Sophos ZTNA: a evolução da VPN para o trabalho híbrido

Sophos ZTNA (Zero Trust Network Access) é a solução moderna que substitui a VPN clássica concedendo acesso apenas a aplicações específicas — não à rede inteira — após verificar continuamente identidade do usuário, integridade do dispositivo e contexto de acesso. Desde fevereiro de 2026 é distribuído como parte do Sophos Workspace Protection, bundle que combina ZTNA, Protected Browser, DNS Protection e Email Monitoring. Integrado nativamente ao Synchronized Security, revoga acesso automaticamente quando o Security Heartbeat de um dispositivo vai a Vermelho, impedindo movimentação lateral e protegendo aplicações de credenciais comprometidas.

O que é Zero Trust Network Access e por que substituir a VPN clássica?

A VPN tradicional foi desenhada em um mundo onde “rede corporativa” era um perímetro físico bem definido: dentro do escritório era seguro, fora era inseguro. Bastava criar um túnel cifrado entre o colaborador remoto e o gateway corporativo, e ele passava a operar “como se estivesse na empresa”.

Esse modelo carrega uma falha estrutural grave em 2026: uma vez autenticado, o usuário ganha acesso amplo à rede. Se a credencial for comprometida, ou se o dispositivo do colaborador tiver malware, o atacante herda toda a confiança da VPN. Movimentação lateral, exfiltração e ransomware se espalham livremente.

O Zero Trust Network Access (ZTNA) opera com lógica oposta: “nunca confie, sempre verifique”. Cada conexão é avaliada individualmente, em tempo real, considerando três fatores:

• Identidade do usuário — autenticada via IdP corporativo (Microsoft Entra ID, Okta, Google Workspace) com MFA obrigatório.
• Saúde do dispositivo (device posture) — verificação contínua de antivírus ativo, firmware atualizado, criptografia de disco, ausência de malware.
• Acesso granular à aplicação específica — usuário recebe acesso apenas à aplicação que precisa, naquele momento, com aquele dispositivo. Sem acesso amplo à rede.

Em vez de “o usuário está na rede”, o modelo ZTNA é “o usuário tem acesso àquela aplicação”. A rede, em si, deixa de ter um perímetro fixo. Para entender o contexto completo de proteção do firewall que orquestra essa nova realidade, consulte o guia completo do Firewall Sophos para empresas.

O que mudou em 2026 com o Sophos Workspace Protection?

Em fevereiro de 2026 a Sophos consolidou seu portfólio de proteção para trabalho remoto e híbrido em um único bundle: Sophos Workspace Protection. O Sophos ZTNA, que antes era comercializado como produto standalone, agora é distribuído como um dos componentes desse bundle integrado. Existing customers do ZTNA foram automaticamente migrados para o Workspace Protection sem custo adicional durante a vigência da licença vigente.

O bundle Workspace Protection inclui quatro componentes principais:

• Sophos ZTNA — acesso Zero Trust a aplicações, agentless ou com cliente, com integração nativa ao Synchronized Security Heartbeat.
• Sophos Protected Browser — navegador corporativo hardenizado com Secure Web Gateway integrado, cliente ZTNA RDP/SSH embutido e controles granulares de dados. Útil para acesso de terceiros e dispositivos não gerenciados.
• Sophos DNS Protection for Endpoints — camada adicional de proteção web em todos os apps, portas e protocolos, com visibilidade via DNS over HTTPS.
• Sophos Email Monitoring System (EMS) — overlay para Microsoft 365 ou Google Workspace que monitora tráfego de e-mail e detecta phishing, malware e tráfego indesejado.

O licenciamento é simples e baseado em número de usuários: 100 colaboradores remotos exigem 100 licenças Workspace Protection. Para clientes existentes do Sophos ZTNA standalone, a migração foi automática em 28 de fevereiro de 2026 — na renovação, a cotação passa a ser de Workspace Protection.

Como o Sophos ZTNA funciona na prática?

A arquitetura do Sophos ZTNA é composta por três elementos que conversam continuamente:

1. Sophos ZTNA Gateway

O gateway é o ponto de aplicação das políticas de acesso. Pode ser implantado como appliance virtual em VMware, AWS ou Azure, ou — e este é um diferencial importante para clientes do firewall Sophos — vem embutido em todo Sophos Firewall XGS, sem necessidade de gateway adicional. O gateway suporta clustering (até 9 instâncias) para alta disponibilidade, deployments single-arm e dual-arm, e probe ativo de aplicações para detectar indisponibilidade.

