Resolver o problema do perímetro
Ir além da segurança tradicional com Zero Trust
Os dias da segurança de perímetro tradicional chegaram ao fim para a empresa moderna. Isso se deve em parte ao fato de que as formas tradicionais de trabalho mudaram. Os funcionários modernos podem trabalhar em uma pequena filial, em um avião, em um home office, em um café e no escritório de um cliente, tudo isso em uma semana.
A maioria dos líderes de tecnologia reconhece que a segurança Zero Trust oferece a melhor alternativa para a abordagem legada de proteger uma empresa. A verificação contínua centrada na identidade da segurança Zero Trust permite que as organizações protejam os recursos, independentemente de onde os usuários estejam localizados e de quais dispositivos estejam usando. Ao fazer a transição para um modelo Zero Trust, as organizações podem resolver as limitações essenciais da segurança de perímetro.
Ainda assim, muitas empresas ainda não chegaram lá. Na verdade, muitas ainda estão no início de sua jornada Zero Trust. Em uma escala de um a dez? “Eu diria que quatro”, disse Menny Barzilay, CEO e cofundador da plataforma de segurança cibernética Milestone e sócio da Cytactic. Pessoalmente, eu diria que é um seis, na melhor das hipóteses.
Recentemente, conversei sobre o problema de segurança de perímetro com Menny Barzilay e Khalid Kark, CIO de campo da Cloudflare para as Américas. Abordamos as vulnerabilidades da segurança legada baseada em perímetro destacadas no Relatório sobre sinais da Cloudflare de 2025, e discutimos como a transição para um modelo de Zero Trust pode ajudar a resolver essas questões.
Todos concordamos: avançar em uma jornada de Zero Trust é crucial para proteger as organizações no ambiente de ameaças atual. Mas fazer isso requer mais do que apenas comprar uma única solução.
Substituir o perímetro pela segurança baseada em identidade
Antes que as organizações possam fazer a transição para um novo modelo de segurança, é importante entender de onde elas vieram. Durante anos, as organizações concentraram seus esforços de segurança cibernética na proteção do perímetro de rede, que coincidia em grande parte com o perímetro físico dos escritórios corporativos. Elas protegiam o perímetro de rede com um firewall em seu data center no local.
Hoje, as organizações se expandiram muito além de seus escritórios físicos. Os funcionários estão trabalhando de qualquer lugar, utilizando aplicativos baseados em nuvem. Como Menny Barzilay colocou, "O perímetro é um conceito muito questionável na realidade de hoje."
Em vez de defender as organizações como se fossem castelos com fossos, os líderes de segurança cibernética precisam de um modelo totalmente novo. A maioria concorda que a identidade será fundamental para esse modelo. Claro, não é tão simples quanto apenas verificar a identidade de um usuário. As organizações precisam incorporar contexto adicional para cada solicitação de acesso, assim como a postura do dispositivo do usuário.
Se elas fizerem isso corretamente, haverá uma enorme recompensa em termos de segurança. "Há um conceito que afirma que, se você conseguir resolver o problema de identidade, conseguirá resolver a questão da cibersegurança", diz Barzilay “Se você sabe que a pessoa certa está usando os dados corretos com o dispositivo adequado... você não tem um problema de cibersegurança.”
Resolver o problema de identidade é o objetivo principal da implementação de um modelo de segurança Zero Trust. O princípio central desse modelo é: nunca confie, sempre verifique. Em vez de confiar em todos que atravessam o "fosso" ao redor do seu castelo (e dar-lhes acesso a todos os recursos), o modelo Zero Trust assume que existem riscos tanto dentro quanto fora de sua rede. As ferramentas Zero Trust verificam o usuário, o contexto e o dispositivo antes de conceder acesso a dados e aplicativos específicos.
Como Khalid Kark destacou em nossa discussão recente, o Zero Trust não é uma solução única e específica: “Na verdade, é uma mentalidade.” Menny Barzilay concorda: “É uma questão de compreender e reconhecer que não se pode 'confiar por design' em nada. Você tem que verificar tudo.”
