Zero Trust: o modelo de segurança que sua empresa precisa — Duk

O que é Zero Trust e por que ele mudou o paradigma da segurança

Durante décadas, a segurança corporativa operou sobre uma premissa simples: tudo dentro do perímetro da rede era confiável, tudo fora era suspeito. Esse modelo — conhecido como "castelo e fosso" — funcionava quando funcionários ficavam em escritórios, servidores estavam em racks locais e aplicações rodavam atrás de um único firewall. Mas a realidade de 2026 é radicalmente diferente: trabalho híbrido, SaaS, multicloud, dispositivos pessoais, APIs expostas e uma superfície de ataque que simplesmente não tem mais borda.

Zero Trust é a resposta arquitetural a essa mudança. O princípio central, formalizado pelo analista John Kindervag (Forrester) em 2010 e posteriormente padronizado pelo NIST SP 800-207, é brutalmente direto: nunca confie, sempre verifique. Nenhum usuário, dispositivo ou aplicação recebe confiança por estar dentro da rede. Cada requisição é autenticada, autorizada e validada continuamente, com base em identidade, contexto, postura do dispositivo e comportamento.

Não se trata de um produto único que você compra e instala. Zero Trust é um modelo operacional que combina identidade forte (MFA, SSO), microssegmentação, avaliação contínua de risco, criptografia ponta a ponta e mínimo privilégio. Empresas que adotam o modelo corretamente reduzem em média 50% o impacto de incidentes, segundo o relatório IBM Cost of a Data Breach 2025, e aceleram a detecção de movimento lateral de atacantes em 74%.

Os cinco pilares técnicos de uma arquitetura Zero Trust

Implementar Zero Trust exige pensar em camadas coordenadas. Não adianta ter MFA se o dispositivo comprometido tem acesso livre à rede interna. Não adianta microssegmentar se a identidade do usuário é fraca. Os cinco pilares abaixo são interdependentes e devem evoluir juntos na estratégia de adoção.

• Identidade: provedor de identidade centralizado (Azure AD / Entra ID, Okta), MFA obrigatório, autenticação passwordless quando possível, políticas de acesso condicional baseadas em risco do login (localização, horário, dispositivo).
• Dispositivos: inventário completo, gestão via MDM/Intune, verificação de postura (patch level, antivírus, criptografia de disco) antes de conceder acesso. Dispositivo não conforme = acesso negado ou limitado.
• Rede: microssegmentação com políticas por aplicação, não por VLAN. SDP (Software Defined Perimeter) ou ZTNA substituindo VPN tradicional. Tráfego leste-oeste tão escrutinado quanto norte-sul.
• Aplicações e dados: classificação de dados sensíveis, criptografia em trânsito e em repouso, DLP ativo, acesso a apps mediado por proxy (CASB) com inspeção contínua.
• Visibilidade e analytics: SIEM + XDR correlacionando sinais de identidade, endpoint, rede e nuvem. Detecção de anomalias comportamentais (UEBA) para flagrar acesso legítimo usado de forma atípica.

A maturidade não chega de uma vez. O modelo CISA Zero Trust Maturity Model divide a jornada em quatro estágios — Traditional, Initial, Advanced e Optimal — e a maioria das empresas brasileiras de médio porte está entre Traditional e Initial, com identidade razoavelmente madura mas rede e dispositivos ainda operando no modelo antigo.

Por que empresas brasileiras estão acelerando a adoção em 2026

Três forças convergiram para transformar Zero Trust de "tendência de palestrante" em prioridade orçamentária real. A primeira é regulatória: a LGPD, combinada com as exigências de ANPD e a pressão de compliance de clientes internacionais, tornou a demonstração de controles granulares de acesso um requisito auditável. Empresas que não conseguem responder "quem acessou qual dado, quando, de onde e com que autorização" estão em risco de sanções materiais.

A segunda é econômica. O custo médio de uma violação de dados no Brasil chegou a R$ 6,75 milhões em 2025 (IBM), e 83% das empresas afetadas sofreram mais de um incidente. Ransomware continua sendo o vetor dominante, e o padrão de ataque — comprometimento inicial via phishing, escalada de privilégio, movimento lateral, exfiltração e criptografia — é exatamente o que Zero Trust foi desenhado para interromper em múltiplos pontos.

A terceira é operacional: VPN simplesmente não escala. Empresas que cresceram de 50 para 500 usuários remotos descobriram que o concentrador VPN vira gargalo, a experiência do usuário degrada e, pior, uma vez autenticado via VPN o usuário ganha acesso amplo à rede corporativa — exatamente o contrário do que Zero Trust propõe.