2. Cliente Sophos ZTNA (ou modo agentless)

O cliente é um agente leve para Windows 10, Windows 11 (incluindo ARM) e macOS, que pode ser implantado em um clique junto ao Sophos Intercept X. Para aplicações web (HTTP/HTTPS), o ZTNA também opera em modo agentless — útil para terceiros, fornecedores ou dispositivos não gerenciados que precisam acessar uma aplicação pontual. Aplicações “thick” (SSH, VNC, RDP, TCP/UDP genéricos) exigem o cliente.

3. Sophos Central para orquestração

Toda a gestão de políticas, usuários, dispositivos, integrações com IdP e relatórios é feita pelo Sophos Central. O administrador define quais usuários (ou grupos do AD) têm acesso a quais aplicações, com quais condições de saúde de dispositivo, com qual nível de MFA — tudo orquestrado de forma centralizada. O ZTNA se integra ao Sophos Data Lake para análises com XDR e MDR.

Por que o Sophos ZTNA é diferente de outras soluções Zero Trust?

O mercado de ZTNA em 2026 é competitivo — Zscaler, Cloudflare Access, Cato Networks, Palo Alto Prisma, Fortinet FortiSASE e outros disputam a categoria. O diferencial específico do Sophos é a integração nativa com Synchronized Security e Intercept X, que entrega três vantagens estruturais:

• Device posture em tempo real, não apenas no login — outras soluções avaliam a saúde do dispositivo no momento da autenticação inicial. O Sophos ZTNA recebe o Security Heartbeat continuamente: se o endpoint detecta ransomware às 14h30, o acesso é revogado às 14h30, não na próxima reautenticação.
• Cliente unificado com endpoint protection — o cliente ZTNA Sophos é distribuído junto ao Intercept X, em um agente único. Reduz fricção operacional (uma instalação, uma atualização) e custo de gestão.
• Active Threat Response embutido — quando o Heartbeat vai a Vermelho, o ZTNA Sophos não apenas revoga o acesso àquele dispositivo: ele participa do isolamento coordenado com firewall, switch e access points Sophos, prevenindo movimentação lateral em toda a rede.
• Custo previsível — licenciamento per-user simples, sem cobranças adicionais por gateway, conector ou conexão concorrente. Para PMEs que não querem complexidade de licenciamento de soluções SASE completas, é um diferencial.

Como implantar Sophos ZTNA passo a passo (conceitual)?

A implantação de Sophos ZTNA em uma PME segue uma sequência lógica de seis etapas:

1. Inventário de aplicações a proteger

Mapeie quais aplicações precisam de acesso remoto: ERP interno, CRM on-premise, RDP de servidores, ferramentas customizadas, intranet, sistemas SaaS sensíveis. Para cada uma, defina: quem acessa, de onde acessa, em qual horário, com qual nível de privilégio.

2. Configurar o IdP corporativo

Conecte o Sophos Central ao seu provedor de identidade — Microsoft Entra ID, Okta, Google Workspace. O ZTNA usa o IdP como fonte autoritativa de identidade e MFA. Sem IdP integrado, o ZTNA não tem como verificar identidade de forma confiável.

3. Provisionar o gateway ZTNA

Se a empresa já tem Sophos Firewall XGS, o gateway ZTNA já está embutido — basta ativar via Sophos Central. Caso contrário, faça deploy do gateway como appliance virtual em VMware, AWS ou Azure, próximo às aplicações que serão protegidas. Para alta disponibilidade, configure cluster (até 9 instâncias).

4. Criar políticas de acesso por aplicação

Em Sophos Central, crie políticas que respondam a três perguntas para cada aplicação: quem pode acessar (grupo de usuários do IdP), com qual dispositivo (Windows com Intercept X, Heartbeat Verde, criptografia ativa) e de onde (Brasil, dentro do horário comercial, IP corporativo). Granularidade aqui é diretamente proporcional à segurança.

5. Distribuir o cliente ZTNA via Intercept X

Para usuários gerenciados, distribua o cliente ZTNA junto ao Intercept X via Sophos Central (instalação de um clique). Para terceiros, fornecedores ou dispositivos não gerenciados, use o modo agentless (acesso via Sophos Protected Browser ou navegador padrão para aplicações web).

6. Migrar usuários da VPN em fases

Não desligue a VPN no dia 1. Migre usuários em ondas: comece por um grupo-piloto (TI e diretoria), valide acesso a todas as aplicações críticas, ajuste políticas, treine o time de suporte. Após 30-60 dias de estabilidade, expanda para o resto da empresa. A VPN clássica pode coexistir com o ZTNA durante a transição.

