ZTNA: por que substituir a VPN tradicional da sua empresa

O que é ZTNA e por que o tema chegou às PMEs

ZTNA é a sigla de Zero Trust Network Access, um modelo de acesso remoto baseado no princípio da confiança zero. Ninguém recebe acesso só por estar "dentro" da rede ou por ter digitado a senha certa uma vez. Cada pedido de acesso é avaliado separadamente: o sistema verifica quem é a pessoa, qual equipamento ela usa, se esse equipamento está atualizado e protegido e de onde vem a conexão. Se tudo estiver de acordo, o usuário é ligado apenas à aplicação de que precisa, e não à rede inteira.

Por muitos anos, a VPN foi a resposta padrão para o acesso remoto. Ela funcionava bem quando poucos colaboradores trabalhavam fora do escritório e quase todos os sistemas ficavam em um servidor local. Esse cenário mudou. O trabalho híbrido se consolidou e boa parte das aplicações foi para a nuvem. Além disso, prestadores de serviço, contadores e parceiros passaram a precisar de acesso pontual a sistemas internos. A VPN continua funcionando, mas foi pensada para outra realidade.

Por isso, o ZTNA deixou de ser assunto só de grandes empresas. Hoje existem soluções contratadas como serviço, cobradas por usuário e integradas a plataformas que a pequena e média empresa já usa, como o Microsoft 365. Para uma PME, trocar a VPN não exige mais um projeto pesado de infraestrutura. Virou uma decisão de segurança e de gestão.

Onde a VPN tradicional deixa a empresa exposta

O problema central da VPN está na forma como ela confia no usuário. Depois do login, o colaborador geralmente recebe um endereço dentro da rede da empresa e passa a "enxergar" servidores, impressoras, pastas compartilhadas e outros equipamentos. Se a senha dele for roubada, ou se o notebook estiver infectado, o atacante ganha o mesmo alcance. Esse avanço de um equipamento para outro dentro da rede é chamado de movimento lateral e é uma etapa comum em ataques de ransomware.

Além disso, o próprio equipamento de VPN virou um alvo preferencial. Ele fica exposto à internet e aceita conexões de qualquer lugar, então qualquer falha no seu software vira uma porta de entrada. Em janeiro de 2024, falhas em equipamentos de VPN da Ivanti foram exploradas em larga escala. A situação foi tão grave que a CISA, agência de cibersegurança dos Estados Unidos, emitiu uma diretiva de emergência para os órgãos federais. Outros fabricantes conhecidos já passaram por casos parecidos.

No dia a dia de uma PME, os problemas mais comuns costumam ser estes:

• Acesso amplo demais: o estagiário que só usa o ERP consegue, na prática, chegar ao servidor de arquivos da diretoria.
• Senha como única barreira: muitas VPNs ainda funcionam sem autenticação multifator (MFA) ou aplicam o MFA só para parte dos usuários.
• Equipamento desatualizado: o firewall ou servidor de VPN fica meses sem correções, porque atualizar exige parar o serviço por um tempo.
• Nenhuma verificação do computador: o computador pessoal do colaborador, sem antivírus e com sistema antigo, conecta normalmente.
• Contas esquecidas: ex-funcionários e antigos prestadores continuam com acesso porque ninguém revisou a lista.
• Experiência ruim: lentidão, quedas e todo o tráfego passando pela matriz, inclusive o que deveria ir direto para a nuvem.

Nenhum desses problemas é exclusivo de empresas grandes. Pelo contrário: em empresas menores, a falta de uma equipe de TI dedicada faz esses detalhes ficarem sem revisão por mais tempo.

Como o ZTNA funciona na prática

O ZTNA faz o caminho inverso da VPN. A VPN conecta o usuário à rede e depois tenta limitar o que ele faz. No ZTNA, o usuário não enxerga nada até que uma regra diga exatamente o que ele pode acessar. As aplicações internas deixam de ficar expostas na internet. Quem faz a ligação é um conector instalado dentro da rede, que abre conexões de saída até o serviço de ZTNA. Para quem está de fora e não tem autorização, os sistemas simplesmente não aparecem.

Um acesso típico acontece assim:

1. O colaborador abre o aplicativo ou o navegador e tenta entrar em um sistema interno, como o ERP.
2. O serviço de ZTNA pede o login no sistema de identidade da empresa (por exemplo, o Microsoft Entra ID), com autenticação multifator.
3. A regra de acesso confere o contexto: usuário, grupo, se o equipamento é da empresa, se o sistema está atualizado, a localização e o nível de risco daquele login.
4. Se as condições forem atendidas, o serviço abre um túnel só para aquela aplicação, e não para a rede inteira.
5. A sessão continua sendo avaliada. Se o risco mudar, como em um login suspeito, o acesso pode ser cortado.

Na VPN, a pergunta é "esta pessoa pode entrar na rede?". No ZTNA, a pergunta é "esta pessoa, neste equipamento, agora, pode usar esta aplicação?", e ela é feita a cada acesso.

Esse modelo segue os princípios da publicação SP 800-207 do NIST, referência internacional sobre arquitetura de confiança zero. No mercado, há opções como Microsoft Entra Private Access, Zscaler Private Access, Cloudflare Access e recursos incluídos em firewalls de nova geração. A melhor escolha depende do ambiente que a empresa já tem, principalmente do sistema de identidade que ela usa.

