Ir para o conteúdo
Por décadas, a VPN foi a solução padrão para conectar colaboradores remotos à rede corporativa. Porém, com a expansão do trabalho híbrido, a migração para a nuvem e o aumento de ataques cibernéticos sofisticados, esse modelo vem mostrando suas limitações.
Assim, o ZTNA (Zero Trust Network Access) ganha espaço como uma alternativa mais moderna e segura de controle de acesso. Sua migração costuma ser progressiva, substituindo a VPN principalmente nos cenários em que ela se mostra mais frágil, como o acesso remoto de usuários a aplicações. Enquanto isso, a VPN ainda pode seguir em uso para conexões site-to-site, protocolos legados e sistemas que não suportam os mesmos padrões utilizados pelo ZTNA.
Saiba o que é cada tecnologia, suas principais diferenças e quando faz sentido adotar uma ou outra!
O que é VPN?
A VPN cria um túnel criptografado entre o dispositivo do usuário e a rede corporativa, permitindo o acesso remoto a sistemas internos como se o colaborador estivesse fisicamente no escritório.
Na prática, a maioria das soluções de VPN concede acesso amplo à infraestrutura, já que segmentar esse acesso de forma granular exige configurações adicionais (VLANs, ACLs, firewalls internos) que muitas empresas não implementam corretamente. Por consequência, se um atacante comprometer as credenciais de um colaborador, ele encontra um caminho facilitado para se mover lateralmente pela rede, alcançando sistemas e dados que não têm relação alguma com a função daquele usuário.
O que é ZTNA?
O ZTNA é um modelo arquitetural de controle de acesso, e não um produto único e padronizado. Ele se baseia no princípio de “nunca confie, sempre verifique”, alinhado às diretrizes de Zero Trust.
Leia também: Zero trust: como proteger sua operação de TI do NOC ao SOC – Belago
Cada fornecedor implementa esse modelo de forma distinta: alguns adotam o acesso iniciado pelo dispositivo (endpoint-initiated), outros o acesso iniciado pelo serviço (service-initiated), com agente instalado ou via navegador. Por isso, o termo SDP (Software-Defined Perimeter) costuma aparecer como um conceito correlato e antecessor do ZTNA.
Diferente da VPN, o ZTNA concede acesso aplicação por aplicação. Para isso, ele avalia continuamente quem é o usuário, qual dispositivo está sendo usado, onde ele está localizado e se atende aos requisitos de segurança que a empresa define.
Além disso, o ZTNA autentica e autoriza cada solicitação de acesso de forma individual. Em muitas implementações, a infraestrutura interna permanece invisível para quem não tem permissão, o que reduz a superfície de ataque: mesmo um invasor com credenciais válidas tem dificuldade para localizar ou alcançar recursos para os quais não possui autorização explícita.
Leia também: Os erros mais comuns no Zero Trust (e como evitá-los) – Belago
Principais diferenças entre ZTNA e VPN
Com os dois conceitos definidos, fica mais fácil comparar como cada tecnologia se comporta nos principais aspectos de segurança e desempenho.
- Modelo de confiança
A VPN confia no usuário após a autenticação inicial e, na maioria dos casos, concede acesso amplo à rede. Já o ZTNA não confia em ninguém por padrão e verifica cada solicitação de acesso.
- Escopo de acesso
Na VPN, o acesso costuma abranger toda a rede. No ZTNA, o acesso é granular e fica limitado a aplicações e recursos específicos.
- Visibilidade da infraestrutura
Com a VPN, a rede interna fica exposta a quem está conectado. Com o ZTNA, em muitas implementações, os recursos permanecem ocultos e só ficam acessíveis mediante autorização específica.
- Movimento lateral
Quando mal segmentada, a VPN facilita o movimento lateral de um atacante em caso de comprometimento de credenciais. O ZTNA, por sua vez, dificulta esse movimento, já que cada acesso é isolado e verificado individualmente.
- Escalabilidade e desempenho
As VPNs tradicionais podem ter gaps de desempenho, sobretudo pelo efeito de hairpinning, quando o tráfego do usuário precisa passar por um datacenter central antes de seguir para a internet ou para a nuvem. O ZTNA tende a reduzir essa latência, pois conecta o usuário de forma mais direta à aplicação. Ainda assim, esse ganho depende da qualidade da implementação: uma solução com poucos pontos de presença ou um broker mal distribuído também pode gerar atrasos.
- Experiência do usuário
A VPN costuma exigir login manual. O ZTNA, em contrapartida, normalmente oferece uma experiência mais fluida.
Quando usar VPN e quando migrar para ZTNA
A VPN é suficiente em cenários específicos, como com poucos usuários remotos, infraestrutura simples e baixo risco em relação à exposição de dados sensíveis. Ela também continua sendo a opção mais comum para conexões site-to-site e sistemas legados que não suportam os protocolos que o ZTNA utiliza.
Por outro lado, o ZTNA se torna recomendado, e em muitos casos essencial, quando a empresa:
- Trabalha com modelo híbrido ou totalmente remoto;
- Utiliza aplicações em múltiplas nuvens ou ambientes híbridos;
- Precisa demonstrar controles de acesso robustos para conformidade com a LGPD e outras normas de proteção de dados;
- Lida com terceiros, fornecedores ou parceiros que precisam de acesso limitado a sistemas específicos;
- Busca reduzir a superfície de ataque e mitigar riscos de movimento lateral.
A LGPD não exige uma tecnologia específica. Ela exige medidas técnicas e administrativas adequadas à proteção de dados pessoais. Então, o ZTNA também é um dos caminhos possíveis para atender a esse princípio, principalmente por reforçar o controle sobre quem acessa cada recurso.
Leia também: Quais são os principais profissionais de cibersegurança? – Ahoy
Benefícios do ZTNA para as empresas
Depois de entender as diferenças entre os dois modelos, conheça os principais ganhos que o ZTNA proporciona quando bem implementado:
- Redução da superfície de ataque: em muitas implementações, os recursos ficam invisíveis até que o acesso seja explicitamente autorizado, o que dificulta o reconhecimento da rede por parte de um atacante.
- Contenção de incidentes: quando as equipes configuram as políticas de acesso de forma granular, o impacto de uma credencial comprometida tende a ficar restrito àquele recurso específico.
- Maior controle e visibilidade: políticas de acesso granulares e monitoramento contínuo de cada sessão.
- Suporte a ambientes híbridos e multicloud: o acesso se baseia na identidade e no contexto, não na localização da rede.
- Melhor experiência do usuário: conexões mais diretas com as aplicações, sem depender de hairpinning.
- Alinhamento com frameworks de segurança modernos: o ZTNA costuma integrar estratégias mais amplas de Zero Trust e, com frequência, faz parte de arquiteturas SASE (Secure Access Service Edge), que combinam ZTNA, SWG, CASB e firewall como serviço em uma abordagem de segurança baseada em nuvem.
Leia também: Autenticação sem senha para empresas: saiba a diferença entre senhas e passwordless – Belago
A VPN cumpre seu papel em determinados cenários. No entanto, os desenvolvedores a projetaram para um mundo em que a rede corporativa tinha um perímetro bem definido. E esse cenário vem mudando.
Para organizações com operações distribuídas, ambientes multicloud ou que lidam com dados sensíveis, avaliar a migração para um modelo de Zero Trust é de suma importância.
Conheça alternativas que fazem sentido para a cibersegurança da sua empresa com nosso serviço de Threat Intelligence. Descubra como antecipar ameaças, identificar vulnerabilidades expostas e proteger sua operação.
Leia também: Quando contratar Threat Intelligence? – Belago
