Ilustração de capa gerada com IA para este artigo. A cena é conceitual e não representa um sistema ou cliente real.
"Precisamos de VPN para o time comercial?"
A pergunta costuma seguir sempre o mesmo caminho: alguém da diretoria lê uma notícia de vazamento na sexta e, na segunda, o assunto já entrou na pauta da reunião. Há razão para perguntar, porque o trabalho deixou o escritório e não vai voltar. O vendedor responde ao WhatsApp na fila de embarque. A recepção da clínica confirma consulta pelo Wi-Fi do shopping. O representante atualiza o funil no celular, durante a viagem, entre duas visitas.
Antes de aprovar orçamento, olhe o que a ferramenta entrega de fato. Para entender o mecanismo básico, descubra como uma VPN realmente funciona aqui: a VPN, rede privada virtual, cria um túnel criptografado entre o aparelho e um servidor. Uma VPN comercial costuma também apresentar aos sites o endereço IP de saída do servidor, em vez do endereço da conexão original. Isso descreve a proteção do transporte, sem resolver por si só as permissões de acesso aos sistemas.
Só que o risco da sua operação mora em outro andar do prédio.
Quem abre o cadastro do cliente, quem pode exportar a base completa, quem edita um negócio já fechado e o que fica registrado depois que isso acontece. No CRM, sistema de gestão do relacionamento com clientes, essas respostas dependem principalmente da identidade, das permissões e dos registros da aplicação.
O que a VPN cobre e onde ela termina
A VPN cuida do trecho entre o aparelho e o servidor da VPN. Numa rede que a sua empresa não administra, ela pode acrescentar proteção ao tráfego que passa pelo túnel. Isso não significa que, sem VPN, todo conteúdo esteja exposto: o HTTPS, protocolo de conexão segura usado pelos sites, já criptografa a comunicação entre o navegador e o serviço quando está corretamente implementado, como explica a orientação da FTC sobre Wi-Fi público. A VPN não substitui essa proteção nem as regras do CRM. Credencial válida dentro de túnel criptografado pode continuar válida na mão errada se não houver outras verificações.
Dois produtos dividem a mesma sigla, e confundir um com o outro sai caro.
A VPN corporativa de acesso remoto conecta o colaborador à rede interna da empresa e pode exigir autenticação e aplicar restrições de acesso à rede. A comercial, aquela que se instala no celular, protege o tráfego encaminhado pelo seu serviço. Quem compra a segunda esperando ter levado a primeira pode terminar com o transporte protegido pelo túnel e a autorização dentro do CRM exatamente como estava antes.
Para quem segue o assunto, não é novidade. Em dezembro de 2014, a revista ;login: da USENIX publicou o relato de engenharia do BeyondCorp, assinado por Rory Ward e Betsy Beyer, com o argumento que levou o Google a abandonar o perímetro: uma vez atravessada a linha do firewall de borda, o acesso à intranet privilegiada vem com relativa facilidade, e a entrada de celulares e de serviços em nuvem no dia a dia tornou esse perímetro cada vez mais difícil de defender. A saída adotada foi eliminar a própria necessidade de uma intranet privilegiada. Ou seja: estar dentro do túnel parou de significar permissão.
O que aparece numa revisão de acessos
Quem já abriu a lista de usuários de um CRM com três ou quatro anos de uso sabe mais ou menos o que vai encontrar.
Tem o login do setor, que foi feito às onze da noite no final do mês para que alguém conseguisse lançar pedido, e que virou permanente. A conta da analista que saiu em março ainda está ativa, já que o desligamento passou pelo RH e pelo financeiro, mas não passou por quem administra o sistema. E o diretor segue com perfil de administrador desde a implantação, sem nunca ter recorrido a ele para nada.
Depois vêm os tokens, credenciais usadas por integrações para acessar um sistema, porque chave de integração não aparece em organograma. Automações de fluxo, conectores de WhatsApp e rotinas de importação podem usar credenciais próprias. Um fluxo desligado pela metade pode manter uma chave com permissão de leitura sobre a base completa. Quando foi a última vez que alguém listou as chaves ativas da sua operação?
