Zero Trust para PMEs: como começar sem trocar toda a infraestrutura

O que é Zero Trust e o que ele não é

Zero Trust ("confiança zero") é um modelo de segurança baseado em uma ideia simples: nenhum acesso é confiável por padrão, nem mesmo o que vem de dentro da rede da empresa. Cada tentativa de acessar um sistema, arquivo ou aplicação precisa provar quem está pedindo, de qual dispositivo e se aquele acesso faz sentido naquele momento. O conceito foi formalizado por referências como a publicação NIST SP 800-207 e hoje orienta a estratégia de segurança dos principais fornecedores de nuvem, inclusive a Microsoft.

Na prática, o Zero Trust troca a pergunta "este usuário está dentro da rede?" por "este usuário, neste dispositivo, neste contexto, deveria acessar este recurso agora?". A resposta não é dada uma única vez no login da manhã. Ela é reavaliada sempre que o risco muda: um acesso vindo de outro país, um notebook sem atualização de segurança ou uma tentativa de baixar centenas de arquivos de uma vez.

Também vale entender o que Zero Trust não é. Não é um produto que se compra pronto, não exige trocar firewall, servidores e computadores de uma vez e não é exclusividade de grandes corporações. É uma estratégia que se implanta aos poucos, aproveitando boa parte das ferramentas que a empresa já tem. Para uma PME, essa é a melhor notícia: dá para começar com o que já está contratado.

Por que o modelo de perímetro não protege mais a sua empresa

Durante anos, a segurança das empresas funcionou como um castelo cercado por um fosso. O firewall protegia a borda, e tudo o que estava dentro da rede local era considerado seguro. Esse modelo fazia sentido quando os funcionários trabalhavam no escritório, os sistemas ficavam em um servidor na sala ao lado e os arquivos não saíam da empresa.

Esse cenário mudou. Hoje os dados estão no Microsoft 365, em sistemas de gestão na nuvem, em aplicativos de banco e em celulares pessoais. Os colaboradores trabalham de casa, de clientes e de aeroportos. Fornecedores e contadores acessam sistemas remotamente. O perímetro deixou de existir como linha clara, e quem consegue roubar uma senha válida entra pela porta da frente, sem precisar "invadir" nada.

É exatamente esse o padrão dos ataques que mais afetam pequenas e médias empresas:

• Phishing e roubo de credenciais: um e-mail falso captura a senha do financeiro, e o atacante passa a ler e enviar mensagens como se fosse a própria pessoa.
• Ransomware que se espalha pela rede interna: uma única máquina comprometida alcança servidores e compartilhamentos porque "tudo dentro da rede confia em tudo".
• Acesso excessivo: usuários com permissão de administrador ou acesso a pastas que não precisam ampliam o estrago de qualquer incidente.
• Contas esquecidas: ex-funcionários e fornecedores antigos com login ativo viram portas abertas sem ninguém vigiando.

O Zero Trust ataca justamente esses pontos. Ele não depende de a ameaça ficar do lado de fora. Parte do princípio de que, em algum momento, alguém vai conseguir uma senha ou comprometer um dispositivo, e organiza a empresa para que esse incidente fique contido.

Os três princípios: verificar sempre, conceder o mínimo e assumir a violação

A Microsoft resume o Zero Trust em três princípios, que funcionam bem como guia para qualquer PME. O primeiro é verificar explicitamente: toda decisão de acesso considera identidade, localização, estado do dispositivo, aplicação acessada e comportamento recente. Uma senha correta não basta. Ela é apenas um dos sinais avaliados.

O segundo princípio é o privilégio mínimo. Cada pessoa recebe apenas o acesso necessário para o próprio trabalho, pelo tempo necessário. O estagiário não precisa ver a pasta da diretoria, o vendedor não precisa ser administrador do computador e o fornecedor de software não precisa de VPN aberta 24 horas por dia. Quanto menor o acesso de cada conta, menor o dano quando uma delas é comprometida.

O terceiro é assumir a violação. Em vez de supor que a rede está limpa, a empresa age como se um invasor já pudesse estar dentro dela. Isso significa segmentar sistemas, registrar e monitorar acessos, criptografar dados e ter backup isolado e testado. A pergunta muda de "como impedir 100% dos ataques?" para "como limitar e detectar rapidamente o que passar?".

Zero Trust não significa desconfiar das pessoas da sua equipe. Significa não depender de uma única barreira, como uma senha ou um firewall, para proteger tudo o que a empresa construiu.

Esses princípios se apoiam em três pilares que dão o nome à verificação contínua: identidade (quem é o usuário e como ele prova isso), dispositivo (de qual equipamento vem o acesso e se ele está seguro) e acesso (a quais recursos aquela combinação pode chegar, em quais condições). O roteiro a seguir trata cada pilar em ordem de impacto.

Roteiro prático: como uma PME começa o Zero Trust em fases

A forma mais segura de adotar Zero Trust é por etapas, com ganhos visíveis em cada uma. Muitas empresas que usam Microsoft 365 já têm boa parte das ferramentas necessárias: planos como o Microsoft 365 Business Premium incluem o Microsoft Entra ID P1 (com Acesso Condicional), o Intune para gestão de dispositivos e o Defender for Business para proteção de endpoints. O trabalho é configurar, não necessariamente comprar.

