Cibersegurança
Infraestrutura de confiança através das fronteiras organizacionais, sem intermediário central
Dentro da sua organização, o Zero Trust sabe face ao que verificar: o seu fornecedor de identidade e o seu inventário de dispositivos. Para além da fronteira com um fornecedor, um prestador de serviços ou uma entidade reguladora, não sabe. A Vereign foi concebida para essa fronteira.
Discuta a confiança entre organizações
A NIS2 exige que as organizações abrangidas protejam a sua cadeia de abastecimento, incluindo as relações com fornecedores diretos e prestadores de serviços, e o Cyber Resilience Act estabelece deveres de segurança para os produtos com elementos digitais ao longo do seu ciclo de vida. Ambos os deveres atravessam fronteiras organizacionais, onde não existe um fornecedor de identidade partilhado face ao qual verificar, a menos que ambas as partes adiram a uma federação. A Vereign constrói infraestrutura de confiança através das fronteiras organizacionais, sem intermediário central: as organizações que verificam face aos Key Event Logs umas das outras verificam elas próprias a identidade e a integridade, e o mesmo modelo estender-se-ia aos agentes de IA e aos dispositivos conectados que atuam em seu nome. O SEAL, o produto de entrega da Vereign, já processa mais de 1.000.000 entregas verificadas por mês no sistema de saúde suíço.
Motores regulatórios
Adoção do Zero Trust
Um inquérito da Gartner publicado em abril de 2024 concluiu que 63 % das organizações tinham implementado total ou parcialmente uma estratégia Zero Trust, a maioria das quais abrange metade do respetivo ambiente ou menos. Para a colaboração através das fronteiras da empresa, a NIST SP 800-207 oferece a federação.
63 % com implementação total ou parcial (Gartner, 2024)
Cyber Resilience Act
Os fabricantes de produtos com elementos digitais têm de cumprir requisitos de segurança, gerir as vulnerabilidades ao longo do período de suporte do produto e comunicar as vulnerabilidades ativamente exploradas. Os importadores e os distribuidores têm de verificar se o fabricante cumpriu estes deveres, pelo que a prova da segurança de um produto passa de uma organização para a seguinte.
As obrigações de comunicação aplicam-se desde 11 de setembro de 2026
Segurança da cadeia de abastecimento NIS2
O artigo 21(2)(d) exige medidas de segurança da cadeia de abastecimento, incluindo a segurança das relações com fornecedores diretos e prestadores de serviços. Os CISO têm de estabelecer confiança em todo o seu ecossistema de fornecedores, para além do seu próprio perímetro.
Artigo 21(2)(d): segurança da cadeia de abastecimento
Visão geral da solução
A confiança entre organizações para a cibersegurança significa que o que atravessa uma fronteira entre organizações transporta prova criptográfica de origem, integridade e autorização, que as contrapartes que verificam face a Key Event Logs podem verificar elas próprias. As mensagens são onde isto funciona hoje, em produção no sistema de saúde suíço. O intercâmbio de dados estruturados, as chamadas API, os agentes de IA e as atestações de dispositivos são casos a que o mesmo modelo se estenderia. A comunicação é um caso de uso. A capacidade primária é a confiança onde as organizações se encontram.
Veja como funciona →O OSSTMM mede a segurança operacional quantitativamente como controlos de segurança, visibilidade, confiança e exposições. Mas todos os outros quadros de teste param no perímetro organizacional. A confiança transfronteiriça entre organizações é uma lacuna que nenhum teste de penetração consegue medir. A confiança em si é algo que nenhum outro quadro consegue medir. No entanto, o DKMS torna essa confiança verificável e testável pela primeira vez — as equipas de segurança podem realmente validar a confiança entre organizações.
Onde isto se estenderia: identidade não humana
As equipas de segurança utilizam cada vez mais o termo identidade não humana (NHI) para serviços, workloads, agentes de IA e dispositivos. A nossa definição: Uma identidade não humana é a identidade de um ator de software ou de hardware: um identificador estável, vinculado à autoridade que o ator detém no momento e à pessoa que responde por ele. As suas credenciais provam essa identidade; não são a identidade.
Responsabilização por conceção
No DKMS, uma NHI seria modelada como um identificador delegado cujo delegante é a organização que responde por ela. As suas rotações precisam da ancoragem dessa organização, e a sua autoridade é expressa como credenciais que remontam à organização. O protocolo subjacente não distingue entre controladores humanos e não humanos.
Entre organizações
Dentro de um único domínio de confiança, os sistemas de identidade de workloads, como o SPIFFE, funcionam bem. As propriedades do DKMS contam quando uma NHI atua em nome de uma organização e outra organização tem de a verificar: identificadores autocertificantes, pré-rotação e cadeias de delegação que um verificador pode conferir sem contactar o emissor.
