Resposta direta
O CISA Zero Trust Maturity Model é o modelo de referência de maturidade Zero Trust publicado pela agência de cibersegurança do governo dos Estados Unidos, na versão 2.0, de abril de 2023. Ele organiza a jornada em cinco pilares (identidade, dispositivos, redes, aplicações e cargas de trabalho, e dados), três capacidades transversais e quatro estágios: tradicional, inicial, avançado e ótimo.
O que é o CISA Zero Trust Maturity Model?
O CISA Zero Trust Maturity Model (CISA ZTMM) é um modelo de referência que descreve, em degraus, como uma organização sai de uma arquitetura de segurança baseada em perímetro e chega a uma arquitetura Zero Trust operando de forma automatizada e verificada. Ele foi publicado pela Cybersecurity and Infrastructure Security Agency (CISA), a agência de cibersegurança do governo dos Estados Unidos.
A linha do tempo importa para entender o documento. O rascunho inicial saiu em junho de 2021, na esteira da Ordem Executiva 14028, que determinou a adoção de Zero Trust por agências federais americanas. Em janeiro de 2022, o memorando OMB M-22-09 fixou metas com prazo no fim do ano fiscal de 2024. A versão 2.0, de abril de 2023, incorporou comentários públicos e acrescentou o estágio "inicial" entre o tradicional e o avançado [CISA, abril de 2023].
O CISA ZTMM foi escrito para agências federais americanas, e nenhuma empresa brasileira tem obrigação legal de segui-lo. O uso que ele tem aqui é de régua compartilhada: o documento é público, gratuito e descreve maturidade Zero Trust camada a camada, com os estágios nomeados e descritos um a um. Isso dá vocabulário comum a uma conversa que hoje costuma acontecer sem régua nenhuma, em que cada fornecedor chama de "maduro" o que a própria oferta cobre.
Quais são os cinco pilares do CISA Zero Trust Maturity Model?
Os cinco pilares são as camadas em que a arquitetura é avaliada. Cada pilar evolui no seu próprio ritmo, e é possível estar avançado em um e tradicional em outro. Em português, com o que cada um cobra na prática:
- Identidade. Quem acessa, como essa pessoa ou serviço é autenticada e com qual privilégio. Cobre autenticação multifator resistente a phishing, privilégio mínimo, revisão periódica de acesso e gestão de acesso privilegiado.
- Dispositivos. Qual equipamento acessa, se ele é conhecido, se está íntegro e se essa postura é verificada na hora do acesso. Cobre inventário de ativos, conformidade do endpoint e resposta baseada em risco do dispositivo.
- Redes. Como o tráfego é segmentado, cifrado e inspecionado. Cobre microssegmentação, criptografia de tráfego interno e o fim do acesso amplo à rede que a VPN tradicional concede a quem entra.
- Aplicações e cargas de trabalho. Como as aplicações internas e em nuvem são expostas, autorizadas e testadas. Cobre acesso por aplicação em vez de acesso por rede, autorização contínua e segurança no ciclo de desenvolvimento.
- Dados. Como o dado é classificado, rotulado, cifrado e monitorado ao longo do seu ciclo de vida. O pilar se relaciona aos quatro anteriores porque a efetividade dos controles depende de identidade, dispositivo, aplicação e caminho de acesso. Ele também pode apoiar a análise de medidas técnicas relacionadas à LGPD, sem substituir a avaliação jurídica.
O que são as três capacidades transversais?
As capacidades transversais atravessam os cinco pilares e determinam se a arquitetura funciona como um sistema ou como cinco silos. São três:
- Visibilidade e análise. A capacidade de enxergar o que acontece em cada pilar, com telemetria correlacionada, e não com painéis isolados por ferramenta.
- Automação e orquestração. A capacidade de responder e reconfigurar sem depender de intervenção manual a cada evento.
- Governança. As políticas, papéis e processos que definem quem decide o quê e criam condições para confrontar a política escrita com o que está aplicado no ambiente.
Governança merece atenção porque uma política de acesso documentada pode divergir do enforcement observado no ambiente. A regra de medição precisa declarar como essa divergência será tratada.
Quais são os quatro estágios de maturidade Zero Trust?
Cada pilar é avaliado em quatro estágios. A leitura resumida, com o sinal prático que separa um do outro:
Deslize horizontalmente para ver toda a tabela.
| Estágio | O que caracteriza | Sinal prático no ambiente |
|---|---|---|
| Tradicional | Configuração manual, política estática, pilares em silo, confiança implícita concedida por localização de rede. | O acesso remoto é VPN com alcance amplo. A revisão de acesso acontece uma vez por ano, em planilha. |
| Inicial | Começo de automação na atribuição de atributos e nas decisões de política, primeiras integrações entre pilares. | Autenticação multifator existe nas aplicações críticas. O inventário de dispositivos existe, com lacunas conhecidas. |
| Avançado | Controles automatizados de ciclo de vida e configuração, visibilidade centralizada, política aplicada de forma integrada entre pilares. | O acesso é concedido por aplicação, com verificação de postura do dispositivo, e a telemetria dos pilares é correlacionada. |
| Ótimo | Atribuição de atributos just-in-time e just-enough, política dinâmica a partir de gatilhos observados, monitoramento contínuo. | A política se ajusta sozinha diante de mudança de risco, e a evidência disso é registrada de forma auditável. |
No Brasil, 96% das cerca de 240 empresas de tecnologia ouvidas pela Pesquisa Nacional BugHunt declararam investir em segurança em 2026, contra 72% em 2021. Em outro estudo, com 62 empresas de grande porte de 13 setores, a maturidade média em segurança da informação foi de 1,61 numa escala de 0 a 5 [Vultus 2025]. Os recortes não permitem posicionar o mercado nos estágios do CISA; mostram por que cada organização precisa apurar o próprio estado com evidência.