"A pergunta não é mais se vamos ser atacados, é quando e quanto tempo o atacante vai conseguir se mover livremente antes de ser detectado. Zero Trust reduz drasticamente esse tempo de permanência." — Gartner, Market Guide for Zero Trust Network Access, 2025

Zero Trust Network Access (ZTNA): o substituto natural da VPN

Se existe um componente que representa a aplicação prática mais visível do modelo, é o ZTNA. Enquanto a VPN cria um túnel criptografado para "dentro da rede", o ZTNA cria conexões criptografadas aplicação por aplicação, sem expor a rede subjacente. O usuário autentica-se no broker ZTNA, que avalia identidade, postura do dispositivo e contexto, e só então cria um túnel direto para a aplicação específica autorizada.

Os benefícios operacionais são mensuráveis: latência menor (conexão direta para cloud apps em vez de hairpinning pelo datacenter), superfície de ataque invisível (aplicações não respondem na internet pública, só ao broker autenticado), e granularidade real — você pode permitir que um fornecedor externo acesse exatamente um sistema ERP, sem jamais enxergar qualquer outro recurso da rede.

Fornecedores maduros no espaço incluem Zscaler Private Access, Cloudflare Access, Cisco Duo Network Gateway, Microsoft Entra Private Access e Netskope. A escolha depende do ecossistema existente: empresas Microsoft-first ganham integração nativa com Entra ID e Intune usando Entra Private Access, enquanto ambientes heterogêneos costumam preferir Zscaler ou Cloudflare pela neutralidade.

Erros comuns na implementação e como evitá-los

A maioria dos projetos Zero Trust que fracassam não falha por limitação técnica — falha por má sequência de adoção e expectativas desalinhadas. Abaixo estão os erros recorrentes observados em projetos brasileiros e os contrapontos práticos para cada um.

1. Tentar implementar tudo de uma vez: Zero Trust é jornada de 18-36 meses. Comece pela identidade (MFA universal, SSO, acesso condicional) e uma aplicação crítica. Expanda iterativamente.
2. Ignorar a experiência do usuário: controles que adicionam seis etapas a cada login geram shadow IT. Use autenticação adaptativa — o usuário só sente fricção quando o risco aumenta (novo dispositivo, geografia incomum).
3. Esquecer legado: sistemas on-premise antigos sem suporte a SAML/OIDC exigem proxies de identidade ou segmentação agressiva. Planeje explicitamente a estratégia para legado no roadmap.
4. Subestimar gestão de dispositivos: Zero Trust sem MDM é meio caminho. Dispositivos pessoais (BYOD) precisam de política clara — containerização, acesso somente web, ou bloqueio de acesso a dados sensíveis.
5. Pular a visibilidade: sem SIEM/XDR correlacionando logs de identidade, endpoint e rede, você tem controles mas não tem detecção. Zero Trust assume violação — precisa enxergar quando ela acontece.
6. Confiar em fornecedor único: nenhum vendor oferece Zero Trust completo. É sempre composição. Exija interoperabilidade e APIs abertas na seleção.

Como a Duk Informática & Cloud estrutura projetos Zero Trust

Com 18+ anos de experiência em infraestrutura corporativa e Microsoft Gold Partner, a Duk tem conduzido projetos de transição para Zero Trust em mais de 550 empresas atendidas, com foco em médio porte brasileiro — o segmento que mais sofre com a lacuna entre ameaças sofisticadas e equipes de TI enxutas. Nossa abordagem começa com um assessment de maturidade baseado no CISA Zero Trust Maturity Model, identificando os pilares mais frágeis e o caminho de menor risco com maior impacto.

A implementação típica combina Microsoft Entra ID P2 (acesso condicional, Identity Protection, PIM), Intune para gestão de dispositivos, Defender XDR para detecção correlacionada e Entra Private Access substituindo a VPN legada. Para empresas já multi-cloud ou com forte presença AWS/GCP, integramos Zscaler ou Cloudflare Access. O datacenter próprio em Alphaville suporta cargas híbridas durante a transição, e nosso SLA de resposta em 3,7 minutos garante que incidentes detectados pelo XDR recebam ação humana imediata, 24/7.

Zero Trust não é checklist — é mudança de cultura operacional. Empresas que tentam adotar sozinhas geralmente param no estágio "MFA implementado" e nunca chegam à microssegmentação real ou à avaliação contínua. Com apoio de um parceiro experiente, o caminho de 36 meses frequentemente cabe em 12-18, com entregas mensuráveis a cada trimestre.

Quer avaliar a maturidade Zero Trust da sua empresa e desenhar um roadmap realista para 2026? Fale com um especialista Duk pelo WhatsApp: wa.me/5511957024493. Em 30 minutos, mapeamos seus pilares atuais, identificamos o próximo passo de maior impacto e mostramos exemplos de projetos similares já entregues.