Tabela: VPN clássica vs Sophos ZTNA

Critério	VPN clássica (IPsec/SSL)	Sophos ZTNA
Modelo de confiança	Confiança implícita após autenticação	Zero Trust contínuo (verifica a cada requisição)
Acesso concedido	Rede inteira após login	Apenas à aplicação específica
Movimentação lateral	Possível (atacante herda acesso amplo)	Bloqueada por design (micro-segmentação)
Device posture	Não verifica saúde do dispositivo	Verificação contínua via Security Heartbeat
Resposta a comprometimento	Manual (admin precisa derrubar a sessão)	Automática (Heartbeat Vermelho revoga acesso)
Aplicações expostas	Servidor VPN público na internet	Aplicações invisíveis para o mundo externo
Experiência do usuário	Cliente VPN, login manual, túneis lentos	Transparente (cliente leve ou agentless)
Auditoria por aplicação	Limitada (vê tráfego de rede)	Granular (quem acessou qual app, quando)
Onboarding de terceiros	Provisionamento de VPN complexo	Acesso pontual a aplicação específica
Escalabilidade	Limitada pela capacidade do gateway	Cluster de até 9 gateways + cloud
Modelo de licenciamento	Geralmente incluso no firewall	Per-user (Sophos Workspace Protection)

Quando faz sentido migrar de VPN para ZTNA na sua empresa?

• A empresa tem trabalho híbrido consolidado — colaboradores entram e saem de redes diferentes (casa, escritório, cafés, hotéis), e a VPN clássica não consegue mais oferecer experiência consistente.
• Existe acesso de terceiros a aplicações específicas — fornecedores, consultores, parceiros precisam acessar uma aplicação pontual, e abrir VPN para eles cria risco desnecessário.
• Houve incidente envolvendo credencial comprometida — se um ataque recente passou pela VPN, isso é sinal forte de que o modelo de “confiança implícita” não está sustentando a operação.
• Há requisitos de conformidade modernos — NIS2 e versões recentes de PCI-DSS valorizam micro-segmentação e verificação contínua. ZTNA atende esses controles de forma mais natural que VPN.
• O perfil é BYOD ou dispositivos não gerenciados — ZTNA com agentless é muito superior à VPN para conceder acesso a dispositivos que a empresa não controla totalmente.
• A empresa já usa Sophos Firewall e Intercept X — o gateway ZTNA já está embutido no firewall, o cliente é distribuído junto ao Intercept X, a integração é nativa. O custo marginal de adicionar Workspace Protection é baixo, o ganho de segurança é alto.

Quais riscos comuns evitar na adoção de ZTNA?

• Migrar tudo de uma vez — desligar a VPN antes de validar o ZTNA em todas as aplicações é o caminho mais rápido para uma sexta-feira ruim. Faça transição em ondas com convivência paralela.
• Não mapear aplicações thick — ZTNA brilha em aplicações web. Aplicações legacy via RDP, SSH, ou protocolos proprietários precisam ser identificadas e configuradas no cliente ZTNA com mais cuidado.
• Confiar apenas no agente sem device posture — instalar o cliente sem definir políticas baseadas em saúde do dispositivo entrega só metade do valor. O Security Heartbeat é o que diferencia ZTNA “moderno” de “VPN com nome novo”.
• Ignorar o IdP corporativo — ZTNA sem IdP integrado força você a manter contas de usuário separadas, criando shadow identity e dificultando offboarding. Conecte ao Entra ID, Okta ou Google Workspace logo na fase 1.
• Não treinar o suporte de TI — quando um usuário não consegue acessar uma aplicação via ZTNA, o diagnóstico envolve identidade, dispositivo e política — três camadas. Sem treinamento, o time fica perdido.
• Esquecer da LGPD em logs de aplicação — logs ZTNA registram quem acessou qual aplicação, quando e por quanto tempo. Trate esses dados com a mesma diligência de logs do firewall: retenção definida, acesso restrito, base legal documentada.

FAQ — Sophos ZTNA

Sophos ZTNA substitui completamente a VPN?

Sim, é o caso de uso primário do produto. Para a maioria das empresas, o ZTNA pode assumir todo o acesso remoto a aplicações que hoje passa pela VPN, oferecendo segurança superior e experiência melhor para o usuário. A migração é gradual: VPN e ZTNA convivem durante 30-90 dias, ondas de usuários são migradas, e a VPN clássica é eventualmente descomissionada. Em casos específicos (acesso administrativo de baixo nível à infraestrutura de rede), a VPN ainda pode ser mantida para tarefas pontuais de TI.

