Zero trust ainda importa. Só que isso não é suficiente.

As equipes de segurança estão tendo dificuldade para manter um controle consistente à medida que o crescimento da multinuvem, o aumento das identidades de máquina e a rápida adoção da IA ampliam a complexidade. Configurações fragmentadas, aplicação desigual de políticas e acesso não controlado entre máquinas ampliam a lacuna entre a velocidade dos negócios e a supervisão de segurança.

Ao mesmo tempo, sistemas de IA autorizados e IA invisível introduzem superfícies de tomada de decisão com pouco gerenciamento. Controles fracos ou ausentes continuam sendo o principal ponto de falha, destacando a necessidade de uma abordagem unificada e automatizada para proteger identidades, cargas de trabalho e operações orientadas por IA.

Neste ponto, é justo perguntar: zero trust ainda é relevante para o setor bancário e de serviços financeiros moderno?

Para a IBM, a resposta é clara: zero trust evoluiu de um framework de segurança para um modelo operacional fundamental para empresas regulamentadas e de multinuvem.

Os pilares continuam os mesmos: aplicação consistente, verificação contínua e visibilidade de ponta a ponta, mas as instituições financeiras enfrentam dificuldades não com a estratégia, mas com a execução em escala, a auditabilidade e a comprovação de controle.

À medida que software, serviços e agentes assumem mais responsabilidade, o zero trust precisa evoluir. O privilégio mínimo deve se estender a modelos e agentes, enquanto a premissa de violação deve enfatizar a garantia contínua, não auditorias pontuais. Muitas estratégias falham aqui porque o progresso real depende de controles que possam ser demonstrados, auditados e confiáveis de forma contínua, requisitos que se alinham diretamente às expectativas regulatórias no setor bancário e de serviços financeiros.

Para que o zero trust cumpra sua promessa, ele deve ser executado por meio de uma abordagem unificada e orientada por identidade que torne o comportamento seguro mensurável, aplicável e revisável por padrão. É aqui que a IBM ajuda instituições financeiras a passar de conceitos de política para a realidade operacional.

O zero trust só se torna um obstáculo quando é acrescentado depois. Quando incorporado às decisões de identidade e acesso, o zero trust ajuda a resolver a aceleração dos negócios, ao mesmo tempo que fortalece a auditabilidade e a supervisão executiva. Para bancos e instituições financeiras, isso significa entrega digital mais rápida sem aumentar o risco de supervisão.

Transformar os princípios de zero trust de teoria em operações do dia a dia exige um conjunto de recursos que funcionem em conjunto, não de forma isolada. 

Autenticação e autorização

Identidades humanas

Os usuários transitam constantemente entre plataformas SaaS, sistemas internos, infraestrutura em nuvem e pipelines de desenvolvimento, o que introduz atrito e risco não gerenciado quando não existe uma camada de identidade unificada. Sem uma base de identidade consistente, cada transição se torna uma nova decisão de acesso, uma nova política e uma nova oportunidade de atrito ou risco.

O zero trust resolve isso ao ancorar o acesso humano em uma fonte de identidade unificada. Ao integrar-se a provedores de identidade existentes, como Active Directory, Okta, Ping ou LDAP, bancos e instituições financeiras podem aplicar autenticação multifator (MFA) resistente a phishing, emitir tokens de curta duração e tomar decisões de acesso que se adaptem ao risco, incorporando sinais comportamentais e a postura do dispositivo em tempo real.

À medida que os usuários transitam entre ambientes, a política acompanha esse movimento. Em vez de reautenticar por meio de controles desconectados, o acesso é avaliado de forma consistente, fechando caminhos comuns de movimentação lateral, reduzindo a proliferação de contas e dando às equipes de segurança controle sem desacelerar os desenvolvedores.

Com essa base estabelecida, as identidades são gerenciadas em um só lugar, a MFA é aplicada por padrão, o acesso a ambientes e pipelines é governado por meio de funções claras, e o isolamento e as aprovações acontecem automaticamente em segundo plano, para que a equipe avance mais rápido, enquanto a instituição reduz a exposição.

Identidades de máquina

As identidades de máquina agora superam as identidades humanas em várias ordens de magnitude, criando um risco silencioso e cumulativo quando são mal governadas. Segredos de longa duração, chaves de API não gerenciadas e confiança implícita entre sistemas criam um risco discreto, mas amplo.

O zero trust trata a identidade de máquina como uma superfície de controle de primeira classe, aplicando credenciais de curta duração, rotação automatizada e política como código por padrão. Cargas de trabalho, plataformas, estágios de CI/CD e agentes de IA precisam se autenticar antes de acessar recursos, usando credenciais de curta duração e com escopo definido em vez de segredos estáticos.

Com a política definida como código e aplicada automaticamente, as equipes ganham rastreabilidade de ponta a ponta sem esforço manual. Os logs de auditoria passam a evidenciar adulterações e a conformidade pode ser comprovada continuamente a partir de como o acesso é concedido, dando a bancos e outras instituições financeiras reguladas um registro defensável e de ponta a ponta das decisões de acesso.

