Zero Trust na prática: um guia para empresas brasileiras

Zero Trust não é um produto que você compra, é uma estratégia de segurança baseada no princípio de que nenhuma entidade (usuário, dispositivo ou rede) deve ser confiada automaticamente, independente de estar dentro ou fora do perímetro corporativo.

Para PMEs brasileiras que operam com times remotos e dados em nuvem, implementar Zero Trust deixou de ser opcional. Em 2026, 91% das violações de dados corporativos no Brasil começaram com credenciais comprometidas ou dispositivos não gerenciados, dois problemas que o Zero Trust ataca diretamente.

O que é Zero Trust

O modelo tradicional de segurança assumia que tudo dentro da rede corporativa era confiável. Zero Trust inverte essa lógica: nunca confie, sempre verifique. Cada requisição de acesso é avaliada em tempo real, independente de origem.

Os 3 princípios do Zero Trust

• Verificar explicitamente: autentique e autorize sempre, com base em todos os pontos de dados disponíveis, identidade, localização, dispositivo, serviço e comportamento.
• Usar acesso de menor privilégio: limite o acesso do usuário com JIT (Just-in-Time) e JEA (Just-Enough-Access), com políticas adaptativas baseadas em risco.
• Assumir violação: minimize o raio de impacto, segmente o acesso e verifique criptografia end-to-end. Use analytics para detectar ameaças e melhorar defesas continuamente.

Comece pela identidade: Entra ID

O Microsoft Entra ID (antigo Azure AD) é o ponto de partida de qualquer implementação Zero Trust. As configurações essenciais são:

• MFA obrigatório para todos os usuários, preferencialmente com Microsoft Authenticator (phishing-resistant)
• SSPR (Self-Service Password Reset), reduz chamados ao helpdesk e acelera o processo
• Identity Protection, detecta sign-ins de risco e bloqueia automaticamente com base em machine learning
• Named Locations, defina localizações confiáveis para aplicar políticas diferenciadas

Conditional Access: o cérebro do Zero Trust

O Conditional Access é o mecanismo que avalia cada tentativa de acesso e aplica as políticas corretas. As políticas essenciais para PMEs são:

• Require MFA for all users: MFA obrigatório para qualquer acesso ao Microsoft 365
• Block legacy authentication: bloqueia protocolos antigos (IMAP, SMTP básico) que não suportam MFA
• Require compliant device: somente dispositivos gerenciados pelo Intune acessam dados corporativos
• Sign-in risk policy: bloqueia ou exige MFA adicional quando o risco de sign-in é elevado

Dispositivos e endpoints: Microsoft Intune

Com times em home office e BYOD, dispositivos não gerenciados são a segunda maior superfície de ataque. O Microsoft Intune permite:

• Configurar compliance policies (PIN, criptografia, versão mínima de SO)
• Aplicar configurações de segurança remotamente via MDM
• Apagar seletivamente dados corporativos de dispositivos pessoais sem afetar dados pessoais
• Integrar com Conditional Access para bloquear dispositivos não-conformes

Roadmap de implementação em 4 fases

1. Fase 1, Identidade (semanas 1 a 2): Entra ID configurado, MFA obrigatório, SSPR habilitado, legacy auth bloqueado.
2. Fase 2, Dispositivos (semanas 3 a 4): Intune enrollment, compliance policies, integração com Conditional Access.
3. Fase 3, Dados (semanas 5 a 6): Sensitivity Labels, DLP policies, Microsoft Purview configurado.
4. Fase 4, Monitoramento (contínuo): Microsoft Sentinel ou Defender XDR para detecção e resposta a ameaças.