Empresas que operam em nuvem multiplicaram o número de identidades, aplicações e conexões que precisam proteger, e o modelo tradicional de proteger apenas o perímetro da rede já não acompanha essa realidade. O conceito de segurança Zero Trust ganhou espaço justamente para responder a esse cenário, propondo verificar cada acesso, usuário e dispositivo antes de conceder qualquer permissão. Neste artigo, explicamos o que é Zero Trust, como aplicá-lo na prática em ambientes AWS, Azure e Google Cloud, e por onde começar.
O que é Zero Trust (e por que não é um produto)
Zero Trust é definido formalmente pelo NIST na publicação SP 800-207 (2020, atualizada em 2021) como uma arquitetura que desloca o foco da defesa de perímetros estáticos de rede para usuários, ativos e recursos individuais. Na prática, isso significa eliminar a confiança implícita que costumava ser concedida com base na localização de rede ou na propriedade do dispositivo: estar "dentro" da rede corporativa deixa de ser sinônimo de acesso liberado.
Um erro comum é tratar Zero Trust como um produto que se compra e instala. Na realidade, é uma estratégia de arquitetura que orienta decisões de identidade, rede, dados e monitoramento, geralmente combinando várias ferramentas e processos já existentes na organização. Para times técnicos que trabalham com múltiplas nuvens, o NIST publicou a extensão SP 800-207A, voltada especificamente para controle de acesso em aplicações cloud-native e ambientes multi-cloud, reconhecendo que a jornada Zero Trust em AWS, Azure e Google Cloud simultaneamente traz desafios próprios.
Os três princípios do Zero Trust na prática
A Microsoft resume Zero Trust em três princípios que ajudam a traduzir o conceito em decisões técnicas do dia a dia:
- Verificar explicitamente: autenticar e autorizar cada solicitação de acesso com base em todos os sinais disponíveis, como identidade, localização, estado do dispositivo e sensibilidade do recurso, em vez de confiar automaticamente em conexões vindas de uma rede considerada segura.
- Usar o menor privilégio possível: conceder a cada usuário ou serviço apenas o acesso necessário, pelo tempo necessário, reduzindo o uso de credenciais permanentes e privilégios amplos.
- Assumir violação: partir do princípio de que uma falha de segurança pode acontecer e desenhar a arquitetura para limitar o raio de impacto, com segmentação e monitoramento que dificultam o movimento lateral de um invasor.
Esses três princípios não são exclusivos de um fornecedor: aparecem, com nomes diferentes, nas orientações da AWS, do Google Cloud e nos próprios controles do NIST.
Como AWS, Azure e Google Cloud aplicam Zero Trust
Cada grande provedor de nuvem traduz Zero Trust para sua própria pilha de serviços, mas os fundamentos se repetem:
- AWS: o pilar de Segurança do AWS Well-Architected Framework recomenda construir uma base de identidade forte, com menor privilégio, eliminação de credenciais estáticas de longo prazo e centralização do gerenciamento de identidade, elementos diretamente alinhados a Zero Trust.
- Azure: a Microsoft mantém um Zero Trust Guidance Center dedicado, com orientação prática para aplicar os três princípios (verificação explícita, menor privilégio, assumir violação) em identidades, endpoints, aplicações, dados, infraestrutura e rede.
- Google Cloud: a referência é o BeyondCorp, iniciativa originada dentro do próprio Google, que decide a confiança de forma dinâmica com base em identidade, estado do dispositivo e sinais contextuais, e não na localização de rede, exigindo que toda comunicação seja autenticada, autorizada e criptografada.
Para empresas que operam em mais de uma nuvem, o desafio é manter esses princípios consistentes entre plataformas diferentes, o que reforça a importância de políticas de identidade centralizadas e de referências como o SP 800-207A do NIST.