Benefícios concretos de substituir a VPN

O primeiro ganho é que a empresa fica menos exposta a ataques. As aplicações não ficam publicadas na internet e o acesso é liberado aplicação por aplicação. Assim, uma senha roubada dá ao atacante muito menos alcance. Mesmo que alguém entre com a conta de um colaborador, só verá os sistemas que aquela conta já podia usar. E, se o equipamento não for reconhecido, não verá nem isso.

O segundo ganho é o controle. Com o ZTNA, os acessos passam a ser gerenciados por grupos e regras ligados à conta de cada pessoa. Quando um colaborador sai da empresa e a conta dele é desativada, todos os acessos remotos caem junto. Quando um prestador de serviço precisa entrar em um único sistema por duas semanas, é possível liberar exatamente isso, com prazo definido. Tudo fica registrado, o que facilita auditorias e a adequação à LGPD. A lei exige medidas técnicas e administrativas para proteger dados pessoais.

Também há ganhos no dia a dia que costumam ser subestimados:

• Menos equipamento para manter: parte do serviço roda na nuvem, então a empresa depende menos de um servidor de VPN que precisa ser atualizado e dimensionado.
• Mais velocidade: o tráfego para aplicações na nuvem não precisa passar pela matriz, e o acesso aos sistemas internos segue o caminho mais curto.
• Uso mais simples: muitas vezes o usuário nem percebe a conexão, porque o acesso acontece sozinho depois do login.
• Crescimento sem compra de equipamento: incluir uma filial, um colaborador ou uma aplicação nova é questão de configurar uma regra.

O ZTNA não resolve tudo sozinho. Ele depende de uma boa gestão das contas de usuário e dos equipamentos. Se as contas tiverem senhas fracas e não usarem MFA, ou se os computadores não forem gerenciados, a proteção perde boa parte da força. Por isso, o projeto de ZTNA costuma incluir uma revisão desses pontos básicos.

Como migrar da VPN para o ZTNA sem parar a operação

A troca não precisa acontecer de uma vez. Na maioria das PMEs, o caminho mais seguro é fazer a migração por etapas. A VPN continua ligada para um grupo cada vez menor de usuários até poder ser desligada. Assim, dá para testar cada aplicação e ajustar as regras sem atrapalhar o trabalho de ninguém.

1. Levantamento: listar quais aplicações são usadas de fora do escritório, por quem e com que frequência. É comum descobrir acessos que ninguém usa mais.
2. Proteção das contas: garantir MFA para todos, revisar contas inativas e organizar os usuários em grupos de acordo com a função real de cada um.
3. Gestão dos equipamentos: cadastrar os computadores da empresa em uma ferramenta de gestão, como o Microsoft Intune, para que as regras possam exigir um equipamento confiável.
4. Teste piloto: começar com uma aplicação e um grupo pequeno de usuários, avaliar a experiência e corrigir o que for preciso.
5. Ampliação gradual: migrar as demais aplicações, das mais importantes para as menos, liberando para cada pessoa só o acesso de que ela precisa.
6. Desligamento da VPN: quando nenhum acesso depender mais dela, encerrar o serviço e fechar as portas abertas no firewall.

Alguns casos pedem atenção especial: sistemas antigos que dependem de protocolos ultrapassados, o acesso da equipe de TI aos servidores para administração e as conexões fixas entre filiais. Nessas situações, o ZTNA pode conviver com outras soluções por um tempo. O planejamento precisa prever essas exceções desde o início para que elas não virem a nova brecha.

Um bom sinal de que o projeto deu certo é simples: no final, nenhum sistema interno da empresa deve ficar acessível pela internet sem passar por login, MFA e verificação do equipamento.

Como a Duk ajuda sua empresa a adotar o ZTNA

A Duk Informática & Cloud tem mais de 18 anos de atuação em infraestrutura e segurança e mais de 550 clientes atendidos. Como Microsoft Gold Partner, tem experiência prática com as ferramentas de identidade e segurança da Microsoft: Entra ID, acesso condicional, Intune e Entra Private Access. Muitas PMEs já têm parte dessas licenças no Microsoft 365 e não aproveitam tudo o que elas oferecem.

O trabalho começa por um diagnóstico do ambiente atual: quem acessa o quê, como a VPN está configurada e quais contas e equipamentos estão em risco. A partir daí, a Duk monta o plano de migração por etapas, instala os conectores, configura as regras de acesso e acompanha os usuários durante a transição. Aplicações hospedadas no data center próprio da Duk em Alphaville também podem entrar no mesmo modelo, com suporte 24/7 e SLA definido.

Se sua empresa ainda depende de uma VPN aberta para a internet, com a senha como principal barreira, vale avaliar a mudança com calma e com base em dados. Converse com a equipe da Duk para descobrir, a partir do seu ambiente real, quais aplicações podem migrar primeiro e como diminuir a exposição sem interromper a operação. Contar com um parceiro de TI nessa etapa faz a diferença entre apenas trocar de tecnologia e realmente ficar mais seguro.