Hospitais paralisados por ransomware, bancos com dados expostos, sistemas judiciários fora do ar. Só no último ano, o Brasil registrou mais de 315 bilhões de tentativas de ataque cibernético em um único semestre, e o custo médio de uma violação de dados no país já alcança R$ 7,19 milhões, segundo o relatório Cost of a Data Breach publicado pela IBM em 2025.

O modelo de segurança que protegeu empresas nas últimas décadas, aquele que confiava em tudo que estivesse dentro da rede, não dá mais conta. Credenciais roubadas abrem portas que firewalls não conseguem fechar, e um único acesso comprometido pode se mover livremente por toda a infraestrutura até atingir os dados mais sensíveis. É diante desse cenário que a arquitetura Zero Trust se impõe como alternativa concreta: empresas com implementação madura gastam até 42% menos por incidente, de acordo com o mesmo estudo.

Ainda assim, apenas 5% das empresas brasileiras atingiram maturidade cibernética plena, conforme o Cisco Cybersecurity Readiness Index de 2025. A distância entre a escala das ameaças e o nível de preparo das organizações transforma o Zero Trust de conceito teórico em necessidade operacional.

O que é Zero Trust e por que o modelo tradicional não funciona mais

Durante décadas, a lógica de segurança corporativa seguiu o modelo “castelo e fosso”: quem está dentro da rede é confiável, quem está fora é ameaça. Bastava proteger o perímetro com firewalls e VPNs para manter o ambiente seguro. Esse modelo fazia sentido quando todos os colaboradores trabalhavam dentro do escritório, acessando servidores locais por redes controladas.

Hoje, com ambientes híbridos, múltiplas nuvens, dispositivos pessoais conectados e APIs interligando dezenas de serviços externos, o conceito de perímetro simplesmente deixou de existir. Um colaborador acessa o CRM pelo celular no aeroporto, um fornecedor se conecta ao ERP por VPN, uma aplicação em nuvem puxa dados de um servidor on-premises, e cada uma dessas conexões é uma porta potencial de entrada.

Foi para resolver esse descompasso que John Kindervag, então analista da Forrester Research, formulou o conceito de Zero Trust em 2010. A ideia parte de uma premissa radical: nenhuma entidade, seja ela um usuário, dispositivo ou aplicação, merece confiança implícita, não importa onde esteja.

Cada requisição de acesso precisa ser autenticada, autorizada e validada com base em múltiplos atributos simultâneos: identidade do solicitante, saúde do dispositivo, geolocalização, classificação dos dados e padrões comportamentais. O NIST SP 800-207, principal referência técnica sobre o tema, define essa abordagem como um conjunto de paradigmas que desloca as defesas de perímetros estáticos para focar em usuários, ativos e recursos.

Na prática, a arquitetura se sustenta em cinco princípios interdependentes. A verificação explícita contínua exige que toda requisição passe por autenticação multifator com base em todos os dados disponíveis. O privilégio mínimo garante que cada usuário ou sistema receba apenas o acesso estritamente necessário para executar uma tarefa específica, e apenas pelo tempo necessário.

A micro segmentação divide a rede em zonas granulares e isoladas, impedindo que um invasor se mova lateralmente caso comprometa um ponto de entrada. O monitoramento contínuo emprega analytics avançados e inteligência artificial para analisar tráfego e comportamento em tempo real. E a presunção de violação parte do princípio de que uma invasão já ocorreu ou é inevitável, desenhando todos os controles para conter e minimizar danos, não apenas para preveni-los.

Os frameworks que orientam a implementação de Zero Trust

Implementar Zero Trust não começa com a compra de ferramentas. Começa com a adoção de frameworks técnicos que estruturam a jornada. O principal deles, o NIST SP 800-207, estabelece a arquitetura lógica em três componentes centrais: o Policy Engine, que reúne dados sobre cada requisição e aplica políticas para aprovar ou negar acesso; o Policy Administrator, que estabelece ou encerra caminhos de comunicação; e o Policy Enforcement Point, que habilita, monitora e encerra conexões entre sujeitos e recursos. Esse modelo é complementado pelo NIST SP 800-207A, que estende a orientação para aplicações cloud-native em ambientes multi-cloud.