Também considero o Zero Trust como uma jornada e quase não importa onde você comece. Mas a maioria das organizações começa identificando seus cenários mais problemáticos.
“Se você conseguir resolver o problema de identidade, conseguirá resolver a questão da cibersegurança.”
— Menny Barzilay
CEO e cofundador da Milestone e cofundador e sócio na Cytactic
Identificar um primeiro destino: encontrar um caso de uso importante para o Zero Trust
Um modelo de segurança Zero Trust pode ajudar a enfrentar algumas das ameaças mais urgentes surgidas com a explosão do trabalho híbrido e dos recursos baseados em nuvem. Por exemplo, você pode substituir soluções de acesso remoto desatualizadas, controlar a TI invisível e simplificar a segurança para os usuários.
1. Substituir as VPNs tradicionais
Os invasores sabem que, se conseguirem roubar credenciais de VPN de um único usuário, poderão obter amplo acesso à rede de uma empresa. A transição para uma segurança Zero Trust centrada na identidade pode ajudar a resolver este problema grave. Com o Zero Trust, é possível impor a verificação contínua dos usuários e implementar a autenticação contextual em cargas de trabalho em nuvem e aplicativos de software como serviço (SaaS). Se os invasores ainda conseguirem obter acesso remoto à sua rede, os recursos de acesso com menor privilégio limitam a extensão da infiltração, impedindo o movimento lateral.
Substituir uma VPN pela segurança Zero Trust tem benefícios adicionais: os usuários vão desfrutar de uma experiência mais integrada e com menor latência ao se conectarem aos recursos. Você também pode escalar o uso do acesso Zero Trust de forma mais rápida e econômica do que escalar uma solução de VPN. E sua equipe de TI pode reduzir a complexidade administrativa ao gerenciar o acesso remoto e híbrido.
2. Controlar a TI invisível
Os provedores de nuvem tornam incrivelmente fácil a adoção de novos serviços, incluindo serviços de IA. Mas, como resultado, funcionários individuais e equipes frequentemente se inscrevem nesses serviços sem consultar o departamento de TI. Esse tipo de TI invisível (ou IA oculta) torna cada vez mais difícil monitorar e proteger aplicativos e ambientes em nuvem. Mesmo o uso de ferramentas simples de colaboração baseadas em nuvem pode colocar dados confidenciais em risco.
A implementação de agentes de segurança de acesso à nuvem (CASBs), ferramentas de descoberta com tecnologia de IA e aplicação automatizada de políticas como parte da segurança Zero Trust pode ajudar você a obter visibilidade e controle em tempo real sobre o uso de serviços em nuvem não autorizados.
3. Fim da era das senhas
Mesmo que os invasores empreguem IA para montar táticas mais sofisticadas, a identidade continua sendo o principal vetor de ataque. Conforme o relatório aponta, 25% dos atendimentos de resposta a incidentes da Cisco estavam relacionados a usuários que aceitaram notificações push fraudulentas de autenticação multifator (MFA) no primeiro trimestre de 2024. Os invasores também estão sequestrando sessões ativas e roubando credenciais de outras maneiras, expondo as empresas a violações generalizadas e controles de contas.
Em particular, as organizações enfrentam diversos desafios relacionados à identidade:
Reutilização de credenciais: de acordo com o relatório, a análise de credenciais comprometidas mostrou que 46% de todas as tentativas de login humano, e 60% das tentativas de login corporativo, envolveram credenciais comprometidas.
Ataques de credenciais automatizados: a análise de credenciais comprometidas mostrou que 94% das tentativas de login usam credenciais vazadas que vêm de bots, que podem testar milhares de senhas roubadas por segundo.
Senhas insuficientes: senhas estáticas e até mesmo métodos básicos de MFA costumam ser ineficazes contra ameaças modernas, incluindo o sequestro de sessão e o roubo de credenciais resistentes a phishing.
