Zero trust: porque a segurança digital está a mudar na era da inteligência artificial

A segurança digital deixou de poder depender apenas da rede onde estás ligado. Com aplicações na cloud, trabalho remoto, telemóveis pessoais e ferramentas de inteligência artificial, a pergunta já não é “está dentro ou fora da empresa?”. A pergunta certa é: quem está a pedir acesso, a que dados, a partir de que dispositivo e para fazer o quê?

Esta é a lógica do zero trust, ou “confiança zero”: nenhum utilizador, equipamento ou aplicação recebe confiança automática. Cada pedido deve ser verificado e limitado ao estritamente necessário. A Google voltou a colocar o tema em destaque ao apresentar o conceito Beyond Zero, uma evolução do modelo zero trust pensada para os desafios actuais da IA e das organizações.

O que é zero trust, em linguagem simples?

Zero trust não significa desconfiar de todas as pessoas. Significa não assumir que um acesso é seguro só porque vem da rede do escritório, de uma conta conhecida ou de um dispositivo que já foi usado antes. Em vez disso, os sistemas analisam sinais como a identidade, a autenticação, o estado do equipamento, a localização e o tipo de recurso pedido.

Se um colaborador precisa de abrir um documento, por exemplo, deve ter acesso apenas ao documento e apenas durante o tempo necessário. Se tentar descarregar centenas de ficheiros, iniciar sessão num dispositivo desconhecido ou pedir acesso a dados que não usa no dia a dia, o sistema pode pedir validação adicional ou bloquear a acção.

Porque é que a IA torna este tema mais urgente

As ferramentas de IA aceleram tarefas úteis, mas também aumentam a superfície de ataque. Um assistente pode resumir documentos, pesquisar informação interna ou automatizar passos entre aplicações. Quanto mais permissões tiver, maior é o impacto de uma conta comprometida, de uma configuração errada ou de uma instrução maliciosa.

Por isso, a segurança tem de acompanhar a forma como a IA acede a dados. Antes de ligar uma ferramenta a e-mail, ficheiros, calendários ou bases de dados, convém perceber exactamente que permissões pede, quem pode activá-las e como essas permissões podem ser revogadas.

Quatro princípios práticos de confiança zero

1. Confirmar a identidade

Uma palavra-passe já não chega. Activa a autenticação de dois factores sempre que estiver disponível e, de preferência, usa uma aplicação autenticadora ou uma chave de segurança. Isto reduz muito o risco de uma palavra-passe roubada ser suficiente para entrar na conta.

2. Dar apenas o acesso necessário

Evita contas partilhadas e permissões permanentes “por precaução”. Cada pessoa e cada aplicação devem ter só o acesso necessário para a tarefa. Quando um projecto termina, as permissões devem ser revistas.

3. Manter os dispositivos actualizados

Actualizações de sistema, navegador, aplicações e router corrigem vulnerabilidades conhecidas. Um dispositivo sem actualizações é uma porta aberta, mesmo que uses uma boa palavra-passe.

4. Verificar comportamentos estranhos

Alertas de início de sessão, acessos fora do habitual e pedidos inesperados de permissões merecem atenção. Não ignores notificações de segurança: confirma sempre a origem antes de aprovar um acesso.

O que podes fazer hoje, mesmo sem uma empresa

Zero trust também é útil em casa ou para pequenos negócios. Começa por uma auditoria simples às contas mais importantes: e-mail, banco, redes sociais, armazenamento na cloud e lojas online. Remove aplicações que já não utilizas, troca palavras-passe repetidas por palavras-passe únicas e activa a autenticação de dois factores.

• Usa um gestor de palavras-passe para criar credenciais longas e únicas.
• Revê as sessões activas nas contas Google, Microsoft, Apple e redes sociais.
• Não aproves pedidos de login que não iniciaste.
• Actualiza o telemóvel e o computador antes de instalar novas aplicações.
• Lê as permissões de qualquer extensão de navegador ou ferramenta de IA.

Zero trust não é uma solução mágica

Não existe uma definição que elimine todos os riscos. O modelo funciona melhor quando é combinado com formação, cópias de segurança, actualizações e processos claros. A tecnologia pode detectar muitos sinais de risco, mas uma pessoa continua a ter de decidir se uma mensagem suspeita é real ou se uma partilha de ficheiros faz sentido.

A principal vantagem é reduzir o impacto de um erro. Se uma conta for comprometida, permissões limitadas e validações adicionais tornam mais difícil que o atacante chegue a tudo de uma vez.

Perguntas frequentes

Zero trust serve apenas para grandes empresas?

Não. As ferramentas avançadas são mais comuns em organizações, mas os princípios aplicam-se a qualquer pessoa: autenticação de dois factores, permissões mínimas, actualizações e atenção aos alertas.

Uma VPN substitui zero trust?

Não necessariamente. Uma VPN protege a ligação em determinados contextos, mas não decide se a pessoa certa está a pedir o acesso certo. Zero trust é um modelo mais amplo de verificação e controlo de acesso.

Devo ligar uma ferramenta de IA a todos os meus ficheiros?

Não por defeito. Liga apenas as fontes necessárias, confirma as permissões e remove o acesso quando deixa de ser útil. Trata uma integração de IA como tratarias um novo colaborador: dá-lhe apenas o que precisa para trabalhar.

Conclusão

A segurança moderna não depende de construir uma muralha à volta da rede. Depende de verificar continuamente o acesso e limitar o impacto quando algo corre mal. Na era da IA, adoptar esta mentalidade é uma das formas mais práticas de proteger contas, dados e dispositivos.

Fonte: Google Security — Beyond Zero e a evolução do zero trust.