Questão 2937228

José, recentemente contratado como CISO pela Banana Inc, sociedade empresária de médio porte com 500 funcionários, ficou entusiasmado ao ler sobre Arquitetura Zero Trust em uma rede social.

Interpretando literalmente o termo Zero Trust (confiança zero), José concluiu que isso significava não confiar em absolutamente nada nem ninguém. Ele então:

• Bloqueou todas as comunicações entre sistemas internos por padrão, sem exceções;

• Removeu todos os usuários e grupos do Active Directory que tivesse qualquer tipo de permissão;

• Desativou a VPN e o acesso remoto completamente ("não podemos confiar em ninguém fora do escritório");

• Configurou o firewall para negar todo tráfego de entrada e saída;

• Desabilitou certificados digitais da sociedade empresária ("não podemos confiar nem em nós mesmos");

• Bloqueou o acesso administrativo a todos os servidores, incluindo para a própria equipe de TI.

Após essa implementação, a sociedade empresária ficou completamente paralisada: os sistemas não comunicavam entre si, os usuários não conseguiam acessar nenhum recurso, os emails não eram recebidos nem enviados, e a própria equipe de TI ficou impossibilitada de gerenciar a infraestrutura.

A diretoria exigiu correção imediata mantendo princípios de segurança modernos. Para implementar corretamente Arquitetura Zero Trust conforme a NIST SP 800-207, José deveria