NSA publica novas orientações para acelerar a adoção de zero trust nas organizações

A National Security Agency (NSA) divulgou um novo conjunto de zero trust Implementation Guidelines (ZIG) que define, de forma prática e faseada, como as organizações podem evoluir até um nível-alvo de maturidade zero trust, alinhado com a estratégia de cibersegurança do governo norte-americano.

As novas orientações introduzem a Fase Um e a Fase Dois das ZIG, concebidas para apoiar o zero trust do Departamento de Guerra dos EUA (DoW, anteriormente Departamento da Defesa) e a estratégia global de cibersegurança do setor público. O objetivo é guiar as organizações desde a fase de descoberta até uma implementação plena, mantendo flexibilidade para adaptação às necessidades operacionais de cada entidade.

A Fase Um estabelece uma base segura, definindo 36 atividades que suportam 30 capacidades Zero Trust, ajudando a criar ou reforçar controlos fundamentais antes de uma integração mais profunda. Já a Fase Dois acrescenta 41 atividades que permitem implementar mais 34 capacidades, com foco na integração das soluções centrais de zero trust em diferentes ambientes tecnológicos.

Segundo a NSA, esta abordagem faseada não deve ser vista como um roteiro rígido, mas como um modelo modular. Brian Soby, CTO e cofundador da AppOmni, sublinha que a estrutura reforça a ideia de que o zero trust “não é um produto, mas um modelo operacional”, exigindo avaliação e aplicação contínuas de políticas à medida que o contexto muda.

As diretrizes reforçam ainda a transição de um modelo de segurança baseado no perímetro para um paradigma de avaliação contínua de utilizadores, dispositivos e aplicações, assente nos princípios de “nunca confiar, verificar sempre” e “assumir compromisso”. De acordo com Soby, um dos pontos mais relevantes é o foco na segurança após a autenticação, já que muitos ataques bem-sucedidos ocorrem depois do login inicial.

O documento baseia-se em frameworks já existentes, como o NIST SP 800-207, o CISA Zero Trust Maturity Model 2.0 e a DoW Zero Trust Reference Architecture, organizando 152 atividades zero trust em fases estruturadas. A NSA alerta, no entanto, para erros comuns, como a excessiva dependência de controlos de acesso à rede, ignorando decisões de acesso ao nível das aplicações.

A agência indica que estas orientações se destinam a profissionais experientes e não exclui o desenvolvimento de fases mais avançadas no futuro, à medida que as organizações evoluem na sua maturidade zero trust.