Microssegmentação e verificação contínua no dia a dia
Dois elementos técnicos aparecem com frequência quando se fala em colocar Zero Trust em prática:
- Microssegmentação: em vez de dividir a rede em poucas zonas amplas, a ideia é criar zonas de segurança granulares por workload ou aplicação. Isso reduz significativamente o espaço que um invasor consegue percorrer caso um único componente seja comprometido.
- Verificação contínua: autenticação multifator (MFA), acesso just-in-time (JIT) e acesso just-enough (JEA) substituem o modelo de "logar uma vez e confiar sempre" por verificações repetidas ao longo da sessão, considerando sinais de risco em tempo real.
Monitoramento contínuo também é parte central da arquitetura: sem visibilidade constante sobre quem acessa o quê, não é possível verificar nada de forma consistente. Esse é um dos pontos onde a ISO/IEC 27001:2022 e o Zero Trust se sobrepõem, já que a norma reforça exigências de gestão de acesso, criptografia e monitoramento contínuo dentro do sistema de gestão de segurança da informação.
Zero Trust e conformidade no Brasil: LGPD e ISO/IEC 27001
No Brasil, a LGPD (Lei nº 13.709/2018) exige que as organizações adotem medidas de segurança técnicas e administrativas capazes de proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, com fiscalização a cargo da ANPD. A lei não determina uma arquitetura específica, mas especialistas em segurança apontam Zero Trust como uma abordagem técnica coerente com esse dever de segurança, justamente por reduzir a superfície de acesso e limitar o impacto de incidentes.
Empresas que já seguem a ISO/IEC 27001:2022 encontram terreno familiar: os controles do Annex A relacionados a segurança de rede e gestão de acesso caminham na mesma direção dos princípios de Zero Trust, o que facilita a adoção para quem já mantém um sistema de gestão de segurança da informação certificado ou em implementação.
Por onde começar: um roteiro prático com CIS Controls v8
Para times que estão no início da jornada, os CIS Controls v8 oferecem um caminho estruturado. Os 18 Controls são organizados em Safeguards priorizados por Implementation Groups (IG1, IG2 e IG3), permitindo que a adoção comece pelo básico, como inventário de ativos, gestão de contas e controle de acesso, antes de avançar para práticas mais avançadas de segmentação e monitoramento. O CIS destaca que esses controles dão suporte direto a uma arquitetura Zero Trust e se alinham a diretrizes de segurança cibernética adotadas em nível governamental.
Na prática, isso significa que nenhuma organização precisa implementar Zero Trust de uma vez. É possível priorizar identidade e MFA primeiro, depois avançar para menor privilégio e eliminação de credenciais estáticas, e só então investir em microssegmentação mais granular.
No Brasil, essa jornada tem ganhado força também entre pequenas e médias empresas e prestadores de serviços gerenciados, impulsionada tanto pela exigência de conformidade com a LGPD quanto pela pressão de clientes maiores, que passaram a exigir controles de segurança mínimos de fornecedores menores dentro da cadeia de suprimentos. Um tema que também começa a aparecer no radar é a extensão de Zero Trust para sistemas de inteligência artificial, com controles de acesso orientados a política e governança contínua sobre modelos e agentes, um próximo passo natural para quem já consolidou a arquitetura em identidades e workloads tradicionais.
Conclusão
Zero Trust não é uma ferramenta a ser comprada, mas uma forma de pensar arquitetura de segurança que parte de verificar cada acesso, aplicar o menor privilégio possível e presumir que falhas podem acontecer. Para empresas que operam em AWS, Azure, Google Cloud ou em ambientes multi-cloud, isso significa alinhar identidade, segmentação e monitoramento em torno de princípios comuns, apoiados por referências como o NIST SP 800-207, a ISO/IEC 27001:2022 e os CIS Controls v8.
Se sua empresa está avaliando por onde começar essa jornada ou já tem elementos de Zero Trust implementados e quer revisá-los, a Cloud Minds Trusted pode ajudar a mapear prioridades e aplicar controles adequados à realidade da sua operação em nuvem. Fale com a Cloud Minds Trusted para conversar sobre os próximos passos.