Arquitetura Zero Trust é o desenho de acesso em que nenhuma requisição é confiável pela origem: cada uma passa por verificação de identidade, contexto e postura do dispositivo antes de ser autorizada. Os três princípios operacionais que a prática de projeto extrai do NIST SP 800-207 são verificação explícita a cada acesso, privilégio mínimo por sessão e a premissa de ambiente já comprometido.
O restante deste artigo explica o que cada princípio exige na prática, o que muda no desenho da rede quando a empresa sai do perímetro legado e como passar de um Zero Trust declarado no diagrama para um Zero Trust medido no ambiente.
O que é uma arquitetura Zero Trust?
Uma arquitetura Zero Trust é um modelo de desenho de sistemas em que a localização de rede deixa de ser critério de confiança. Estar dentro da rede corporativa, atrás do firewall ou conectado pela VPN não concede nada por si só. Cada requisição a um recurso é avaliada no momento em que acontece, contra a identidade que a origina, o dispositivo que a transporta e o contexto em que ela ocorre.
O documento de referência é o NIST SP 800-207, Zero Trust Architecture, publicado pelo National Institute of Standards and Technology em agosto de 2020 [NIST SP 800-207]. Ele descreve três componentes lógicos que sustentam o modelo: o policy engine, que decide se o acesso é concedido; o policy administrator, que executa a decisão abrindo ou encerrando a sessão; e o policy enforcement point, o ponto por onde o tráfego passa e onde a decisão vira efeito. O conceito central que o documento ataca é a zona de confiança implícita: o espaço interno onde, uma vez dentro, o acesso se espalha sem nova verificação.
Esse é o ponto que separa Zero Trust de mais uma camada de segurança. A arquitetura legada concentra o controle na fronteira e assume o interior como confiável. A arquitetura Zero Trust distribui o controle por recurso e trata cada acesso como uma decisão nova.
Quais são os três princípios de uma arquitetura Zero Trust?
O NIST SP 800-207 enumera sete preceitos técnicos. Na prática de projeto, eles se resumem a três princípios operacionais, e é por eles que uma arquitetura se avalia.
1. Verificação explícita a cada acesso. Nenhum acesso é concedido por herança. A decisão considera identidade autenticada, postura do dispositivo (versão de sistema, criptografia de disco, agente de proteção ativo), sensibilidade do recurso e sinais de contexto como horário, geolocalização e comportamento fora do padrão. Uma sessão autorizada às 9h não permanece autorizada por presunção às 15h se a postura do dispositivo mudou.
2. Privilégio mínimo por sessão. O acesso concedido cobre o recurso pedido, pelo tempo da tarefa. Esse desenho restringe o alcance potencial de uma credencial legítima em uso indevido conforme as políticas efetivamente aplicadas. No legado, a VPN pode entregar alcance de rede; no acesso Zero Trust, a política pode limitar o alcance às aplicações autorizadas para aquela identidade.
3. Premissa de ambiente já comprometido. O desenho considera a possibilidade de um acesso indevido já estar presente. Isso muda o que se projeta: segmentação fina, criptografia inclusive no tráfego interno, monitoramento contínuo e mecanismos destinados a detectar e restringir movimentações não autorizadas.
Os três princípios se sustentam juntos. Verificação explícita sem privilégio mínimo entrega uma porta bem trancada para um corredor aberto. Privilégio mínimo sem a premissa de comprometimento produz um desenho elegante que ninguém monitora depois de pronto.
O que muda no desenho da rede quando o perímetro deixa de ser o limite de confiança?
Cinco mudanças possíveis, apresentadas em uma ordem didática. A sequência real depende do diagnóstico do ambiente.
O perímetro deixa de ser o ponto de decisão. O firewall de borda continua existindo e continua útil, e para de ser o lugar onde se decide quem acessa o quê. A decisão migra para junto do recurso.
O acesso remoto sai do túnel de rede. O ZTNA (Zero Trust Network Access) substitui o túnel VPN por conexões verificadas por identidade, aplicação a aplicação. O usuário deixa de "entrar na rede" e passa a alcançar exatamente os sistemas que a política autoriza.
A rede interna deixa de ser plana. A microssegmentação divide o ambiente em zonas menores com política própria entre elas, de modo que o movimento lateral entre servidores possa exigir nova autorização. A implantação exige levantamento de dependências antes de entrar em vigor e pode restringir o alcance potencial de um incidente quando as políticas estão ativas.
A identidade vira o plano de controle. Autenticação multifator, gestão de acesso privilegiado e revisão periódica de acessos deixam de ser projetos isolados de TI e passam a alimentar a decisão de cada requisição.
A publicação dos recursos muda. Aplicações internas podem passar a ser alcançadas por conexões iniciadas de dentro para fora, reduzindo endereços expostos à varredura. O efeito depende da arquitetura e da cobertura efetivamente implantada.
Por onde uma empresa em VPN e firewall legado começa a migração?
Uma sequência possível começa pelo inventário: quais recursos existem, quem acessa cada um hoje e por qual caminho. A priorização seguinte depende da exposição e das dependências do ambiente. Acesso de terceiros, aplicações críticas, segmentação de datacenter e nuvem, dispositivos e postura entram na ordem definida pelo diagnóstico.
A execução em ondas busca preservar a continuidade, mas não elimina risco operacional. O valor depende de validar o que saiu do diagrama e ficou ativo no ambiente depois da implantação.
Onde um projeto de arquitetura Zero Trust pode perder aderência?
