Zero Trust em 2026: da Estratégia à Implementação

Zero Trust deixou de ser apenas uma abordagem emergente de cibersegurança para se tornar uma referência importante na proteção de ambientes digitais cada vez mais distribuídos.

O princípio central permanece: nenhum usuário, dispositivo, aplicação ou serviço deve receber confiança implícita apenas por estar dentro de determinada rede ou pertencer à organização.

O NIST define Zero Trust justamente como uma mudança de uma segurança baseada predominantemente no perímetro para uma abordagem focada em usuários, ativos e recursos, na qual autenticação e autorização são realizadas antes do estabelecimento do acesso.

Em 2026, porém, a discussão avançou.

A questão já não é apenas compreender os princípios de Zero Trust, mas como transformá-los em uma arquitetura capaz de controlar acessos, limitar movimentações indevidas e responder às mudanças de risco ao longo do tempo.

Da Orientação da NSA à Maturidade Zero Trust

Em julho de 2024, a NSA publicou o último documento de uma série dedicada aos sete pilares do framework Zero Trust do Departamento de Defesa dos Estados Unidos.

O relatório abordou especificamente Automação e Orquestração, complementando os outros seis pilares: usuário, dispositivo, aplicação e workload, dados, rede e ambiente, e visibilidade, analytics e resposta. O objetivo da automação é acelerar atividades rotineiras e permitir que os profissionais concentrem esforços na investigação de comportamentos e ameaças mais complexas.

A publicação não encerrou a evolução de Zero Trust. Pelo contrário.

O DoD mantém como objetivo atingir o chamado Target Level Zero Trust até o final do ano fiscal de 2027. Esse nível envolve 91 das 152 atividades previstas em sua estratégia, enquanto organizações e sistemas que exigem níveis maiores de proteção podem avançar para capacidades mais sofisticadas.

Isso reforça uma característica importante:

Zero Trust não é um produto implementado de uma única vez. É uma jornada de maturidade.

O Princípio Continua Sendo: Não Confiar Implicitamente

Um dos conceitos mais conhecidos de Zero Trust é “never trust, always verify”. Na prática, porém, isso não significa simplesmente desconfiar de tudo ou solicitar autenticação continuamente ao usuário.

A mudança é arquitetural.

Uma rede interna, um dispositivo corporativo ou uma localização conhecida não deveriam ser suficientes, isoladamente, para determinar confiança.

O acesso precisa considerar diferentes sinais, como identidade, dispositivo, recurso solicitado, política definida e contexto da solicitação.

O NIST reforça que o foco de uma arquitetura Zero Trust está na proteção dos recursos, e não simplesmente dos segmentos de rede.

Isso reduz a dependência do antigo modelo em que grande parte da proteção estava concentrada na fronteira entre o ambiente considerado “interno” e o ambiente externo.

Identidade Está no Centro da Estratégia

Identidade e acesso continuam sendo componentes fundamentais de Zero Trust.

O próprio DoD identificou a implementação de uma solução federada de Identity, Credential and Access Management (ICAM) como uma das áreas importantes para alcançar seus objetivos de Zero Trust.

Na prática, isso significa fortalecer mecanismos capazes de responder perguntas como:

Quem está solicitando acesso? De qual dispositivo? A qual recurso? Esse acesso é necessário? O contexto ainda permite essa autorização?

Autenticação multifator, gestão de identidades, princípio do menor privilégio e revisão dos direitos de acesso fazem parte dessa arquitetura.

Mas Zero Trust não termina na autenticação.

A identidade precisa estar conectada às políticas que determinam o que cada entidade realmente pode acessar e em quais condições.

Segmentação Continua Importante, mas Não é Suficiente

O texto anterior colocava a segmentação de rede como uma das principais estratégias de Zero Trust. Ela continua relevante, principalmente para limitar movimentação lateral.

Mas a evolução do conceito mostra que Zero Trust não pode ser resumido à criação de segmentos menores.

O NIST SP 800-207A destaca uma mudança da aplicação de controles baseados apenas em parâmetros de rede, como endereços IP e sub-redes, para políticas que também consideram identidades de usuários, aplicações e serviços.

Assim, segmentação e identidade trabalham juntas.

Mesmo dentro de um segmento autorizado, um usuário ou serviço não deveria automaticamente conseguir acessar todos os recursos disponíveis naquele ambiente.

O objetivo é reduzir o espaço disponível para movimentação caso uma identidade, dispositivo ou sistema seja comprometido.

