Acesso por identidade e contexto, sem VPN e sem porta aberta.
Acesso por identidade na frente de cada aplicação interna, túnel de saída para não expor a origem, filtragem de DNS e HTTP de saída, prevenção de perda de dados (DLP) e controle de uso de SaaS (CASB). Migração gradual, aplicação por aplicação.
A VPN sai de operação aplicação por aplicação.
Desligar a VPN de uma só vez é uma causa comum de falha em projetos de acesso. A migração começa pelo wiki interno e passa pelo ERP. O acesso crítico só migra depois que as três primeiras semanas validam a política. Cada aplicação migrada soma pontos no pilar de acesso.
Ordem de migração · quatro semanas
Empresa de demonstração · dados ilustrativos · +18 pts em quatro semanas
| Item | Mudança | Pontos |
|---|---|---|
| Semana 1 | VPN→Túnel + ZTNA na intranet e no wiki | +5 |
| Semana 2 | VPN→ERP e painéis por grupo do IdP | +4 |
| Semana 3 | DNS aberto→Filtragem DNS/HTTP com agente no endpoint | +3 |
| Semana 4 | VPN→desligada · DLP em SaaS | +6 |
O que está incluído.
Acesso por identidade (ZTNA)
Políticas por identidade, grupo, dispositivo e país. Integração com o IdP existente (Entra ID, Google, Okta).
Túneis
Conector de saída em cada rede; nenhuma porta de entrada aberta. Alta disponibilidade com réplicas.
Gateway seguro (SWG)
Filtragem DNS e HTTP de saída por categoria e risco, com agente nos endpoints e logs retidos.
DLP e CASB
Perfis de dados sensíveis (CPF, cartão), varredura de SaaS conectado, alerta de compartilhamento público.
Contingência do IdP
Segundo provedor de identidade ou PIN por e-mail como fallback documentado. Testado na implantação.
Relatório mensal
Aplicações protegidas, políticas alteradas, acessos negados por motivo, incidentes de DLP.
A resposta é medida pela contenção, não pela detecção.
A detecção, sozinha, não altera o resultado. O resultado depende da primeira ação após o alerta. A janela de atendimento e os tempos por severidade são definidos em contrato, conforme o tamanho do ambiente.
| Severidade | O que acontece primeiro |
|---|---|
| Crítico | Contenção antes da análise, com modo sob ataque ou regra de bloqueio. Em seguida, comunicação e post-mortem. |
| Alto | Análise e regra em modo log, com comunicação no canal acordado dentro do mesmo dia. |
| Médio | Entra na fila priorizada da semana, com prazo informado ao cliente. |