Alinhe a adoção com as estruturas Confiança Zero

Este artigo apresenta uma visão geral dos frameworks de Confiança Zero bem conhecidos e mostra como o modelo de adoção Confiança Zero do Microsoft o ajuda a passar da compreensão do framework para a adoção em larga escala.

Confiança Zero não é uma estrutura única. É um modelo de segurança que está alinhado com múltiplas normas da indústria e do governo. Estes padrões não são soluções concorrentes. Cada um aborda um aspeto diferente do Confiança Zero, como definir conceitos centrais, avaliar o progresso ou coordenar a adoção em toda a organização.

Embora os frameworks da indústria ajudem a definir o que o Confiança Zero deve alcançar, as organizações ainda precisam de uma forma de traduzir essa orientação numa estratégia e arquitetura específicas para o planeamento, design e implementação de soluções.

O modelo de adoção Confiança Zero da Microsoft faz exatamente isso. Fornece uma estratégia e arquitetura de referência que se alinham e se baseiam nos frameworks da indústria para acelerar a adoção e implementação do Confiança Zero.

NIST Confiança Zero

National Institute of Standards and Technology (NIST) Publicação Especial (SP) 800‑207 Confiança Zero Architecture estabelece uma definição da arquitetura Confiança Zero reconhecida pelo setor. Explica o que é o Confiança Zero e como são tomadas decisões de confiança, independentemente de qualquer fornecedor, produto ou roteiro de implementação específico.

O NIST SP 800-207 é mais útil quando as organizações precisam de uma definição comum e autoritativa dos conceitos de Confiança Zero, que possa ser partilhada entre equipas de segurança, TI e arquitetura.

Funcionalidades do NIST

O NIST posiciona explicitamente o Confiança Zero como uma arquitetura onde o acesso aos recursos nunca é implicitamente confiável.

Os princípios Confiança Zero no NIST incluem:

• Partir do princípio de comprometimento (violação) como base para uma abordagem abrangente e prática da segurança.
• Verificar explicitamente a confiança antes de conceder acesso aos ativos.
• Limitando o raio da explosão concedendo o menor privilégio necessário.

Conceitos arquitetónicos chave focam-se em:

• Avaliação dinâmica contínua dos pedidos de acesso usando sinais contextuais.
• Lógica centralizada de decisão política que avalia sinais em relação à política organizacional.
• A funcionalidade de aplicação de políticas próxima dos recursos protegidos aplica a decisão.

A arquitetura conceptual Confiança Zero definida pelo NIST foca-se em como as decisões de acesso são avaliadas e aplicadas através de motores de políticas, pontos de aplicação e sinais contextuais.

Tenha em atenção que:

• O NIST SP 800-270 não define pilares tecnológicos ou domínios de segurança como identidade, endpoints ou proteção de dados.
• Identidade, postura do dispositivo, aplicações e dados são modelados como assuntos, recursos e fontes de contexto que informam decisões de confiança, em vez de domínios arquitetónicos separados.

O modelo de adoção segurança da Microsoft baseia-se nesta arquitetura aplicando os seus princípios e componentes dentro de um quadro operacional.

Embora o NIST defina como as decisões de confiança são tomadas e aplicadas, o nosso modelo de adoção organiza estas capacidades entre disciplinas de segurança e pilares tecnológicos para orientar o planeamento empresarial, a participação, o design de soluções, a implementação e o acompanhamento do progresso.

Implementation

As orientações de implementação são fornecidas no NIST SP 1800-35 Implementação de uma Arquitetura Confiança Zero.

Para esta orientação de implementação:

• O NIST colaborou com 24 fornecedores, incluindo a Microsoft, no desenvolvimento de um guia com passos práticos para organizações interessadas em implementar designs de referência de cibersegurança para o Confiança Zero.
• A Microsoft participou como um dos fornecedores que fornecem tecnologia para implementar capacidades Confiança Zero em todo o lado:
  • Gestão de identidades e acessos.
  • Gestão e configuração de endpoints.
  • Proteção e monitorização de ameaças.
  • Acesso seguro a recursos distribuídos.