Na prática, as credenciais são emitidas e rotacionadas automaticamente, os segredos são obtidos apenas quando necessário, e os certificados TLS são gerenciados de ponta a ponta. Juntos, esses padrões dão aos sistemas uma forma consistente de provar quem são e limitar o que podem acessar.

Acesso

De humano para humano

O acesso tradicional à infraestrutura foi construído em torno da confiança estática na rede, com VPNs, bastion hosts e credenciais permanentes que continuam ativas muito depois de deixarem de ser necessárias. Esses modelos criam atrito para os engenheiros e pontos cegos para as equipes de segurança.

O zero trust substitui esse modelo por autorização baseada em sessão. Em vez de conceder acesso persistente, os engenheiros se autenticam, solicitam um destino específico e recebem um token de autorização de uso único. As credenciais são intermediadas por sessão e revogadas automaticamente quando essa sessão termina.

O resultado reduz permissões permanentes, compartilhamento de senhas e túneis não gerenciados. Os engenheiros podem obter acesso rápido e confiável sem atrasos com tickets, enquanto as equipes de segurança obtêm trilhas de auditoria abrangentes e gravações de sessão quando necessário, atendendo às exigências de auditoria, risco e supervisão sem criar atritos no fluxo de trabalho.

Máquina a máquina

À medida que as aplicações se tornam mais distribuídas, a comunicação entre serviços se transforma em uma das áreas mais difíceis de proteger. Listas de permissões de IP e limites de rede não escalam entre nuvens e ambientes e são frágeis por definição.

O zero trust aplica controles baseados em identidade a cada conexão entre serviços por padrão. Quando os serviços passam a ter identidades, a autenticação e a autorização são aplicadas em cada chamada, permitindo que regras de acesso de privilégio mínimo sejam aplicadas de forma consistente, independentemente de onde um serviço seja executado.

Essa abordagem permite:

• TLS mútuo (mTLS) para fornecer prova criptográfica da identidade do serviço.
• Políticas de tráfego baseadas em identidade que definem centralmente quais serviços podem se comunicar e em quais condições, eliminando exceções por ambiente que causam desvio do zero trust.
• Emissão e renovação automatizadas de certificados, mantendo os sistemas atualizados sem transferências manuais, enquanto o roteamento com reconhecimento de identidade aplica acesso de privilégio mínimo de ponta a ponta.

Proteção de dados e garantia contínua

O zero trust pressupõe violação, um princípio que se alinha diretamente ao gerenciamento moderno de risco bancário e financeiro. A linha final de defesa é o próprio dado.

Ao estender os princípios do zero trust à camada de dados, as organizações vão além de auditorias periódicas para alcançar garantia contínua, aplicando proteções de dados de forma persistente para limitar o raio de impacto mesmo quando identidades são comprometidas.

Isso inclui:

• Criptografia como serviço com controles de acesso granulares.
• Criptografia transparente de dados com suporte de chaves gerenciadas.
• Descoberta e remediação contínuas de segredos vazados ou não gerenciados em repositórios, imagens e pipelines.
• Verificação contínua de conformidade usando política como código para detectar desvios com antecedência e acionar remediação em circuito fechado.

O resultado é uma postura de segurança em que a conformidade deixa de ser uma iniciativa separada, ela passa a ser um resultado mensurável de como o acesso e a proteção de dados são aplicados todos os dias.

Bancos e instituições financeiras que passam de um modelo de zero trust baseado em perímetro para uma abordagem moderna baseada em identidade para pessoas, máquinas e cargas de trabalho de IA (em todos os ambientes) relatam melhorias operacionais mensuráveis, além de uma segurança mais forte:

• Organizações que usam controles orientados por IA e automação reduzem os custos de violação em uma média de USD 1,9 milhão.²
• A IA e a automação também reduzem o tempo de contenção em 80 dias em comparação com organizações que não as usam.²
• As equipes internas de segurança agora detectam 50% das violações (em comparação com 42% no acumulado do ano anterior).²
• A identificação mais cedo reduz o custo em comparação com divulgações feitas por invasores.²

Esses resultados não são acidentais. Eles são o resultado de tratar o zero trust como um modelo operacional. A automação elimina o atrito manual do gerenciamento de credenciais. Uma política unificada substitui controles frágeis e pontuais em todas as nuvens. E uma postura orientada por identidade, alinhada aos requisitos regulatórios, de auditoria interna e de governança de IA, permite que a segurança avance no ritmo dos negócios, em vez de desacelerá-los.

O setor concorda: o zero trust é a estratégia certa e agora é o padrão³. As instituições que estão à frente tratam isso como uma disciplina operacional, não como um destino. Quando a segurança é incorporada à forma como o acesso é concedido, verificado e revisado por padrão, as equipes avançam mais rápido, as auditorias se tornam mais simples e a confiança passa a ser demonstrável.