1. Inventário e visibilidade (semanas 1 a 2): liste usuários, contas administrativas, dispositivos, sistemas em nuvem e quem acessa o quê. Desative contas de ex-colaboradores e fornecedores inativos. Sem esse mapa, não há como definir políticas.
2. Identidade forte (semanas 2 a 4): ative autenticação multifator (MFA) para todos, começando pelos administradores e pelo financeiro. Prefira aplicativo autenticador ou chaves de segurança a SMS. Bloqueie protocolos de autenticação legados, que não suportam MFA e são porta comum de ataques.
3. Privilégio mínimo (mês 2): retire o perfil de administrador local dos computadores dos usuários, separe contas de uso diário das contas administrativas e revise permissões de pastas, SharePoint e sistemas de gestão.
4. Dispositivos confiáveis (meses 2 e 3): cadastre notebooks e celulares corporativos em uma ferramenta de gestão, exija criptografia de disco, sistema atualizado e antivírus ativo. Defina o que acontece com dispositivos pessoais: acesso apenas pelo navegador ou por aplicativos protegidos, sem download de arquivos sensíveis.
5. Acesso condicional (mês 3): crie regras que combinam os sinais. Por exemplo: acesso ao ERP só de dispositivo gerenciado e em conformidade; login de país incomum exige nova verificação ou é bloqueado; usuário com risco elevado precisa trocar a senha antes de continuar.
6. Segmentação e acesso remoto (meses 3 e 4): separe a rede de visitantes, câmeras e impressoras da rede de servidores. Substitua VPNs amplas por acesso direto às aplicações necessárias, com autenticação forte e registro de uso.
7. Monitoramento, backup e resposta (contínuo): centralize logs de login e alertas, revise acessos a cada trimestre e mantenha backup imutável ou isolado, com testes periódicos de restauração.

Repare que nenhuma etapa exige parar a operação ou trocar toda a infraestrutura. O firewall continua útil, os servidores continuam funcionando e os usuários seguem com as mesmas ferramentas. O que muda é a forma como o acesso é concedido e verificado.

Erros comuns e como medir se o Zero Trust está funcionando

O erro mais frequente é tratar o Zero Trust como projeto com data para acabar. Políticas de acesso precisam ser revisadas conforme a empresa contrata, demite, adota sistemas novos ou muda de fornecedor. Outro erro comum é ativar regras rígidas de uma vez, sem período de teste. O resultado são usuários bloqueados, chamados acumulados e pressão para "desligar tudo". O ideal é rodar as políticas em modo de relatório, avaliar o impacto e só depois aplicar.

Também é comum deixar exceções permanentes: o diretor que "não gosta de MFA", a conta de serviço com senha antiga que ninguém quer mexer, o fornecedor com acesso irrestrito "porque sempre foi assim". Cada exceção é exatamente o ponto que um atacante vai procurar. Exceções devem existir com prazo, justificativa e revisão.

Para saber se a estratégia está avançando, acompanhe indicadores objetivos:

• Percentual de usuários com MFA ativo (a meta é 100%, sem exceções administrativas).
• Número de contas com privilégio de administrador e quantas delas são usadas no dia a dia.
• Percentual de dispositivos gerenciados e em conformidade com as políticas de segurança.
• Contas inativas há mais de 30 ou 60 dias ainda habilitadas.
• Tempo médio para revogar o acesso de um colaborador desligado.
• Data do último teste de restauração de backup bem-sucedido.

Esses números cabem em uma revisão mensal simples e mostram para a diretoria, de forma concreta, quanto o risco da empresa diminuiu. Também ajudam a priorizar a próxima etapa do roteiro.

Como a Duk ajuda sua empresa a adotar Zero Trust

Implantar Zero Trust exige conhecimento técnico e, principalmente, constância: configurar políticas, acompanhar alertas, ajustar exceções e revisar acessos com frequência. Para a maioria das PMEs, manter uma equipe interna dedicada a isso não é viável. Por isso, contar com um parceiro de TI que conheça o ambiente da empresa faz diferença entre um projeto que avança e um que fica pela metade.

A Duk Informática & Cloud atua há mais de 18 anos com suporte, infraestrutura e segurança para empresas e já atende mais de 550 clientes. Como Microsoft Gold Partner, a equipe da Duk conhece a fundo os recursos do Microsoft 365, do Entra ID e do Intune e ajuda sua empresa a aproveitar o que já está contratado antes de sugerir qualquer investimento novo. O trabalho começa com um diagnóstico do ambiente atual e segue o roteiro em fases, com cuidado para não interromper a rotina dos usuários.

Além da implantação, a Duk oferece acompanhamento contínuo: monitoramento de acessos e dispositivos, gestão de identidades, backup em data center próprio e suporte com SLA definido. Se sua empresa quer sair do modelo de perímetro e adotar verificação contínua de identidade, dispositivo e acesso, sem trocar toda a infraestrutura, fale com a Duk e veja por qual etapa começar.