua e medição
Indicadores de cobertura, testes de intrusão e exercícios direcionados, aprendizagens após incidentes, atualização da arquitetura alvo.
Está disponível uma versão curta do referencial para a auto-avaliação online.
Perguntas frequentes
O Zero Trust é certificável?
Não. É um modelo de arquitetura, descrito nomeadamente pelo NIST na publicação SP 800-207, sem organismo de certificação associado. A certificação incide sobre sistemas de gestão como a ISO 27001, para os quais o Zero Trust pode constituir uma escolha de arquitetura. O diagnóstico mede a maturidade das suas práticas, não emite qualquer atestado.
Qual a diferença entre este diagnóstico e uma auditoria de conformidade?
A auditoria verifica a presença de uma exigência e conclui por um desvio ou uma conformidade. O diagnóstico situa cada domínio numa escala de maturidade e indica a ação que permite passar ao nível seguinte. O diagnóstico serve para construir o roteiro, a auditoria para validar um estado.
Quanto tempo demora a avaliação?
A versão curta preenche-se em cerca de trinta minutos por um responsável de segurança. A versão completa, em modo colaborativo, estende-se geralmente por uma a duas semanas: a maior parte do tempo é dedicada à recolha junto das equipas de identidade, infraestrutura e cloud.
É possível adaptar o referencial à nossa arquitetura?
Sim. As perguntas, os níveis e os domínios são modificáveis, e pode adicionar os seus próprios domínios, por exemplo um ambiente industrial ou um fornecedor cloud específico. A IA gera uma versão adaptada a partir dos seus documentos de arquitetura e das suas políticas de acesso.
É necessária competência técnica para responder?
As perguntas incidem sobre as práticas de gestão e controlo, não sobre os parâmetros de um serviço específico. Algumas exigem o contributo de um arquiteto ou de um administrador cloud: o modo colaborativo permite atribuir estas perguntas à pessoa certa e registar as respostas.
Como comparar várias entidades ou vários ambientes?
O mesmo referencial pode ser aplicado por cada unidade de negócio ou cada ambiente, e depois comparado por domínio. Os roteiros transversais consolidam os planos de ação de várias avaliações para evitar financiar duas vezes o mesmo projeto.
Como se articula este diagnóstico com a NIS2 ou a DORA?
Estes textos impõem exigências de controlo de acesso, registo e gestão de terceiros que assentam nos mesmos mecanismos. As constatações do diagnóstico Zero Trust são reutilizáveis, e o roteiro transversal permite cruzar os referenciais sem duplicar as ações.
Onde estão alojados os dados?
Em França, na OVH, com cópia de segurança na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, incluindo entre soluções europeias.