Confiança zero: a base da proteção na era digital

Introdução: Segurança integrada no atual panorama digital

As ferramentas modernas baseadas na inteligência artificial oferecem capacidades sem precedentes para a otimização do negócio e a geração de informação. No entanto, estes avanços trazem consigo considerações de segurança fundamentais, especialmente quando as empresas confiam dados sensíveis a fornecedores de SaaS baseados na nuvem. A segurança já não pode ser vista como um mero complemento, mas deve ser integrada em todas as camadas das plataformas tecnológicas modernas.

‍

O modelo Zero Trust representa a base da cibersegurança moderna. Ao contrário da abordagem tradicional que se baseava na proteção de um perímetro específico, o modelo Zero Trust tem em conta a identidade, a autenticação e outros indicadores contextuais, como o estado e a integridade dos dispositivos, para melhorar significativamente a segurança em relação ao status quo.

‍

O que é a Confiança Zero?

O Zero Trust é um modelo de segurança centrado na ideia de que o acesso aos dados não deve ser concedido apenas com base na localização da rede. Exige que os utilizadores e os sistemas provem fortemente as suas identidades e fiabilidade e aplica regras de autorização granulares baseadas na identidade antes de conceder acesso a aplicações, dados e outros sistemas.

‍

Com o Zero Trust, estas identidades funcionam frequentemente em redes flexíveis e com reconhecimento de identidade que reduzem ainda mais a superfície de ataque, eliminam caminhos desnecessários para os dados e fornecem protecções de segurança externas robustas.

‍

A tradicional metáfora do "castelo e fosso" desapareceu, substituída por uma micro-segmentação definida por software que permite aos utilizadores, aplicações e dispositivos ligarem-se em segurança a partir de qualquer local a qualquer outro.

‍

Três princípios orientadores para a implementação da Confiança Zero

Com base no Manual da AWS "Ganhe confiança na sua segurança com Zero Trust"

‍

1. Utilizar em conjunto as competências de identidade e de trabalho em rede

Uma melhor segurança não resulta de uma escolha binária entre ferramentas centradas na identidade ou na rede, mas sim da utilização eficaz de ambas em combinação. Os controlos centrados na identidade oferecem autorizações granulares, ao passo que as ferramentas centradas na rede proporcionam excelentes balizas dentro das quais podem funcionar os controlos baseados na identidade.

Os dois tipos de controlos devem estar conscientes um do outro e reforçarem-se mutuamente. Por exemplo, é possível ligar as políticas que permitem escrever e aplicar regras centradas na identidade a um limite lógico da rede.

2. Proceder de trás para a frente a partir dos casos de utilização

Zero Trust pode significar coisas diferentes consoante o caso de utilização. Considerando vários cenários, tais como:

• Máquina-a-máquina: Autorização de fluxos específicos entre componentes para eliminar a mobilidade lateral desnecessária da rede.
• Aplicação humana: permitir o acesso sem atritos a aplicações internas para os trabalhadores.
• Software-software: Quando dois componentes não precisam de comunicar, não o devem poder fazer, mesmo que residam no mesmo segmento de rede.
• Transformação digital: criação de arquitecturas de microsserviços cuidadosamente segmentadas no âmbito de novas aplicações baseadas na nuvem.

3. Lembre-se que um tamanho único não serve para todos

Os conceitos de Confiança Zero devem ser aplicados de acordo com a política de segurança do sistema e dos dados a proteger. A Confiança Zero não é uma abordagem de "tamanho único" e está em constante evolução. É importante não aplicar controlos uniformes a toda a organização, uma vez que uma abordagem inflexível pode não permitir o crescimento.

Como diz o manual:

‍

"Começar por aderir fortemente ao privilégio mínimo e, em seguida, aplicar rigorosamente os princípios do Zero Trust pode aumentar significativamente a fasquia da segurança, especialmente para cargas de trabalho críticas. Pense nos conceitos de Confiança Zero como aditivos aos controlos e conceitos de segurança existentes, e não como substitutos.

Isto sublinha que os conceitos de confiança zero devem ser vistos como complementares dos controlos de segurança existentes e não como substitutos.

‍

‍

Considerações de segurança específicas da IA

Os sistemas de inteligência artificial apresentam desafios de segurança únicos que ultrapassam os problemas tradicionais de segurança das aplicações:

Proteção do modelo

• Formação em segurança de dados: As capacidades de aprendizagem federada permitem modelos melhorados sem centralizar dados sensíveis, permitindo que as organizações tirem partido da inteligência colectiva, mantendo a soberania dos dados.
• Proteção contra a inversão de modelos: É importante implementar protecções algorítmicas contra ataques de inversão de modelos que tentam extrair dados de treino dos modelos.
• Verificação da integridade do modelo: Os processos de verificação contínua garantem que os modelos de produção não foram adulterados ou envenenados.

Proteção contra vulnerabilidades específicas da IA

• Defesas contra a injeção rápida: Os sistemas devem incluir vários níveis de proteção contra os ataques de injeção rápida, incluindo a higienização da entrada e a monitorização das tentativas de manipulação do comportamento do modelo.
• Filtragem de resultados: Os sistemas automatizados devem analisar todos os conteúdos gerados pela IA antes da entrega para evitar potenciais fugas de dados ou conteúdos inadequados.
• Deteção de exemplos adversários: A monitorização em tempo real deve identificar potenciais entradas adversárias destinadas a manipular os resultados do modelo.

Conformidade e governação

A segurança completa vai além dos controlos técnicos e inclui a governação e a conformidade:

Alinhamento do quadro jurídico

As plataformas modernas devem ser concebidas para facilitar a conformidade com os principais quadros regulamentares, incluindo:

• RGPD e regulamentos de privacidade regionais
• Requisitos específicos do sector (HIPAA, GLBA, CCPA)
• Controlos SOC 2 de tipo II
• Normas ISO 27001 e ISO 27701

Garantia de segurança

• Avaliação independente regular: Os sistemas devem ser submetidos a testes de penetração regulares efectuados por empresas de segurança independentes.
• Programa Bug Bounty: Um programa público de divulgação de vulnerabilidades pode envolver a comunidade mundial de investigação em matéria de segurança.
• Monitorização contínua da segurança: Um centro de operações de segurança 24 horas por dia, 7 dias por semana, deve monitorizar as potenciais ameaças.

Desempenho sem compromissos

Um equívoco comum é que uma segurança robusta tem necessariamente de degradar o desempenho ou a experiência do utilizador. Uma arquitetura bem concebida demonstra que a segurança e o desempenho podem ser complementares e não contraditórios:

• Aceleração de memória segura: o processamento de IA pode explorar a aceleração de hardware especializado dentro de enclaves protegidos por memória.
• Implementação optimizada da encriptação: a encriptação acelerada por hardware garante que a proteção de dados acrescenta uma latência mínima às operações.
• Arquitetura de cache segura: Os mecanismos inteligentes de cache melhoram o desempenho, mantendo controlos de segurança rigorosos.

Conclusão: A segurança como vantagem competitiva

No panorama da IA SaaS, uma segurança forte não se trata apenas de mitigar o risco, mas é cada vez mais um diferenciador competitivo que permite às organizações avançar mais rapidamente e com maior confiança. A integração da segurança em todos os aspectos de uma plataforma cria um ambiente onde a inovação pode florescer sem comprometer a segurança.

‍

O futuro pertence às organizações que conseguem aproveitar o potencial transformador da IA, gerindo simultaneamente os riscos inerentes. Uma abordagem Zero Trust garante que pode construir este futuro com confiança.