Para quem busca um roteiro prático de evolução, o CISA Zero Trust Maturity Model v2.0 organiza a implementação em cinco pilares (Identidade, Dispositivos, Redes, Aplicações e Dados) com quatro níveis de maturidade. No estágio Tradicional, a organização opera com sistemas legados e configuração manual. No Inicial, há alguma automação e coordenação básica entre pilares.

No Avançado, a coordenação entre pilares é efetiva, com visibilidade centralizada e resposta automatizada. E no Ótimo, o ambiente é totalmente automatizado, com políticas dinâmicas, machine learning e interoperabilidade completa. A grande vantagem desses frameworks é que permitem a adoção progressiva: a empresa não precisa implementar tudo de uma vez, mas pode priorizar os pilares de maior impacto e avançar conforme a maturidade aumenta.

Para equipes técnicas brasileiras, esses dois referenciais oferecem o ponto de partida mais robusto disponível. O NIST fornece a base arquitetural, enquanto o CISA traduz a teoria em um caminho mensurável de evolução. A combinação dos dois permite que a organização saiba exatamente onde está e para onde precisa ir, com indicadores claros de progresso em cada pilar.

Zero Trust na prática: SOC, endpoints e segurança de borda

No Security Operations Center, a adoção de Zero Trust muda a postura operacional de reativa para proativa. Plataformas XDR passam a correlacionar dados de endpoints, redes, nuvem, identidade e e-mail numa visão unificada, reduzindo a fadiga de alertas que historicamente sobrecarrega analistas. A integração com SIEM para telemetria, SOAR para automação de playbooks e UEBA para detecção de anomalias comportamentais compõe o arsenal do SOC moderno. O impacto na velocidade de resposta é significativo: segundo o relatório da IBM, empresas que combinam automação e IA em segurança reduziram o ciclo de vida de incidentes em até 100 dias em comparação com organizações que operam sem essas capacidades.

Na proteção de endpoints, cada dispositivo passa a ser tratado como potencialmente comprometido. A postura é verificada continuamente antes e durante o acesso, incluindo patches atualizados, firewall ativo e ausência de malware. Soluções de EDR detectam atividade suspeita, enquanto XDR correlaciona dados entre domínios de segurança. As duas camadas são complementares: Zero Trust restringe a superfície de ataque e impede movimento lateral, EDR/XDR entra em ação quando algo ultrapassa as barreiras.

Na segurança de borda, o ZTNA (Zero Trust Network Access) vem substituindo VPNs tradicionais com acesso baseado em identidade, contexto e por aplicação. Enquanto VPNs concedem acesso amplo à rede após uma autenticação inicial, ZTNA fornece acesso granular com verificação contínua. As vulnerabilidades críticas relacionadas a VPN cresceram mais de 80% nos últimos períodos analisados, o que explica por que a maioria das organizações globais já planeja abandonar essa tecnologia. A convergência com SASE (Secure Access Service Edge), que unifica SD-WAN, SWG, CASB, FWaaS e ZTNA em uma plataforma cloud-native, é hoje a principal tendência arquitetural para empresas com operações distribuídas.

Quem já implementou Zero Trust, e o que ganhou com isso

Uma das maiores empresas de tecnologia do mundo foi pioneira nessa abordagem, eliminando desde 2011 a dependência de VPN para mais de 100.000 funcionários. O acesso passou a ser determinado por identidade e estado do dispositivo, não pela localização na rede. Quando a pandemia forçou o trabalho remoto global, a transição foi instantânea. Outra gigante de tecnologia investiu o equivalente a 34.000 engenheiros em tempo integral por 11 meses em sua iniciativa de segurança, atingindo 99,6% de cobertura de MFA resistente a phishing em funcionários e dispositivos.

No Brasil, grandes organizações do setor financeiro já implementaram MFA com acesso baseado em contexto, incluindo geolocalização e dispositivos confiáveis, e registraram reduções superiores a 60% em incidentes de acesso não autorizado. No setor industrial, empresas adotaram micro-segmentação em plantas conectadas para isolar ambientes de TI e OT. Na saúde, redes hospitalares investiram em visibilidade e controle de dispositivos médicos combinando Zero Trust com IA para detecção de anomalias. E no setor de tecnologia, companhias implantaram monitoramento XDR com políticas de privilégio mínimo em ambientes de desenvolvimento.