Este diagrama é o resultado da colaboração NIST SP 1800-35. Pode ser descarregado de Arquitetura de Referência da Cibersegurança da Microsoft (MCRA). Saiba mais sobre a MCRA

Modelo de Maturidade CISA Confiança Zero

O Modelo de Maturidade Confiança Zero da Agência de Cibersegurança e Segurança das Infraestruturas (CISA) está estruturado em torno da adoção e da avaliação. Este modelo de maturidade ajuda as organizações a organizar e avaliar a sua postura atual, a priorizar melhorias e a acompanhar o progresso.

Funcionalidades CISA

Ao contrário do NIST, o CISA não define uma arquitetura de referência e, em vez disso, avalia as capacidades independentemente de padrões de design específicos.

• O modelo utiliza domínios baseados em pilares, incluindo Identidade, Dispositivos, Redes/Ambiente, Aplicações/Cargas de Trabalho e Dados.
• Define também três capacidades transversais – Visibilidade e Análise, Automação e Orquestração, e Governação.
• E cobre quatro fases de maturidade: Tradicional, Inicial, Avançado e Ótimo.
• A governação também não é tratada como um pilar independente, mas como uma capacidade transversal que assegura alinhamento empresarial, propriedade clara e resultados mensuráveis em todos os domínios.

Implementation

O modelo está alinhado e informa o modelo de adoção de segurança da Microsoft, enquanto a Microsoft o expande ainda mais ao introduzir disciplinas como a Arquitetura para ligar estruturas conceptuais como o NIST SP 800-207 à implementação prática.

Para mais informações, consulte Implementar o modelo de maturidade Confiança Zero da CISA com os serviços cloud da Microsoft.

O Modelo de Referência Open Group Confiança Zero

O Open Group Confiança Zero Modelo de Referência aborda Confiança Zero a partir de uma perspetiva de capacidade empresarial e integração. Em vez de definir etapas específicas de implementação, descreve as capacidades e estruturas de governação que as organizações precisam para definir, integrar e operar o Confiança Zero em larga escala.

Funcionalidades do Grupo Aberto

As características incluem:

• Os Blocos de Construção de Capacidades + Arquitetura (ABBs) definem capacidades de segurança que impulsionam resultados de segurança duradouros e as pessoas, processos e tecnologia que os possibilitam.
• Os Modelos de Colaboração e Integração mostram como integrar a segurança com a estratégia, gestão de risco, operações e outros aspetos da organização.

As capacidades são compostas por pessoas, processos e elementos tecnológicos a trabalharem em conjunto:

• Pessoas: definidas como papéis na norma Papéis e Glossário do The Open Group
• Processo: definido como blocos de construção da arquitetura (ABBs) na mesma norma do Modelo de Referência Confiança Zero
• Tecnologia: definidos como ABBs na mesma norma do Modelo de Referência Confiança Zero

Este diagrama mostra estas capacidades:

Este diagrama mostra como estas capacidades se alinham com as funções do Quadro de Cibersegurança do NIST (NIST CSF):

Implementation

O modelo corresponde ao nosso modelo de adoção recomendado.

Mapear as tecnologias da Microsoft para o modelo

O modelo Confiança Zero Reference inclui também um resumo geral dos componentes Confiança Zero. Este diagrama mostra como as tecnologias da Microsoft correspondem a esses componentes:

Estratégia Confiança Zero do DoD

O Departamento de Defesa dos EUA lançou uma Estratégia e Roteiro Confiança Zero do DoD.

Para obter informações sobre como configurar os serviços cloud da Microsoft para a Estratégia de Confiança Zero do DoD, consulte Configurar os serviços da Microsoft para a Estratégia de Confiança Zero do DoD.

Passos seguintes

Escolha um cenário empresarial e aprenda como as disciplinas de segurança se encaixam nesse cenário.