A VPN já não chega: como dar acesso remoto seguro à equipa

7 min de leitura · DataRoad

Acesso remoto seguro já não se resolve só com uma VPN e uma palavra-passe. A resposta curta: proteja a VPN que tem com autenticação multifator, limite o que ela alcança e, para a maioria da equipa, troque o acesso à rede inteira por acesso apenas às aplicações de que cada pessoa precisa. E se a sua empresa é pequena e disciplinada, pode não precisar de mais do que isso — explicamos quando.

Muitas empresas montaram o teletrabalho à pressa em 2020: uma VPN na firewall, uma palavra-passe por pessoa, e funcionou. O problema é que continua igual, enquanto os ataques mudaram.

O que a VPN faz bem — e onde deixa de chegar

A VPN cifra a ligação entre o portátil e o escritório. Num café ou num hotel, ninguém consegue ler o que passa. Isso continua a ser útil.

O que a VPN não faz, por si só, é confirmar que quem está do outro lado é mesmo o colaborador, verificar se o computador está atualizado e protegido, ou limitar o que esse computador alcança depois de entrar.

Os quatro riscos reais de uma VPN mal protegida

1. Palavras-passe roubadas. Um email de phishing bem feito chega para obter as credenciais. Sem um segundo fator, a VPN aceita-as como se fossem do colaborador.
2. Computadores pessoais. O portátil de casa, partilhado com a família e sem atualizações, ligado à rede da empresa, traz consigo o que tiver lá dentro.
3. Deslocação dentro da rede. Uma vez lá dentro, o atacante procura o servidor de ficheiros, o software de gestão e — sobretudo — os backups. Numa rede “plana”, sem divisões, nada o impede.
4. O próprio equipamento de VPN. Está virado para a internet e é procurado automaticamente quando surge uma falha. Já em 2025 a Verizon destacava os ataques dirigidos a equipamentos de perímetro e de VPN; em 2026, a exploração de falhas de software passou a ser a via de entrada mais comum, com 31% das violações analisadas. Um equipamento de VPN por atualizar é uma porta de entrada pronta a usar.

Quando uma VPN com MFA ainda chega

Não vendemos complexidade a quem não precisa. Para muitas PME, uma VPN bem configurada continua a ser uma resposta sólida. Chega se conseguir responder “sim” a todas estas perguntas:

• Todos os acessos à VPN pedem um segundo fator (aplicação no telemóvel), sem exceções?
• Só equipamentos da empresa, geridos e atualizados, se ligam à VPN?
• Cada grupo de utilizadores só alcança o que precisa (por exemplo, a contabilidade só chega ao software de gestão)?
• A firewall e o portal de VPN recebem as correções de segurança em dias, não em meses?
• Há registo de quem se ligou, quando e de onde — e alguém olha para esses registos?
• Nenhum fornecedor tem acesso permanente?

Se a resposta é sim a tudo, a sua VPN está a fazer o trabalho. Se falha em duas ou mais, o problema não é a VPN — é a forma como está montada.

Quando passar para acesso por aplicação

O plano em quatro passos, por esta ordem

1. Segundo fator na VPN, já

É o passo com maior retorno e menor custo. A maioria das firewalls empresariais suporta autenticação multifator, muitas vezes integrada com o Microsoft 365. Explicamos as opções no guia de autenticação multifator para empresas.

2. Só equipamentos da empresa entram na rede

Computadores pessoais ficam pelo email e pelos ficheiros no browser, com regras que impedem descarregar dados. Trabalhar com dados da empresa é diferente de estar dentro da infraestrutura da empresa.

3. Aplicações em vez de rede

A maior parte das pessoas precisa de email, ficheiros, software de gestão e, às vezes, de um ambiente de trabalho remoto. Nenhuma destas coisas exige estar dentro da rede inteira. Publicadas com autenticação forte, cada aplicação é uma porta própria, com registo. A VPN fica para quem administra os sistemas.

4. Limitar o que a VPN alcança

Os backups, as câmaras e os equipamentos de gestão da rede nunca devem estar ao alcance de um utilizador remoto. A firewall divide a rede em zonas e só deixa passar o necessário. Fornecedores entram com conta própria, autenticação multifator e acesso que se desliga no fim da intervenção.

Um caso real: firewall e VPN para o teletrabalho

Na FreshDesign, a DataRoad instalou uma firewall de nova geração e uma VPN cifrada para que a equipa acedesse remotamente aos servidores e aplicações internas. O projeto incluiu controlo centralizado de acessos e permissões, filtragem e prevenção de intrusões, monitorização remota permanente com alertas proativos e duas ligações à internet com balanceamento e passagem automática se um operador falhar.

O ponto que interessa a um gestor: a VPN não ficou “instalada e esquecida”. O contrato inclui atualizações da firewall, otimização das regras e acompanhamento da estabilidade da VPN — exatamente o que separa uma VPN segura de uma porta aberta.

Exemplo: uma empresa de 40 postos

Exemplo (cenário ilustrativo): 40 postos, 10 pessoas em teletrabalho regular. A configuração que recomendaríamos:

• Email e ficheiros no Microsoft 365, com autenticação multifator e acesso condicionado ao tipo de equipamento.
• Software de gestão publicado num ambiente de trabalho remoto com autenticação forte.
• VPN reservada a dois administradores, com segundo fator, numa zona de gestão separada.
• Contas de fornecedores criadas por intervenção e desativadas no fim.

Na maior parte dos casos, isto faz-se com o que a empresa já paga em firewall e licenças: muda a arquitetura, não a fatura. A mesma lógica está desenvolvida em Zero Trust em 4 passos para PME, e as correções do equipamento de VPN devem seguir uma política de atualizações com prazos curtos.

Perguntas frequentes

Devo desligar a VPN?

Não de imediato. Primeiro, ative a autenticação multifator e limite o que a VPN alcança. Depois, passe as pessoas para acesso por aplicação. No fim, a VPN fica apenas para quem administra os sistemas.

Uma VPN com autenticação multifator é suficiente para uma PME?

Pode ser, se só equipamentos da empresa se ligarem, se cada grupo alcançar apenas o que precisa, se a firewall estiver atualizada e se os acessos forem registados. Se alguma destas condições falha, o risco continua alto.

Posso deixar os colaboradores usar o computador pessoal?

Para email e ficheiros no browser, com regras que impedem descarregar dados, sim. Para entrar na rede interna da empresa, não.

Isto obriga a comprar uma solução nova?

Na maioria das PME, não. Obriga a configurar melhor a firewall e o Microsoft 365 que já existem e a ter alguém a gerir os acessos de forma contínua.

Revisão do acesso remoto em 5 dias úteis

Analisamos a sua VPN, quem se liga e a quê, as contas de fornecedores e o estado da firewall, e entregamos um plano escrito para fechar as falhas por ordem de prioridade. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico. A gestão de firewalls e segurança e de trabalho remoto está incluída nos planos IT Unlimited Premium.

Fontes

• Verizon — 2026 Data Breach Investigations Report, Executive Summary
• Verizon — 2025 Data Breach Investigations Report (ataques a equipamentos de perímetro e VPN)
• CISA — Known Exploited Vulnerabilities Catalog