Implementando o Modelo de Maturidade de Confiança Zero da CISA

Visão Geral

O Modelo de Maturidade de Confiança Zero da CISA (ZTMM) Versão 2.0, lançado em abril de 2023, fornece às agências federais e organizações um roteiro estruturado para a adoção da arquitetura de confiança zero. O modelo define cinco pilares centrais -- Identidade, Dispositivos, Redes, Aplicações e Cargas de Trabalho, e Dados -- cada um progredindo através de quatro estágios de maturidade: Tradicional, Inicial, Avançado e Ótimo. Três capacidades transversais (Visibilidade e Análise, Automação e Orquestração, e Governança) abrangem todos os pilares. Esta habilidade abrange avaliação, análise de lacunas e implementação progressiva em todos os pilares e níveis de maturidade.

Quando Usar

• Ao implantar ou configurar a implementação de capacidades do modelo de maturidade de confiança zero da CISA em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Familiaridade com a Arquitetura de Confiança Zero NIST SP 800-207
• Compreensão dos mandatos federais de cibersegurança (EO 14028, OMB M-22-09)
• Acesso ao inventário de ativos de TI da organização e documentação da arquitetura de rede
• Conhecimento dos fundamentos de gerenciamento de identidade e acesso (IAM)
• Compreensão dos conceitos de segmentação de rede e microssegmentação

Cinco Pilares do ZTMM da CISA

Pilar 1: Identidade

Identidade refere-se a atributos que descrevem unicamente um usuário ou entidade da agência, incluindo entidades não humanas (NPEs) como contas de serviço e identidades de máquinas.

Estágio Tradicional:

• Autenticação baseada em senha
• Validação limitada de identidade
• Provisionamento e desprovisionamento manual

Estágio Inicial:

• MFA implantado para usuários privilegiados
• Governança de identidade iniciada
• Gerenciamento básico do ciclo de vida da identidade

Estágio Avançado:

• MFA resistente a phishing para todos os usuários (FIDO2/WebAuthn)
• Validação contínua de identidade
• Provisionamento automatizado vinculado a sistemas de RH
• Detecção e resposta a ameaças de identidade (ITDR)

Estágio Ótimo:

• Verificação contínua e em tempo real da identidade
• Autenticação sem senha em todos os sistemas
• Detecção de anomalias baseada em IA para comportamentos de identidade
• Integração completa de sinais de identidade em decisões de acesso

Pilar 2: Dispositivos

Dispositivos incluem qualquer ativo de hardware, software ou firmware que se conecta a uma rede -- servidores, laptops, telefones celulares, dispositivos IoT e equipamentos de rede.

Estágio Tradicional:

• Inventário limitado de dispositivos
• Proteção básica de endpoint (antivírus)
• Nenhuma verificação de conformidade de dispositivo

Estágio Inicial:

• Inventário abrangente de dispositivos
• Implantação de Detecção e Resposta de Endpoint (EDR)
• Verificações básicas de integridade do dispositivo antes do acesso à rede

Estágio Avançado:

• Avaliação em tempo real da postura do dispositivo
• Aplicação automatizada de conformidade
• Certificados de dispositivo para identidade de máquina
• Verificação de vulnerabilidade integrada às decisões de acesso

Estágio Ótimo:

• Pontuação contínua de confiança do dispositivo
• Remediação automatizada de dispositivos não conformes
• Gerenciamento completo do ciclo de vida do dispositivo integrado a políticas de confiança zero
• Verificação de integridade do firmware

Pilar 3: Redes

Redes abrangem todos os meios de comunicação, incluindo redes internas, sem fio e a internet.

Estágio Tradicional:

• Segurança baseada em perímetro (firewalls, VPNs)
• Redes internas planas
• Inspeção mínima de tráfego leste-oeste

Estágio Inicial:

• Segmentação inicial da rede
• DNS criptografado e tráfego interno
• Monitoramento e registro básico da rede

Estágio Avançado:

• Microssegmentação de ativos críticos
• Rede definida por software (SDN) para aplicação dinâmica de políticas
• Criptografia TLS completa para todas as comunicações internas
• Detecção e Resposta de Rede (NDR)

Estágio Ótimo:

• Rede totalmente definida por software e orientada por políticas
• Zonas de confiança implícita zero
• Detecção de anomalias de rede baseada em IA
• Resposta automatizada a ameaças integrada a controles de rede

Pilar 4: Aplicações e Cargas de Trabalho

Aplicações e cargas de trabalho incluem sistemas, programas e serviços da agência executados localmente, em dispositivos móveis e em ambientes de nuvem.

Estágio Tradicional:

• Aplicações protegidas por perímetro
• Correção manual de vulnerabilidades
• Registro limitado em nível de aplicação

Estágio Inicial:

• Controles de acesso em nível de aplicação
• Firewalls de Aplicação Web (WAF)
• Verificação regular de vulnerabilidades
• Inventário de aplicações estabelecido

Estágio Avançado:

…