É hora de abandonar a segurança tradicional baseada em senhas. A implementação de controles de acesso Zero Trust juntamente com autenticação sem senha, análise de comportamento, revogação automatizada de credenciais e outros recursos podem ajudar a mitigar os possíveis riscos de senhas estáticas simples e MFA básica.
Identifique seu ponto de partida para a jornada Zero Trust
Depois de identificar o caso de uso correto, você deve fazer o inventário e auditar seus aplicativos. O objetivo é determinar quem já tem acesso a cada aplicativo e quem não deveria ter acesso. Muitas jornadas Zero Trust falham porque as organizações não realizam essas auditorias.
Neste ponto, você pode escolher uma solução de segurança Zero Trust. É verdade, o Zero Trust é mais um modelo ou filosofia do que uma solução única. Mas escolher a solução Zero Trust correta permite que você aplique os princípios e políticas de Zero Trust que você estabelecer.
Embora as soluções Zero Trust sejam importantes, muitas organizações começam comprando a solução e, então, sua jornada é interrompida. Realizar toda a preparação inicialmente, incluindo a escolha de um caso de uso e a realização de auditorias, pode ajudar a garantir que você esteja investindo seu tempo e energia de maneiras que entreguem os resultados que você espera.
A jornada será mais fácil para algumas organizações do que para outras. Como Menny Barzilay observou, as startups podem implementar a segurança Zero Trust desde o primeiro dia e evitar os possíveis obstáculos de substituir soluções legadas. Mas para outras organizações, focar em um caso de uso específico, como proteger o acesso remoto, ajudará você a obter uma vitória relativamente rápida que pode impulsionar sua organização.
Infelizmente, a maioria das empresas ainda não está muito avançada em sua jornada Zero Trust. Enquanto isso, elas precisam enfrentar tanto a grande promessa quanto o medo da IA. Embora a IA introduza alguns novos obstáculos, como a necessidade de gerenciar identidades não humanas, ela vai revelar ameaças de forma mais eficaz e melhorar automaticamente a postura de segurança de uma organização.
No entanto, Khalid Kark, Menny Barzilay e eu concordamos que avançar com a jornada Zero Trust é crítico. O Zero Trust ajuda a resolver as deficiências das soluções baseadas em perímetro. E, ao mesmo tempo, pode ajudar a reduzir significativamente a complexidade e os custos da segurança. Em vez de gerenciar várias ferramentas, você pode adotar uma abordagem unificada para proteger os recursos, concentrando-se na identidade.
Mudar para Zero Trust
A nuvem de conectividade da Cloudflare é uma plataforma de serviços nativos de nuvem que pode agilizar a transição da segurança tradicional baseada em perímetro para um modelo de segurança Zero Trust. Com o acesso à rede Zero Trust da Cloudflare, por exemplo, você pode substituir sua VPN legada, fortalecendo simultaneamente sua postura de segurança e proporcionando melhores experiências ao usuário, enquanto simplifica o gerenciamento. A plataforma da Cloudflare também oferece serviços para recuperar a visibilidade e o controle sobre a TI e impedir ataques de identidade baseados em bots. Esses serviços juntos permitem que você avance em sua jornada Zero Trust e deixe para trás os modelos de segurança de perímetro legados.
Este artigo é parte de uma série sobre as tendências e os assuntos mais recentes que influenciam os tomadores de decisões de tecnologia hoje em dia.
Saiba mais sobre esse assunto
Saiba mais sobre como a segurança Zero Trust pode ajudar você a desenvolver uma organização mais resiliente e descobrir outras tendências de segurança críticas no Relatório sobre sinais da Cloudflare: resiliência em escala de 2025.
Autoria
Steve Pascucci — @StevePascucci
Head of Zero Trust, Cloudflare
Principais conclusões
Após ler este artigo, você entenderá:
Por que a segurança tradicional baseada em perímetro não é mais suficiente
Como o Zero Trust é o imperativo de segurança moderno
Onde começar sua jornada Zero Trust