O ZTNA Sophos funciona sem endpoints Intercept X?

Sim, o ZTNA Sophos funciona como produto standalone com seu próprio cliente leve, ou em modo agentless para aplicações web. Porém, o maior diferencial — Synchronized Security com Security Heartbeat e Active Threat Response automático — só está disponível quando o ZTNA opera ao lado do Intercept X. Para empresas que querem extrair todo o valor da plataforma, a combinação Firewall + Intercept X + ZTNA gerenciados no mesmo Sophos Central é o cenário ideal.

Quanto custa o Sophos ZTNA (Workspace Protection) por usuário?

Desde fevereiro de 2026, o Sophos ZTNA é distribuído como parte do bundle Sophos Workspace Protection, com licenciamento per-user anual. O preço final depende da região, do volume contratado (faixas de usuários — user bands) e de descontos do canal de parceiros. Para uma cotação precisa para empresas brasileiras, fale com um parceiro Sophos certificado. Vale lembrar que a oferta promocional de “1 ano grátis de Sophos ZTNA para clientes do Sophos Firewall” foi descontinuada com a transição para o Workspace Protection.

ZTNA é a mesma coisa que SASE?

Não, mas estão relacionados. SASE (Secure Access Service Edge) é um framework mais amplo que combina ZTNA com SD-WAN, Secure Web Gateway (SWG), Cloud Access Security Broker (CASB), DLP e Firewall as a Service em uma plataforma única cloud-delivered. O ZTNA é um componente do SASE — o componente de acesso a aplicações. O Sophos Workspace Protection traz ZTNA, Protected Browser (que inclui SWG) e DNS Protection, cobrindo boa parte do escopo SASE para a maioria das PMEs, sem exigir o modelo full SASE de fornecedores como Zscaler ou Cato.

Posso usar ZTNA para acesso de terceiros e fornecedores?

Sim, e este é um dos casos de uso mais valiosos. Para fornecedores que precisam acessar uma aplicação específica (ex: consultor que opera o ERP, suporte do software contábil, integrador externo), o ZTNA permite acesso pontual à aplicação sem dar VPN à rede inteira. Em modo agentless ou via Sophos Protected Browser, terceiros acessam apenas o que precisam, com auditoria completa de cada sessão. O onboarding e offboarding são feitos no Sophos Central, sem provisionamento manual em cada aplicação.

O ZTNA Sophos é compatível com Microsoft Entra ID e Okta?

Sim. O Sophos ZTNA tem integração nativa com os principais provedores de identidade do mercado — Microsoft Entra ID (antigo Azure AD), Okta, Google Workspace e outros via SAML/OIDC. A autenticação acontece no IdP corporativo (com MFA, biometria, conditional access — tudo configurado no IdP), e o ZTNA apenas consome o resultado para autorizar o acesso à aplicação. Isso significa que empresas que já investiram em uma stack de identidade moderna não precisam recriar políticas no Sophos: o IdP continua sendo a fonte autoritativa.

Quando chamar um especialista para implementar ZTNA?

Pilotos de ZTNA com 1-2 aplicações web e até 30 usuários podem ser conduzidos por times internos com bom conhecimento de identidade e rede. Acione um especialista certificado quando:

• A empresa quer migrar 10 ou mais aplicações para acesso ZTNA, exigindo planejamento de políticas, fases de rollout e validação por aplicação.
• Existe necessidade de proteger aplicações thick (RDP, SSH, protocolos proprietários), que demandam configuração do cliente ZTNA e ajustes de roteamento.
• Há integração complexa com IdP, especialmente quando o IdP corporativo é multi-tenant, federado ou com conditional access avançado.
• O ambiente envolve cluster de gateways ZTNA em alta disponibilidade ou deploy distribuído em múltiplas regiões/nuvens.
• Existem requisitos de conformidade documentados (LGPD, ISO 27001, NIS2, PCI-DSS) que exigem evidência formal de políticas Zero Trust implementadas.
• A empresa quer combinar ZTNA com Sophos MDR ou XDR, criando playbooks de resposta automatizada baseada em telemetria de acesso a aplicações.

Pronto para aposentar a VPN clássica e modernizar seu acesso remoto?

A InfoB projeta e implementa Sophos ZTNA (via Sophos Workspace Protection) para empresas brasileiras em transição da VPN tradicional para Zero Trust. Mapeamos as aplicações, integramos ao Microsoft 365 ou Google Workspace, configuramos device posture, migramos usuários em fases e treinamos seu time de suporte. Conheça a plataforma completa no guia completo do Firewall Sophos para empresas.