A migração de VPN para ZTNA (Zero Trust Network Access) pode acontecer por aplicação e em etapas. A convivência temporária entre caminhos pode reduzir o risco de mudança quando a arquitetura permite, mas não garante reversão simples nem ausência de interrupção. O plano depende do inventário, das dependências e dos critérios definidos para o ambiente.
Este artigo organiza perguntas de planejamento e exemplos de métricas. Não descreve uma metodologia oficial da NowCy nem uma sequência universal de implantação.
Por que a substituição da VPN trava mesmo quando a decisão já foi tomada?
Zero Trust já aparece na discussão do setor regulado brasileiro. Uma pesquisa da BugHunt, com cerca de 240 empresas de tecnologia, registrou aumento na declaração de investimento em segurança entre 2021 e 2026. O recorte não permite concluir que a decisão de migrar VPN já esteja tomada em outras populações.
O cutover pode concentrar risco quando a VPN sustenta home office, terceiros, fornecedores, filiais e sistemas legados. Desligar o túnel sem mapear dependências pode afetar a operação; a complexidade e o calendário variam por ambiente.
Quando a arquitetura permite, VPN e ZTNA podem conviver durante parte da migração. Essa abordagem pode distribuir o risco, desde que cada mudança tenha validação, responsáveis e plano de contingência adequados.
O que muda tecnicamente quando o ZTNA entra no lugar da VPN?
Uma VPN pode conceder acesso a uma faixa de rede mais ampla que a necessidade de uma aplicação, conforme suas regras e segmentação. O alcance real depende da topologia, das políticas e dos demais controles do ambiente.
ZTNA pode publicar aplicações individualmente e aplicar decisões baseadas em identidade, dispositivo e contexto, conforme a solução. Esse desenho pode restringir o alcance em comparação com acessos amplos de rede, mas o resultado depende da implementação e das exceções.
Quando a solução e as aplicações suportam publicação individual, a migração pode ocorrer por grupos enquanto a VPN atende dependências remanescentes. Isso reduz concentração de mudança, sem eliminar o risco de impacto operacional.
Quais frentes podem orientar o planejamento da migração?
As cinco perguntas abaixo organizam a conversa de planejamento: inventário do acesso atual, piloto quando viável, migração por grupos, revisão do acesso amplo e decisão sobre o concentrador. A ordem, os sinais observados e os critérios dependem do diagnóstico. O texto não prescreve uma metodologia universal.
O NowCy Trust Maturity (NTM) calcula a razão entre controles ativos e controles aplicáveis no escopo contratado. Aplicações fora do túnel e regras amplas remanescentes podem ser evidências operacionais, mas este artigo não as declara como controles oficiais ou recorte fixo do índice.
Pergunta 1: o que a VPN realmente alcança hoje?
O denominador vem antes de qualquer publicação. Colete, por um período que represente o ciclo de acesso do ambiente, os destinos observados no túnel: endereço, porta, aplicação, identidade de origem e frequência. Os registros podem revelar sistemas ausentes da documentação e regras sem uso observado, que ainda precisam de validação antes de qualquer mudança.
Sinais a observar: aplicações distintas alcançadas pelo túnel, regras de acesso amplo em vigor e regras sem sessão registrada no período analisado. Antes de avançar: o inventário precisa ter um responsável nomeado por aplicação, e regras sem uso observado ainda exigem validação de dependências antes de qualquer desligamento.
Pergunta 2: um piloto controlado é viável neste ambiente?
Escolha um grupo pequeno de aplicações com população identificável e sem dependência de rede legada complexa. Publique no ZTNA, mantenha o túnel funcionando em paralelo e deixe o usuário com os dois caminhos disponíveis.
Sinais a observar: sessões que já chegam pelo ZTNA, tempo de estabelecimento comparado ao túnel e chamados de acesso durante o piloto. Antes de avançar: uso, falhas, chamados, contingência e risco aceito precisam ser avaliados no próprio ambiente. Manter o túnel não garante que todo usuário preserve acesso.
Pergunta 3: qual população deve mudar primeiro?
A ordem deve considerar criticidade, dependências, população, dispositivos e legado. Não há uma sequência universal entre colaboradores, terceiros, administradores e sistemas antigos.
O acesso de terceiros merece atenção. No estudo IBM Cost of a Data Breach 2025, violações iniciadas por comprometimento de terceiros e da cadeia tiveram custo médio estimado de R$ 8,98 milhões no Brasil. Informações públicas sobre C&M Software e Sinqia destacaram credenciais e fornecedores conectados, sem demonstrar que um desenho específico teria evitado os eventos. Acesso por aplicação, sessão identificada e prazo podem restringir o alcance quando implementados e validados corretamente.
