Em outras palavras, estar “dentro” da rede já não basta. Para uma pequena ou média empresa que usa ferramentas SaaS e tem parte da equipe em trabalho remoto, isso não é abstrato. A escolha entre VPN interna ou terceirizada já precisa ser considerada.
Zero Trust, ZTA, ZTNA, SASE e VPN: cada um no seu lugar
É aqui que surge a confusão: cada fornecedor coloca o termo no próprio produto. Vamos esclarecer:
| Termo | Natureza | Definição |
|---|---|---|
| Zero Trust (ZT) | Paradigma | A filosofia de segurança. Não é um produto nem uma tecnologia, conforme NIST e ANSSI francesa. |
| ZTA | Arquitetura | O projeto de infraestrutura que aplica o paradigma, NIST SP 800-207. |
| ZTNA | Tecnologia | Acesso de rede específico, granular e no nível do aplicativo. Pode ser um componente de uma ZTA, mas não é seu sinônimo. |
| SASE | Estrutura | Integra ZTNA aos serviços de rede e segurança entregues pela nuvem. |
| VPN | Mecanismo | Criptografa o tráfego entre um dispositivo e uma rede. Não é Zero Trust por natureza, mas pode coexistir. |
O que realmente muda
O modelo de perímetro lembra um castelo: forte na entrada, pouco protegido por dentro. Um invasor que passa pelo portão, com credenciais roubadas ou phishing, herda as permissões do usuário comprometido e avança lateralmente sem alerta. Zero Trust muda três coisas:
- A posição na rede deixa de valer como garantia. Escritório, túnel ou café no exterior: o que importa é quem solicita, com qual dispositivo, em que contexto e para qual recurso.
- O acesso é granular e temporário , conforme o menor privilégio do NIST: o usuário acessa a ferramenta necessária para a tarefa do momento, não toda a rede. Dá trabalho para implantar, mas é eficaz.
- A verificação não termina na conexão: localização incomum, volume anormal ou recurso fora dos limites autorizados podem levar à reavaliação e interrupção da sessão.
Para pequenas e médias empresas: quatro níveis, não uma revolução
A Cloud Security Alliance recomenda uma evolução por etapas em vez de uma mudança total. Uma pequena ou média empresa com 30 pessoas e sem equipe de segurança não implanta uma ZTA completa em seis meses: afirmar o contrário é discurso de venda.
Nível 1 — Identidade forte
MFA em todos os acessos críticos , como e-mail, ferramentas de negócio, acesso remoto e administração. É a base, a frente com maior retorno e que muitas pequenas e médias empresas ainda não concluíram. Sem ela, o restante é cosmético.
Nível 2 — Menor privilégio
Auditar as permissões, quase sempre excessivas, herdadas, concedidas por conveniência e nunca revisadas. Restringir ao estritamente necessário por função. O esforço inicial é real, e o efeito sobre a superfície de ataque é imediato.
Nível 3 — Condições dos dispositivos
Um usuário autenticado em um dispositivo desatualizado ou comprometido oferece pouca garantia. Antes de autorizar um recurso sensível, verifique os pré-requisitos: sistema operacional atualizado, criptografia ativada e proteção antimalware. Soluções adequadas às pequenas e médias empresas automatizam isso sem equipe dedicada.
Nível 4 — Visibilidade
Zero Trust sem registros é uma contradição. Saber quem acessa o quê, de onde e em qual horário é a condição mínima para detectar uma anomalia e apoiar as obrigações de responsabilização sobre dados pessoais, incluindo as da LGPD no Brasil. Essas quatro ações também valem para as ferramentas SaaS, frequentemente as mais expostas.
NIS2, diretiva europeia. Os princípios Zero Trust coincidem com várias expectativas da NIS2: controle de acessos, gestão de riscos, detecção e resposta. Para uma empresa brasileira, sem presumir uma obrigação jurídica diretamente aplicável, convém enxergar um alinhamento útil com uma referência europeia reconhecida.
O que Zero Trust não é
- Não é um produto. Nenhum fornecedor vende “Zero Trust”, apenas ferramentas que implementam alguns princípios. Esse rótulo em uma oferta não significa nada sem examinar o que ela realmente abrange.
- Não é uma substituição imediata da VPN. Para recursos locais, a VPN continua funcional; a questão SDP e VPN surge no momento da modernização.
- Não é uma certificação. NIST SP 800-207 é uma referência de arquitetura, não uma estrutura de conformidade com auditoria de terceiros.
- Não é exclusivo das grandes empresas. Uma pequena ou média empresa absorve pior um incidente: os primeiros níveis correspondem justamente aos seus recursos e riscos.
Do entendimento à escolha
Esta página define Zero Trust e o que ele implica para uma pequena ou média empresa. Falta escolher a abordagem adequada à sua infraestrutura e ao orçamento: consulte nossa análise das soluções Zero Trust para empresas e de quais protocolos VPN escolher enquanto a VPN fizer parte da arquitetura.
Perguntas frequentes
Uma VPN é Zero Trust? Não. A VPN concede acesso à rede após uma autenticação inicial; Zero Trust exige verificação contínua e acesso mínimo por sessão. ZTNA, às vezes chamado de “VPN Zero Trust”, é uma tecnologia de acesso a aplicativos, possível componente de uma ZTA, não um sinônimo.
Uma pequena ou média empresa pode começar? Sim, por etapas. MFA, revisão das permissões e registros não exigem conhecimento avançado nem um grande orçamento. NIST e CSA recomendam uma abordagem gradual.
A VPN protege contra movimentação lateral? Não diretamente, mas, com segmentação, reduz a superfície e dificulta o avanço de um invasor. É um componente da defesa em profundidade, não uma solução única.