VERIMESH Agent (roadmap)
O VERIMESH Agent, uma edição em roadmap, daria aos agentes de IA e aos sistemas automatizados identidade de serviço zero-trust com base neste modelo, de modo que uma organização recetora poderia verificar para que organização atua um agente e dentro de que âmbito. Ainda não está disponível e não existe hoje nenhuma API pública orientada para agentes.
Projetos de integração para identidade não humana
As organizações que necessitam de identidade verificável para agentes de IA, serviços automatizados ou dispositivos que atuam para além de fronteiras organizacionais podem definir o respetivo âmbito com a Vereign como projeto de integração. O projeto modelaria cada agente, serviço ou dispositivo como um identificador delegado (DKMS, baseado no protocolo KERI), cujas credenciais são emitidas, e podem ser revogadas, pela organização que responde por ele. O VERIMESH Agent e o VERIMESH Edge são edições em roadmap, ainda não disponíveis, e hoje não existe nenhuma API pública orientada a agentes. Um projeto abrangeria o que a organização necessita: identificadores delegados para os seus agentes, serviços ou dispositivos, as credenciais que indicam o que cada um pode fazer, a revogação dessas credenciais pela organização enquanto emissora e a verificação por contrapartes de outras organizações. Construiria ou configuraria esse percurso de identificadores delegados para a organização; não é uma funcionalidade das atuais implementações de produção da Vereign. Uma colaboração começa com uma conversa de arquitetura, seguida da definição do âmbito e, depois, do próprio projeto.
Solicitar uma revisão de arquitetura técnicaPost-Quantum Ready by Design
A computação quântica não precisa de chegar para representar uma ameaça. Os dados recolhidos hoje sob canais encriptados serão decifráveis quando a capacidade quântica amadurecer. O KERI – a fundação criptográfica da infraestrutura de confiança da Vereign – está arquitetonicamente preparado para a transição pós-quântica, não porque já use algoritmos pós-quânticos, mas porque o seu design torna a transição fluida.
Harvest Now, Decrypt Later
Os adversários estão a recolher dados encriptados hoje para uma futura desencriptação quântica. A NSA, a CISA e o NIST alertam conjuntamente que os dados de alta retenção – registos médicos, transações financeiras, documentos jurídicos – enfrentam janelas de exposição medidas em décadas. A ameaça não é futura. A recolha de dados está a acontecer agora.
Normas NIST finalizadas
As FIPS 203, 204 e 205 foram finalizadas em agosto de 2024, estabelecendo ML-KEM, ML-DSA e SLH-DSA como normas criptográficas pós-quânticas. A janela de migração está agora aberta. As organizações que esperarem pela chegada dos computadores quânticos estarão anos atrás das que preparam a sua infraestrutura criptográfica hoje.
Cripto-agilidade KERI
O mecanismo de pré-rotação e a independência algorítmica do KERI significam que as chaves podem ser rotadas para algoritmos pós-quânticos sem quebrar a cadeia de confiança. Ao contrário dos sistemas baseados em PKI/CA vinculados a pressupostos criptográficos específicos, o KERI permite migração incremental – cada organização atualiza ao seu próprio ritmo sem reestruturação de infraestrutura.
Comprovado em escala
A saúde é infraestrutura crítica. O Verimesh está em produção no sistema de saúde suíço: o gateway e a CA central na HIN estão em plena produção na maior parte da rede HIN, e a migração está na fase final, com a conclusão prevista até ao final do primeiro trimestre de 2027. A arquitetura não é específica da saúde: o mesmo modelo de confiança aplicar-se-ia às atestações de segurança trocadas entre organizações.
1.000.000+
entregas verificadas por mês, em todo o sistema de saúde suíço
Infraestrutura de produção no sistema de saúde suíço. O Verimesh foi concebido para que as contrapartes que verificam face a Key Event Logs se verifiquem mutuamente sem uma autoridade de confiança central. Quando uma contraparte valida apenas X.509, como hoje na HIN, uma autoridade de certificação de ponte estabelece a ligação entre as duas.
Arquitetura de referência
Clique para ampliar
Como colaborar
Trabalhar diretamente com a Vereign
Para organizações que pretendem definir e implementar infraestrutura de confiança com a equipa de engenharia e consultoria da Vereign. Ideal para pioneiros e organizações com capacidade técnica interna.
Explorar serviços →Trabalhar através de um parceiro
Para organizações que preferem trabalhar com uma consultoria já formada na infraestrutura de confiança da Vereign. Os parceiros trazem experiência setorial além de capacidade de implementação.
Ver o programa de parceiros →Infraestrutura de confiança para as organizações com que trabalha, sem intermediário central
Quer seja um CISO a estender um programa Zero Trust a fornecedores e parceiros, ou uma consultoria de segurança a desenvolver uma nova área de prática, podemos definir como a confiança entre organizações se integra na sua pilha existente.