A adoção de Zero Trust já começou no mercado regulado brasileiro, e 96% das empresas de tecnologia ouvidas pela Pesquisa Nacional BugHunt declararam investir em segurança em 2026, contra 72% em 2021, numa amostra de cerca de 240 respondentes. Em outro recorte, com 62 empresas de grande porte de 13 setores, a maturidade média em segurança da informação foi de 1,61 numa escala de 0 a 5 [Vultus 2025]. Os estudos têm amostras e objetivos distintos; juntos, reforçam a necessidade de verificar no próprio ambiente o que ficou ativo.
Três pontos merecem acompanhamento contínuo.
O projeto termina na entrega técnica. A arquitetura é desenhada, a tecnologia é implantada, o relatório final é aprovado, e o ciclo se encerra. A partir daí o ambiente muda todo dia (aplicação nova, integração nova, prestador novo, exceção temporária que ninguém removeu) e o desenho aprovado envelhece sem que ninguém perceba.
A comprovação fica concentrada em eventos periódicos. O teste de intrusão e a auditoria registram o ambiente em datas determinadas. Entre uma medição e a seguinte, mudanças de acesso, aplicação e fornecedor podem alterar a exposição residual.
O controle declarado pode divergir do ambiente. A política existe no console e o item consta como concluído, enquanto uma exceção pode manter parte do escopo sem enforcement. Confrontar documentação e evidência operacional torna essa divergência visível.
Os três pontos têm a mesma raiz: a arquitetura foi declarada e não passou a ser medida. É por isso que a régua útil deixou de ser "a empresa adotou Zero Trust" e passou a ser "a empresa consegue mostrar, em número do próprio ambiente, quantos dos controles aplicáveis estão ativos hoje".
Como um controle dado como ativo aparece inativo na medição?
O cenário a seguir é um exemplo ilustrativo, composto para explicar o mecanismo. Ele não descreve cliente nem resultado real da NowCy.
Uma instituição financeira de médio porte, com cerca de 1.200 colaboradores e obrigações de reporte ao regulador, concluiu a substituição do acesso remoto por acesso Zero Trust nove meses antes. O relatório de encerramento do projeto estava aprovado, e o item "acesso de terceiros por identidade, com privilégio mínimo" constava como implantado.
No inventário de controles, o time comparou a política escrita com o tráfego observado. Um grupo de prestadores de manutenção de um sistema legado continuava acessando o ambiente pelo caminho antigo, por uma regra de exceção criada durante a migração para evitar indisponibilidade em uma janela crítica. A exceção sobreviveu à janela. Nenhum alerta disparou, porque a regra estava documentada e o console mostrava a política nova aplicada aos demais grupos.
No exemplo, o controle constava como ativo e permanecia inativo para aquele grupo. O cenário mostra como uma exceção posterior à última verificação pode criar distância entre relatório e ambiente. Como contexto de mercado, o estudo IBM Cost of a Data Breach 2025 registrou custo médio de R$ 8,98 milhões no Brasil para violações iniciadas por comprometimento de terceiros e da cadeia.
O achado descreve a consequência previsível de tratar arquitetura como entrega concluída em vez de estado medido. O time fez o que o projeto pedia, e o projeto acabou antes da medição começar.
O que separa um Zero Trust declarado de um Zero Trust medido?
Um número do próprio ambiente, atualizado no tempo e conferível por terceiro.
É essa a função do NowCy Trust Maturity (NTM) contratado: calcular a razão entre controles ativos e controles aplicáveis ao ambiente, um ponto por controle, e registrar a evolução da medição. Frameworks como NIST CSF 2.0, ISO/IEC 27001:2022 e CIS Controls v8 podem apoiar a definição do escopo, sem implicar correspondência integral, certificação ou equivalência.
A experiência operacional da NowCy aparece no método que conecta arquitetura, ativação e evidência, com tecnologia escolhida conforme o ambiente. Nenhuma arquitetura elimina risco por completo, e o índice mostra a exposição residual identificada no escopo medido, ciclo a ciclo.
O efeito prático para quem responde pela segurança é levar um dado do próprio ambiente, com evidência rastreável. No board, o histórico permite discutir como a cobertura dos controles mudou desde o ciclo anterior e qual exposição permanece aberta.
Perguntas frequentes
Zero Trust substitui a VPN? O ZTNA pode substituir gradualmente parte ou toda a função de acesso remoto da VPN, conforme aplicações, protocolos e dependências do ambiente. A política concede acesso por aplicação, e o plano de migração precisa tratar as exceções que permanecem no túnel legado.
Arquitetura Zero Trust é um produto que se compra? É um desenho de acesso, executado por um conjunto de tecnologias. Existem produtos que implementam partes do modelo (acesso por identidade, segmentação, gestão de postura), e nenhum deles entrega a arquitetura sozinho. O que decide o resultado é o desenho, a ordem de implantação e a medição do que ficou ativo.
Quanto tempo leva para implantar uma arquitetura Zero Trust? Não existe data única de conclusão, porque o plano depende do inventário e das dependências do ambiente. As frentes são priorizadas pelo diagnóstico, e o índice registra a evolução à medida que os controles entram em operação.
O NIST SP 800-207 é obrigatório no Brasil? Ele tem caráter de referência técnica e não é norma obrigatória no Brasil. Requisitos aplicáveis vêm da legislação e das normas de cada setor, como as resoluções do CMN e do BCB para instituições dentro de seus respectivos escopos e a LGPD quando pertinente. O NIST SP 800-207 pode apoiar o desenho técnico, sem substituir a análise de conformidade.
Como saber se a arquitetura Zero Trust da minha empresa está funcionando? Confrontando os controles que a empresa considera ativos com o estado real do ambiente, de forma periódica, e expressando o resultado como um índice de controles ativos sobre controles aplicáveis. Sem essa comparação, a resposta é uma suposição apoiada em documentação de projeto.