Os números reforçam a tese. Um estudo Forrester TEI calculou ROI de 246% em três anos para arquiteturas Zero Trust, com payback em menos de seis meses. Organizações com implementação madura gastam US$ 1,76 milhão a menos por violação. Quando se consideram os R$ 7,19 milhões de custo médio por violação no Brasil, investir em Zero Trust deixa de ser uma questão de segurança para se tornar uma decisão financeira.

Os desafios da adoção no Brasil, e como superá-los

Apesar dos resultados comprovados, a jornada não é simples. O desafio mais crítico é estrutural: o Brasil tem um déficit estimado em 400.000 especialistas em cibersegurança, segundo a ISC², e a maioria das organizações aponta a escassez de talentos como obstáculo prioritário. Essa lacuna não apenas dificulta a implementação como encarece os incidentes. Cada violação custa cerca de R$ 535 mil a mais quando a equipe de segurança está subdimensionada, de acordo com o relatório da IBM.

A maturidade cibernética também é um entrave. Pesquisas setoriais indicam que a maturidade média das empresas brasileiras gira em torno de 58% numa escala de 0 a 100, e quase metade das organizações sequer possui um CISO ou função equivalente. Cerca de 71% dos tomadores de decisão de TI no país ainda não exploraram ou implementaram Zero Trust, e mesmo entre os que conhecem o conceito, a maioria não consegue executar capacidades básicas como autenticação contínua de usuários e dispositivos.

A resistência cultural completa o quadro. Migrar de um modelo que presume confiança dentro do perímetro para um que parte da desconfiança sistemática não é um projeto de TI. É uma mudança de mentalidade que exige comprometimento em todos os níveis da organização. O caminho mais pragmático é começar por onde o impacto é imediato: identidade e MFA como primeiros passos, avançando para micro-segmentação e ZTNA, e integrando IA para automação de políticas conforme a maturidade evolui.

Zero Trust e LGPD: conformidade construída de dentro para fora

A LGPD encontra no Zero Trust um aliado natural. O artigo 46 da lei exige medidas técnicas e administrativas para proteger dados pessoais de acessos não autorizados, exatamente o que a arquitetura entrega por meio de autenticação contínua, controles de acesso contextuais e micro segmentação. O princípio de necessidade, previsto no artigo 6, alinha-se ao privilégio mínimo: usuários acessam apenas o que precisam, pelo tempo que precisam. A micro segmentação isola dados sensíveis em zonas protegidas, atendendo às exigências de prevenção. E os logs detalhados gerados pela arquitetura, registrando quem acessou o quê, quando e como, suportam as obrigações de prestação de contas, facilitando a elaboração de relatórios de impacto e registros de operações de tratamento exigidos pela ANPD.

Por que a hora de agir é agora

O mercado global de Zero Trust já ultrapassa US$ 40 bilhões, com projeções que apontam para algo entre US$ 78 e 92 bilhões até o final da década. No Brasil, os investimentos em cibersegurança devem somar R$ 104,6 bilhões no ciclo 2025-2028, segundo a Brasscom, um crescimento de quase 44% sobre o período anterior. As tendências que dominam o cenário atual convergem para um mesmo ponto: a integração de Zero Trust com IA generativa para scoring de risco em tempo real, a consolidação da identidade como novo perímetro de segurança e a gestão de identidades não humanas, como service accounts, chaves de API e tokens de máquina, que já superam as identidades humanas na proporção de 40 para 1 em muitas organizações.

Com cerca de metade das organizações brasileiras tendo iniciado algum tipo de jornada Zero Trust, mas uma fração mínima atingindo maturidade plena, existe uma janela de vantagem competitiva real para quem acelerar. O Gartner projeta que a maioria dos ciberataques nos próximos anos atingirá áreas não cobertas por controles Zero Trust. A convergência regulatória, com a LGPD exigindo controles que o Zero Trust entrega nativamente, reforça o argumento. Para empresas brasileiras, a questão já não é se devem adotar essa arquitetura, mas com que velocidade conseguem fazê-lo.