Sinais a observar: população migrada por perfil, tráfego remanescente no túnel e exceções abertas com seus prazos. Antes de avançar: o limite precisa ser acordado para cada grupo a partir das evidências do ambiente.
Pergunta 4: quais acessos amplos podem ser revistos?
Revisar regras amplas pode reduzir exposição quando a mudança é validada. Exceções remanescentes devem ter responsável, justificativa e critérios de revisão definidos conforme a governança da organização.
Sinais a observar: regras de acesso amplo remanescentes, sessões cobertas por exceção com prazo e tempo de vida das exceções. Antes de avançar: a organização define como tratar as regras remanescentes. Exceções sem responsável e critério de revisão podem permanecer além da necessidade que as originou.
Pergunta 5: quando faz sentido considerar o desligamento do túnel?
A retirada do concentrador só deve ocorrer quando dependências, exceções, contingência e risco residual estiverem validados. Em alguns ambientes, acessos legados podem permanecer. O acompanhamento posterior verifica o estado dos controles definidos no escopo.
Sinais a observar: dependências e exceções resolvidas, contingência testada, portas de acesso remoto revistas e exposição residual acompanhada no ciclo seguinte.
Um exemplo ilustrativo: a exceção que ninguém enxergava
O exemplo a seguir é fictício e composto, criado apenas para ilustrar o mecanismo. Não descreve cliente nem resultado real da NowCy. Considere uma instituição financeira de médio porte, com cerca de 900 colaboradores, que tratava a migração de acesso remoto como concluída.
O inventário de acessos, refeito sobre o log real do concentrador, mostrou outra coisa. Um grupo de aplicações legadas migradas anos antes seguia acessível por uma regra ampla criada como exceção temporária durante uma migração de datacenter, ainda ativa, e alcançável por qualquer identidade autenticada no túnel. O controle constava como ativo na documentação e não estava ativo no ambiente.
No exemplo, o responsável por segurança poderia levar à diretoria a quantidade de regras amplas ainda ativas e um plano de validação. Nenhuma aprovação, prazo ou resultado real é atribuído ao cenário.
Quanto tempo leva uma migração de VPN para ZTNA?
O ritmo depende do inventário, das aplicações, das populações, do legado, dos fornecedores e do risco aceito. A sequência e os mecanismos de contingência também variam; não há prazo ou formato universal.
Conduzir a migração com métricas permite mostrar o progresso e as exceções remanescentes. A NowCy pode combinar consultoria e NTM conforme o escopo contratado; este artigo não declara que as cinco frentes sejam uma metodologia de entrega nem promete um modelo operacional específico para todas as contas.
Depois do desligamento, quem mantém o número de pé é a equipe do cliente. É por isso que a etapa de medição contínua anda junto com o treinamento da NowCy Academy: um controle que volta a ser afrouxado por desconhecimento derruba o índice no ciclo seguinte, e a discussão de arquitetura entre pares segue aberta no Zero Trust Experts (ZTE).
Nenhuma arquitetura zera risco. O que muda é a exposição residual passar a ser um número conhecido, medido no seu ambiente, no lugar de uma suposição defendida com a palavra do fornecedor.
Perguntas frequentes
O ZTNA substitui a VPN por completo? Pode substituir parte ou todo o acesso a aplicações, conforme os requisitos e as limitações do ambiente. Protocolos legados, infraestrutura e outras dependências podem exigir caminhos diferentes. O critério de encerramento é definido no projeto.
É possível rodar VPN e ZTNA ao mesmo tempo? Em muitos desenhos, sim. A convivência pode reduzir o risco de uma mudança concentrada, mas não torna a migração automaticamente segura nem garante reversão sem impacto. Dependências e contingência precisam ser testadas.
Por onde começar a migração de VPN para ZTNA? Pelo inventário de acessos, aplicações, identidades e dependências. A escolha de um piloto, quando aplicável, vem depois da análise de criticidade e da capacidade de contingência.
Como saber se a migração de fato reduziu a exposição? Comparando evidências antes e depois das mudanças, dentro do escopo definido. Regras de acesso amplo e tráfego residual podem compor a análise, mas não provam sozinhos redução de exposição nem equivalem a uma auditoria.
Migrar para ZTNA atende à exigência do regulador? Não há equivalência automática. ZTNA pode apoiar controles técnicos, mas o atendimento depende do escopo e do texto aplicável. Para instituições alcançadas pela Resolução CMN 4.893/2021, alterada pela CMN 5.274/2025, a análise deve considerar seus requisitos; grupos sujeitos à regulamentação paralela devem observar a Resolução BCB 85/2021 e a BCB 538/2025 quando pertinentes. A LGPD também exige avaliação própria. A validação cabe a jurídico, compliance e auditoria.