Aplicar o princípio de menor privilégio é um avanço importante. Mas o least privilege ainda parte de uma premissa que carrega risco: a existência de permissões permanentes, mesmo que limitadas. Zero Standing Privileges (ZSP) vai além.

No modelo Zero Standing Privileges, nenhuma identidade mantém privilégios de forma contínua. O acesso é concedido quando necessário, pelo tempo necessário, e revogado automaticamente ao final. Não há privilégio em repouso esperando ser comprometido.

O que é Zero Standing Privileges 

ZSP é o modelo de segurança em que identidades humanas ou não não possuem permissões permanentes em sistemas. Todo acesso é elevado, temporário e contextual: 

• O usuário solicita o acesso necessário para uma tarefa específica 

• O sistema avalia o pedido com base em políticas, contexto e aprovações 

• O acesso é concedido por um período definido ou até a conclusão da tarefa 

• Ao fim do prazo, as permissões são automaticamente revogadas sem intervenção manual 

Em vez de gerenciar quem tem o quê de forma permanente, o Zero Standing Privileges garante que privilégios só existam quando estão em uso.. 

Por que privilégios permanentes são um problema 

Mesmo contas com permissões adequadas e revisadas criam risco quando essas permissões existem de forma contínua: 

• Credenciais comprometidas de uma conta com privilégios permanentes podem ser exploradas a qualquer momento 

• O atacante não precisa de urgência: o acesso está sempre disponível 

• Permissões permanentes acumulam-se ao longo do tempo mesmo com revisões periódicas 

• Service accounts e contas técnicas frequentemente têm standing privileges sem revisão alguma 

ZSP e Just-in-Time Access (JIT) 

O mecanismo operacional do Zero Standing Privileges é o Just-in-Time Access: Acesso concedido sob demanda, no momento certo, com escopo e duração definidos. 

• O JIT pode ser self-service com aprovação automatizada para acessos de baixo risco 

• Acessos de alto risco passam por aprovação humana ou multi-party authorization 

• O contexto do pedido é registrado: quem pediu, por quê, quando e por quanto tempo 

• A revogação automática garante que o acesso não persista além do necessário 

JIT e ZSP não são sinônimos, mas trabalham juntos: o ZSP é o objetivo, o JIT é o mecanismo que o viabiliza. 

ZSP como evolução natural do PAM 

O PAM (Privileged Access Management) tradicional controla e monitora acessos privilegiados existentes. O ZSP elimina a necessidade de acessos privilegiados permanentes: 

• PAM governa quem usa privilégios e como ZSP elimina o privilégio em repouso 

• A combinação dos dois é o padrão mais seguro disponível hoje para contas administrativas 

• Plataformas modernas de PAM já incorporam capacidades de JIT e ZSP como funcionalidade nativa 

Desafios na implementação do ZSP 

O ZSP representa uma mudança de paradigma que traz desafios operacionais reais: 

• Fluxos de aprovação mal desenhados criam atritos que impedem o trabalho 

• Sistemas legados não suportam modelos de acesso dinâmico 

• Processos de resposta a incidentes precisam ser adaptados para ambientes sem acesso permanente 

• A curva de adoção requer treinamento e mudança cultural nas equipes de TI e segurança 

A implementação progressiva começando pelas contas mais críticas é a abordagem mais eficaz para adotar ZSP sem impacto operacional severo. 

ZSP e a superfície de ataque 

O benefício mais direto do ZSP é a redução drástica da superfície de ataque associada a credenciais privilegiadas:

• Credenciais comprometidas de uma conta sem privilégios permanentes não entregam acesso imediato 

• A janela de exploração é limitada ao período de acesso ativo 

• A detecção de anomalias é facilitada: qualquer uso fora do escopo aprovado é, por definição, suspeito 

• O impacto de um incidente é contido pelo escopo e tempo do acesso comprometido 

Para organizações que buscam o próximo nível de maturidade em segurança de identidade, Zero Standing Privileges é o caminho natural após o least privilege.

Confira outros conteúdos que ajudam a fortalecer a estratégia de cibersegurança da sua organização:

• IAM e ESG: A conexão entre identidade, governança e rastreabilidade.
• 7 práticas para gerenciar  acessos de terceiros: Fornecedores, parceiros  e integradoras.
• IAM em Saúde | LGPD, prontuários e o desafio da identidade de pacientes
• Zero Standing Privileges (ZSP): O próximo passo depois  do least privilege 
• IAM para varejo: Gerenciando identidades em alta escala e múltiplos canais.

---