A diferença em um minuto
Perguntar qual é “mais seguro” é colocar a questão de forma inadequada. A pergunta real é: que tipo de acesso queremos proteger, com qual granularidade, para quais usuários e com quais restrições de infraestrutura?
| Aspecto | VPN de acesso remoto | SDP |
|---|---|---|
| Unidade de acesso | A rede | O aplicativo ou serviço |
| Alcance após a autenticação | Amplo, rede interna | Somente o recurso autorizado |
| Verificação das condições do dispositivo | Limitada | Identidade, contexto e dispositivo |
| Exposição | Portas públicas detectáveis | Recursos não expostos antes da autorização |
A questão vai além da criptografia: a VPN também criptografa. A questão é o alcance real do acesso.
SDP, ZTNA e SASE: o que esses termos significam
Confundi-los impede comparar as soluções de forma adequada. Zero Trust é um conjunto de princípios, NIST SP 800-207: nunca presumir confiança, sempre verificar. É uma postura, não um produto. SDP é um dos modelos históricos que os implementam: conceito associado aos trabalhos da DISA e depois formalizado pela Cloud Security Alliance, especificação SDP v1.0 em 2014. É o vocabulário de arquitetura. ZTNA , Zero Trust Network Access, é o vocabulário de mercado: frequentemente abrange SDP, mas pode incluir abordagens de proxy reverso que não seguem estritamente a arquitetura SDP da CSA. SASE é uma estrutura mais ampla que combina rede, SD-WAN, e segurança, ZTNA, CASB, SWG e FWaaS. ZTNA/SDP é um componente dela, não seu equivalente. Veja detalhes em o que é SASE.
VPN empresarial: o que faz bem e o que expõe
A VPN de acesso remoto não é um produto de anonimato: sua função é estender um acesso seguro à rede por uma rede pública. NIST SP 800-215 descreve essa função como extensão da segurança de perímetro por um túnel. Para acessos gerais, ambientes estáveis e dispositivos controlados, continua sendo uma resposta sólida.
O que expõe: o túnel costuma ser estabelecido antes dos controles mais granulares. Uma identidade comprometida pode dar ao invasor um alcance de rede maior do que o necessário. O controle passa então a depender mais de regras estáticas de rede, firewall e ACL, do que de uma política dinâmica de identidade. A escolha dos protocolos também importa: nem todos oferecem o mesmo controle de acesso nativo. Os concentradores escutam em portas públicas detectáveis, uma superfície que precisa ser administrada, não uma fatalidade.
SDP: o que realmente muda
A mudança fundamental não está na criptografia, mas na granularidade do acesso e nas condições do dispositivo antes da conexão. SDP é outro modelo de controle, não uma VPN modernizada. Na arquitetura da CSA, os recursos não ficam expostos à descoberta antes da autenticação: um gateway só expõe os aplicativos explicitamente autorizados. O Single Packet Authorization, SPA faz parte do modelo canônico da CSA, mas nem todas as ofertas ZTNA o utilizam no sentido estrito.
O que muda: se uma identidade for comprometida, o invasor acessa apenas o recurso autorizado para aquela sessão. A movimentação lateral é estruturalmente reduzida, não eliminada. O que não garante: sem um IdP robusto, MFA aplicado e visibilidade dos dispositivos, SDP não forma uma arquitetura sólida. É um controle de acesso, não um programa completo de segurança: não substitui EDR nem SIEM.
Acesso remoto ou conexão entre unidades: compare os mesmos usos
VPN de acesso remoto: conecta um usuário remoto à rede. É nesse caso que SDP/ZTNA faz mais sentido como alternativa ou complemento. VPN entre unidades: conecta duas redes, como escritórios, datacenter ou nuvem privada, no nível de rede, para fluxos amplos e estáveis. SDP não é uma alternativa natural nesse caso. Quando se fala em “SDP vs VPN”, quase sempre se trata de acesso remoto.
O que SDP não substitui automaticamente
- O ecossistema IdP/MFA: SDP melhora o controle de acesso, não a qualidade da base de IAM.
- A gestão dos dispositivos: verificar suas condições pressupõe um MDM ou EDR que forneça essa informação.
- Os acessos técnicos e legados , como servidor a servidor, equipamentos de rede e protocolos industriais: a VPN costuma continuar sendo a solução operacional.
- Os acessos entre unidades: não são cobertos pela maioria das arquiteturas atuais.
- A segurança dos aplicativos: SDP controla quem acessa, não o que acontece dentro do aplicativo. WAF e gestão de segredos continuam necessários. Isso é essencial para os SaaS.
Coexistência: quando manter os dois
A coexistência entre VPN e SDP é frequente e costuma ser uma resposta coerente de arquitetura. O SDP atende aos casos que exigem alta granularidade, como fornecedores externos, recursos críticos e dispositivos não controlados; a VPN cuida dos acessos internos gerais, dos fluxos entre unidades e dos ambientes legados.
| A VPN continua adequada quando… | SDP agrega valor quando… |
|---|---|
| A infraestrutura é principalmente local | Terceiros acessam recursos com frequência |
| Colaboradores internos usam dispositivos controlados | A infraestrutura é distribuída, multicloud ou híbrida |
| Os acessos são amplos e estáveis | Há aplicativos críticos a isolar dos acessos gerais |
| IdP, MFA e MDM ainda não foram implementados | A exposição dos concentradores VPN é um risco ativo |
Veredito
Precisa de acesso remoto geral para colaboradores internos em uma infraestrutura estável e local? A VPN continua sendo uma escolha justificável. Há problemas de granularidade, exposição, acesso de terceiros ou proteção de aplicativos sensíveis em ambiente híbrido ou na nuvem? SDP/ZTNA é mais adequado. Em muitas empresas, a melhor escolha é reservar a VPN para acessos amplos ou legados e introduzir SDP onde a granularidade se torna uma necessidade real, em vez de fazer uma substituição brusca.
Perguntas frequentes
SDP e ZTNA são a mesma coisa? Não exatamente: SDP é o vocabulário de arquitetura da CSA, e ZTNA é o vocabulário de mercado, predominante no Gartner. ZTNA é mais amplo e pode incluir abordagens de proxy reverso fora da arquitetura SDP estrita.
A VPN está obsoleta? Não. Bem configurada, atualizada e combinada com MFA, continua operacional. A pergunta é se atende aos usos atuais, especialmente acesso de terceiros e infraestruturas distribuídas.
SDP substitui o firewall? Não. Controla o acesso aos recursos conforme a identidade, sem substituir a filtragem do tráfego de rede. Os dois são complementares.