O susto também pode chegar sem invasão.
Tem a ver com exportação. Uma base de leads, contatos de potenciais clientes, pode virar arquivo CSV, formato de texto usado para trocar dados de tabelas, em poucos cliques, puxada por gente com acesso legítimo, num horário normal de trabalho. Se o sistema não registrar a operação, fica difícil responder à pergunta do dia seguinte: quem baixou, em que horário e quantas linhas.
Duas camadas, duas perguntas
Lado a lado fica mais simples decidir o que atacar primeiro.
| Dimensão | VPN no dispositivo | Controle de acesso no sistema |
|---|---|---|
| O que protege | O tráfego entre aparelho e servidor | O dado dentro da aplicação |
| Onde age | Na rede, principalmente nas que você não administra | Na identidade e na permissão de cada sessão |
| Registro que gera | Pode registrar conexões, sem descrever por si só as ações no CRM | Entrada, visualização, alteração e exportação, conforme os recursos e a configuração |
| Senha vazada | O túnel, isoladamente, não impede o uso da credencial no CRM | Segundo fator e revogação de sessões ajudam a reduzir o risco |
| Base exportada | Não identifica por si só quem exportou dados na aplicação | Log, registro de atividade, com autor, horário e volume, se esses dados forem registrados |
| Saída de funcionário | Revogar credenciais e sessões da VPN corporativa; desinstalar não basta | Revogar conta e sessões, além de revogar ou rotacionar tokens aos quais a pessoa tinha acesso |
Autenticação multifator, ou MFA, exige fatores de tipos diferentes para confirmar a identidade, como senha e chave de segurança. Ela reduz o risco de uso de senha vazada, mas não garante bloqueio de todo ataque. Também é preciso conferir sessões e tokens ativos, como trata a referência do NIST sobre autenticação e gestão de sessões.
As duas colunas respondem a problemas diferentes e precisam ser priorizadas conforme o risco da operação. Uma cuida do caminho, a outra cuida do acesso ao destino. Para investigar o que aconteceu dentro do CRM, são os registros da aplicação que precisam trazer as respostas.
O lado que requer prova
Um CRM pode guardar dados pessoais como nome, telefone, CPF e histórico de compra. Em clínicas e laboratórios, também pode haver dados de saúde, conforme o uso do sistema. O fascículo do CERT.br sobre proteção de dados apresenta os papéis da LGPD, Lei Geral de Proteção de Dados Pessoais: o controlador decide sobre o tratamento, o operador o realiza em nome dele e o encarregado atua como canal de comunicação com titulares e com a ANPD, autoridade responsável pela proteção de dados. Saúde e biometria vinculadas a uma pessoa natural são dados pessoais sensíveis. Entre as sanções previstas, a multa simples pode chegar a 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, conforme a explicação da ANPD sobre as sanções administrativas.
O que muda o trabalho de engenharia está num verbo. A LGPD inclui o princípio da responsabilização e prestação de contas: demonstrar medidas eficazes para cumprir suas normas. Registros de atividade associados a identidades ajudam nessa demonstração, embora não sejam suficientes, sozinhos, para comprovar conformidade. Para quem está começando a organizar esse lado, o material da Bytebio sobre LGPD e o uso do Bitrix24 percorre diagnóstico, definição de agentes de tratamento e ajuste de plataforma.
A ordem que funciona rende pouco em apresentação de reunião. Primeiro sai a lista de quem acessa o quê, com os logins compartilhados marcados. Depois entra o segundo fator nas contas administrativas, junto com uma varredura nos tokens de integração. Por último vem a conferência do que o sistema registra hoje sobre leitura e exportação, etapa em que o buraco quase sempre aparece.
Feito isso, a conversa sobre rede volta para a mesa, e volta fácil. Para o time que trabalha em movimento, ligado em rede de aeroporto, de hotel e de cliente, a VPN dá conta do problema que é dela. O que ela não pode fazer é responder à pergunta que veio antes.
