SASE: o que é e por que sua empresa deve conhecer

O que é SASE (Secure Access Service Edge)?

SASE, sigla para Secure Access Service Edge, é um modelo de arquitetura que unifica funções de rede e de segurança em um único serviço entregue pela nuvem. O termo foi cunhado pelo Gartner em 2019 e descreve a convergência de tecnologias que antes viviam em caixas separadas no rack da empresa: firewall, VPN, filtro de conteúdo web, controle de acesso e otimização de tráfego. Em vez de concentrar toda a proteção no perímetro físico do escritório, o SASE leva esses controles para pontos de presença distribuídos na nuvem, próximos de onde os usuários e as aplicações realmente estão.

A lógica por trás do modelo é simples de entender quando se observa como o trabalho mudou. Há dez anos, praticamente tudo acontecia dentro da rede corporativa: servidores locais, sistemas instalados nas máquinas, funcionários sentados nas estações da empresa. Hoje, boa parte das aplicações roda em nuvem — Microsoft 365, ERPs em SaaS, CRMs — e os usuários acessam esses sistemas de casa, de filiais, de clientes e do celular. O perímetro tradicional, aquele muro de firewall em volta do escritório, deixou de conter o que precisa ser protegido.

Na prática, o SASE combina duas camadas: uma de rede (SD-WAN, otimização de rotas, conectividade entre filiais) e uma de segurança entregue como serviço (SWG, CASB, ZTNA e firewall como serviço). O usuário se conecta ao ponto de presença mais próximo, é autenticado, tem seu tráfego inspecionado e só então chega à aplicação — não importa se ela está em um data center próprio, na AWS ou em um SaaS qualquer.

Por que o perímetro tradicional deixou de ser suficiente

O modelo clássico de segurança corporativa parte de uma premissa que já não se sustenta: a de que existe um "dentro" confiável e um "fora" perigoso. Quando todos os sistemas e pessoas estavam no mesmo prédio, fazia sentido investir pesado na borda — um bom firewall, um antivírus nas máquinas e uma VPN para os poucos acessos externos. O problema é que esse desenho cria um interior macio: uma vez que o invasor atravessa a borda, ele circula com relativa liberdade pela rede interna.

O trabalho remoto e híbrido agravou o cenário. A VPN tradicional, projetada para exceções, virou regra — e VPNs concedem, na maioria das implementações, acesso amplo à rede inteira. Um notebook comprometido em home office conectado à VPN é, para efeitos práticos, uma máquina infectada dentro do escritório. Some-se a isso o tráfego crescente direto para a nuvem: forçar todo o acesso ao Microsoft 365 a passar pelo firewall da matriz antes de sair para a internet gera lentidão, e liberar o acesso direto sem inspeção gera ponto cego.

• Usuários distribuídos: equipes em home office, filiais e em campo acessando sistemas de qualquer lugar;
• Aplicações fora do perímetro: e-mail, arquivos e ERPs migrados para SaaS e nuvem pública;
• VPNs sobrecarregadas: lentidão, acesso excessivamente amplo e experiência ruim para o usuário;
• Pilha de caixas na borda: firewall, proxy, filtro e concentrador VPN separados, cada um com licença, atualização e console próprios.

O SASE responde a esse cenário invertendo o ponto de aplicação dos controles: em vez de trazer o tráfego até a segurança, leva a segurança até o tráfego.

Os componentes que formam uma arquitetura SASE

SASE não é um produto único, e sim a combinação de tecnologias que passam a operar de forma integrada. Vale conhecer cada bloco, porque muitos fornecedores vendem partes do conjunto sob o mesmo rótulo:

1. SD-WAN: a camada de rede inteligente. Conecta matriz, filiais e nuvem escolhendo dinamicamente o melhor caminho (link dedicado, banda larga, 4G/5G), com priorização de tráfego crítico como voz e videoconferência;
2. SWG (Secure Web Gateway): inspeciona a navegação web dos usuários, bloqueando sites maliciosos, phishing e downloads perigosos, independentemente de onde o usuário esteja;
3. CASB (Cloud Access Security Broker): dá visibilidade e controle sobre o uso de aplicações em nuvem — inclusive o chamado shadow IT, os serviços que os funcionários adotam sem conhecimento da TI;
4. ZTNA (Zero Trust Network Access): substitui a VPN tradicional. Em vez de dar acesso à rede inteira, concede acesso apenas à aplicação específica que aquele usuário, naquele dispositivo, tem permissão de usar — verificando identidade e postura do equipamento a cada conexão;
5. FWaaS (Firewall as a Service): as regras de firewall, inspeção de tráfego e prevenção de intrusão entregues da nuvem, com política única para todos os locais e usuários.

