A rede como chave-mestra
O modelo clássico de acesso remoto é simples: quem se liga à rede privada virtual (VPN) entra na rede, e a partir daí pode alcançar quase tudo o que há dentro. Funcionava quando todos os sistemas estavam num escritório. Com sistemas repartidos entre infraestrutura própria e várias clouds, transforma-se num problema: para dar acesso a um servidor há que abrir uma rede inteira, e uma credencial roubada abre tudo.
Acesso por aplicação
A alternativa, conhecida como acesso de confiança zero, muda a pergunta. Em vez de «está dentro da rede?», cada ligação responde:
- Quem é? Identidade corporativa com segundo fator, a mesma de sempre (uma identidade para todas as clouds).
- De que dispositivo? Um equipamento gerido, atualizado e cifrado.
- A que sistema concreto quer chegar, e corresponde-lhe? Segundo o seu papel e a política.
Se tudo bater certo, abre-se uma ligação apenas para esse sistema, cifrada, e fica registada. O utilizador nunca «entra na rede»; a rede não fica exposta à internet.
O que se ganha
- Uma credencial roubada não abre tudo: abre, no máximo, o que essa pessoa tinha permitido, e de um dispositivo que também se verifica.
- Não há portas de administração abertas à internet: a ligação sai de dentro para o intermediário, não ao contrário.
- Cada acesso fica registado, com quem, de onde, a quê e quando.
- Funciona igual para a infraestrutura própria e para cada cloud, que é justamente o caso híbrido.
Uma transição, não uma mudança de uma vez
Começa-se pelos acessos mais delicados (administração de produção, sistemas com dados confidenciais) e pelos terceiros (fornecedores que precisam de entrar em algo concreto). A rede privada tradicional reduz-se a pouco e pouco até ficar, se tanto, para casos muito delimitados.
Proteger bem não evita que algo aconteça. A última parte da série trata do que acontece então, começando pelo que há que deixar registado.
Como o aplicamos: Cibersegurança.