Visibilidade Permite Tomar Decisões de Acesso Melhores

Zero Trust depende de contexto.

Para decidir se determinado acesso deve continuar autorizado, a organização precisa compreender o que está acontecendo no ambiente.

Isso exige telemetria sobre usuários, dispositivos, aplicações, recursos e eventos de segurança.

O NIST destaca que dados de telemetria podem ser utilizados para ajustar direitos de acesso e até exigir níveis adicionais de autenticação conforme mudanças no contexto.

A visibilidade deixa, portanto, de ter apenas uma função investigativa.

Ela passa a alimentar as próprias decisões de segurança.

Um acesso considerado adequado em determinado momento pode exigir uma resposta diferente se surgirem novos sinais de risco.

Automação e Orquestração Transformam Política em Resposta

Esse é justamente o ponto central da orientação final publicada pela NSA.

Quanto maior o ambiente e o volume de interações, menos viável se torna depender exclusivamente de decisões manuais.

A automação permite executar determinadas ações rapidamente diante de eventos previamente definidos, enquanto a orquestração ajuda diferentes tecnologias e processos de segurança a trabalharem de forma coordenada.

A NSA recomenda utilizar automação para tarefas rotineiras justamente para liberar profissionais de segurança para investigar anomalias associadas a técnicas e comportamentos mais avançados.

Mas automação não significa responder indiscriminadamente.

Uma resposta automatizada precisa estar baseada em políticas, contexto e impacto.

Isso se torna especialmente relevante quando Zero Trust é levado para ambientes críticos, nos quais uma decisão de bloqueio pode gerar consequências operacionais.

Zero Trust Já Está Sendo Implementado na Prática

Outro avanço importante desde a publicação original deste artigo ocorreu em junho de 2025.

O NIST publicou o SP 1800-35, Implementing a Zero Trust Architecture, desenvolvido pelo National Cybersecurity Center of Excellence em colaboração com 24 organizações.

O trabalho apresenta 19 exemplos de implementação de Zero Trust, utilizando tecnologias comercialmente disponíveis e diferentes cenários de arquitetura.

Isso ajuda a mudar a discussão de:

“O que é Zero Trust?”

para:

“Como diferentes organizações podem implementar Zero Trust em seus ambientes reais?”

Não existe uma arquitetura única que possa simplesmente ser replicada em qualquer empresa.

Ambiente tecnológico, sistemas legados, modelo de identidade, aplicações, infraestrutura, riscos e objetivos de negócio precisam orientar a estratégia.

E Quando Zero Trust Chega aos Ambientes OT?

Para a Cyrex, existe ainda uma questão importante: aplicar os princípios de Zero Trust a ambientes industriais exige considerar características diferentes das encontradas em TI corporativa.

OT possui requisitos específicos de disponibilidade, segurança física, desempenho, sistemas legados e continuidade operacional.

Isso significa que conceitos como menor privilégio, autenticação, segmentação, visibilidade e controle de acesso continuam relevantes, mas precisam ser adaptados à realidade da operação.

Uma política capaz de bloquear automaticamente um acesso em TI pode exigir outra lógica quando o recurso envolvido participa diretamente de um processo industrial crítico.

Por isso, aplicar Zero Trust em OT não significa simplesmente transportar controles corporativos para dentro da fábrica.

Significa entender quem ou o que precisa acessar determinado recurso, por que esse acesso existe, qual é o mínimo necessário e qual seria o impacto de restringi-lo.

Zero Trust é uma Estratégia de Redução de Risco

Um dos principais equívocos sobre Zero Trust é tratá-lo como uma solução ou tecnologia específica.

Zero Trust é uma arquitetura e uma estratégia de segurança.

Identidade, segmentação, monitoramento, políticas dinâmicas, telemetria, automação e resposta são capacidades que trabalham juntas para reduzir confiança implícita e limitar o impacto de um comprometimento.

O próprio DoD reconhece que sua implementação é um processo contínuo e que novas capacidades deverão ser incorporadas conforme tecnologias e ameaças evoluírem.

Para a Cyrex Security, essa visão é particularmente importante em ambientes críticos, nos quais segurança cibernética precisa caminhar junto com continuidade e segurança operacional.

A questão para as organizações em 2026 já não deveria ser apenas:

“Estamos implementando Zero Trust?”

Mas:

“Quanto ainda dependemos de confiança implícita para acessar aquilo que mantém nossa operação funcionando?”