Como descobrir em qual estágio a sua empresa está?
O modelo do CISA descreve os estágios e deixa para cada organização a tarefa de se posicionar neles. Uma autoavaliação pode consultar política e plano diretor; uma leitura operacional também precisa olhar evidências do ambiente. As perguntas abaixo são exemplos de investigação, não um checklist oficial do CISA nem controles do NTM:
- Quantos acessos remotos hoje passam por acesso verificado por aplicação, e quantos ainda passam por túnel de rede com alcance amplo? A razão entre os dois posiciona o pilar de redes.
- Qual percentual dos usuários com acesso a sistema crítico tem autenticação multifator resistente a phishing efetivamente aplicada, medido no log de autenticação e não na configuração declarada? Configurado e ativo são estados diferentes, e só o log separa os dois.
- Quantos dispositivos observados num período representativo estão no inventário oficial? A janela precisa ser definida conforme o ciclo de acesso do ambiente.
- Quando foi a última revisão de acesso privilegiado e qual evidência registra a análise conta a conta? O resultado precisa ser interpretado junto com o processo adotado.
- Qual percentual dos repositórios com dado pessoal está classificado e cifrado, com registro de acesso consultável? Essa evidência pode apoiar a avaliação técnica; o atendimento à LGPD depende da análise jurídica e do conjunto de medidas aplicáveis.
Parte dessas perguntas pode ser investigada com logs e inventários existentes; a cobertura depende do ambiente. A lista definitiva de controles é definida na medição contratada.
Exemplo ilustrativo: o controle que estava no diagrama e não estava no tráfego
O cenário a seguir é uma composição editorial e não descreve cliente ou medição real da NowCy. Uma instituição financeira fictícia de médio porte, com cerca de 1.200 colaboradores, se descrevia internamente como "avançada em identidade" porque havia autenticação multifator contratada, política formal e o item registrado como concluído.
A apuração no ambiente mostrou outra coisa. A autenticação multifator estava aplicada nas aplicações publicadas no portal corporativo, e três sistemas legados de retaguarda, acessados por um grupo pequeno de operadores com privilégio elevado, continuavam autenticando por usuário e senha, porque a integração desses sistemas ficara pendente na migração e ninguém reabriu o item. No diagrama, o controle estava ativo. No tráfego, ele cobria parte do escopo.
Como contexto de mercado, fontes públicas dos incidentes no ambiente Pix em 2025 registram uso de credenciais e participação de fornecedores de tecnologia. No estudo IBM Cost of a Data Breach 2025, violações iniciadas por comprometimento de terceiros e da cadeia tiveram custo médio de R$ 8,98 milhões no Brasil. Esses dados não provam que o exemplo teria causado um incidente; reforçam a importância de medir lacunas no próprio ambiente.
O que o CISA ZTMM responde, e o que fica em aberto
O modelo entrega vocabulário, camadas e degraus. Ele descreve para onde ir. Duas coisas ele deixa em aberto de propósito, e as duas pesam na operação brasileira:
A frequência. O modelo descreve estágios, sem determinar de quanto em quanto tempo a posição deve ser reapurada. A cadência precisa acompanhar o contrato, o risco e as mudanças relevantes do ambiente.
O número. "Avançado em identidade" é um estágio qualitativo. O NowCy Trust Maturity (NTM) usa outra régua: calcula a razão entre controles ativos e controles aplicáveis ao ambiente, um ponto por controle, e registra a evolução no dashboard de acesso somente leitura. O CISA ZTMM nomeia estágios; o NTM mede o estado dos controles definidos para o ambiente contratado. O artigo não afirma correspondência numérica entre as duas réguas.
A NowCy é uma boutique de arquitetura Zero Trust. O trabalho é projetar a arquitetura e, quando o NTM integra o escopo, mostrar quais controles aplicáveis foram verificados como ativos e onde permanece exposição.
Perguntas frequentes
O CISA Zero Trust Maturity Model é obrigatório para empresas brasileiras? Não. O CISA ZTMM foi publicado para agências federais dos Estados Unidos, na esteira da Ordem Executiva 14028 e do memorando OMB M-22-09. Nenhuma empresa privada brasileira tem obrigação legal de segui-lo. O uso corrente aqui é como modelo de referência, para dar vocabulário comum a uma avaliação de maturidade e para apoiar conversas de auditoria e de board.
Qual a diferença entre o CISA Zero Trust Maturity Model e o NIST SP 800-207? O NIST SP 800-207 define os princípios e os componentes lógicos de uma arquitetura Zero Trust, respondendo à pergunta "o que é". O CISA ZTMM organiza a adoção em pilares e estágios, respondendo à pergunta "onde estou e o que vem depois". Os dois documentos são complementares, e o CISA cita o NIST como base conceitual.
Uma empresa pode estar em estágios diferentes em pilares diferentes? Sim. Cada um dos cinco pilares pode evoluir em ritmo diferente, e o modelo permite observar essas diferenças para orientar a priorização.
Quanto tempo leva para sair do estágio tradicional? O modelo não fixa prazo, e qualquer número apresentado como padrão de mercado merece desconfiança, porque o tempo depende do inventário de controles aplicáveis ao ambiente, do legado em operação e da capacidade da equipe. O caminho previsível começa por um diagnóstico que estabeleça a posição atual por pilar com evidência apurada, seguido de priorização por peso de exposição.
Dá para medir maturidade Zero Trust sem trocar de tecnologia? Sim. A medição avalia se os controles aplicáveis ao ambiente estão ativos, com a tecnologia que já está em operação. Trocar de tecnologia é uma decisão posterior, que a medição informa em vez de pressupor.