O ZTNA merece destaque por ser, para a maioria das empresas, o ganho mais imediato. O princípio de Zero Trust — "nunca confie, sempre verifique" — significa que ninguém recebe acesso por estar "dentro da rede". Cada solicitação é avaliada com base em identidade, dispositivo, localização e contexto. Se o notebook está sem antivírus atualizado ou o login vem de um país inesperado, o acesso pode ser bloqueado ou limitado automaticamente.

Zero Trust não é desconfiar das pessoas — é parar de confiar cegamente na rede. O acesso passa a depender de quem você é e de como está se conectando, não de onde o cabo está plugado.

Benefícios práticos do SASE para PMEs

Existe uma percepção comum de que SASE é coisa de grande corporação. É o contrário: empresas de médio e pequeno porte tendem a colher benefícios proporcionalmente maiores, justamente porque não têm equipes de segurança dedicadas para operar meia dúzia de ferramentas separadas. Consolidar rede e segurança em um serviço gerenciado reduz a complexidade operacional — que é, na prática, a maior vulnerabilidade das PMEs.

Os ganhos mais concretos aparecem em quatro frentes. Primeiro, segurança consistente: a mesma política vale para quem está na matriz, na filial ou em casa, eliminando a situação comum em que o funcionário remoto navega sem nenhuma proteção corporativa. Segundo, experiência do usuário: o acesso ao Microsoft 365 e a outros SaaS sai pelo ponto de presença mais próximo, sem o desvio forçado pela matriz que torna a VPN lenta. Terceiro, redução de superfície de ataque: com ZTNA, as aplicações internas deixam de ficar expostas na internet atrás de portas de VPN — alvo frequente de ransomware. Quarto, previsibilidade de custo: troca-se a compra e renovação de vários equipamentos por uma assinatura por usuário.

Há ainda um efeito colateral valioso para empresas que precisam atender à LGPD ou a exigências de segurança de clientes maiores: a visibilidade centralizada. Logs de acesso, relatórios de navegação e trilhas de auditoria passam a existir em um único painel, o que simplifica tanto a resposta a incidentes quanto a comprovação de controles em auditorias.

Como adotar SASE sem quebrar a operação

A adoção do SASE não precisa — e não deve — ser um big bang. As implementações bem-sucedidas costumam ser graduais, priorizando a dor mais aguda da empresa. Um roteiro típico começa pela substituição da VPN por ZTNA, que resolve o problema mais urgente (acesso remoto lento e excessivamente permissivo) com impacto mínimo na rotina: o usuário instala um agente leve e continua acessando os mesmos sistemas, agora com verificação contínua.

A partir daí, expande-se por etapas: ativa-se a proteção de navegação (SWG) para todos os dispositivos, ganha-se visibilidade sobre o uso de nuvem com o CASB e, por fim, migram-se as filiais para SD-WAN conforme os contratos de link vencem. Em cada fase, vale validar três pontos: a experiência do usuário melhorou ou pelo menos não piorou; as políticas de segurança estão sendo aplicadas de fato; e a equipe consegue operar o novo ambiente no dia a dia.

Alguns cuidados evitam frustrações comuns na escolha da solução:

• Verifique se o fornecedor tem pontos de presença no Brasil — latência importa, especialmente para voz e vídeo;
• Desconfie de "SASE" que é apenas uma VPN com nome novo: pergunte especificamente por ZTNA, inspeção de tráfego e política unificada;
• Garanta integração com o provedor de identidade que a empresa já usa (como o Microsoft Entra ID), para não criar mais um cadastro de senhas;
• Comece por um grupo piloto antes de expandir para todos os usuários.

Conte com um parceiro para desenhar essa jornada

SASE é uma decisão de arquitetura, não uma compra de produto. O desenho certo depende de onde estão suas aplicações, de como sua equipe trabalha, dos links disponíveis em cada unidade e do nível de maturidade da TI — e é aí que um parceiro experiente encurta o caminho e evita investimentos mal dimensionados.

A Duk Informática & Cloud atua há mais de 18 anos como parceira de TI de empresas brasileiras, atendendo mais de 550 clientes com serviços de segurança, conectividade, cloud e suporte. Como Microsoft Gold Partner e com data center próprio em Alphaville, a Duk projeta e opera ambientes que combinam acesso remoto seguro, proteção de rede e nuvem sob um mesmo guarda-chuva de gestão — com suporte 24/7 e SLA definido. Se sua empresa ainda depende de VPN tradicional ou mantém filiais e equipes remotas sem proteção consistente, vale conversar sobre como uma arquitetura SASE pode ser adotada de forma gradual, segura e dentro da realidade do seu orçamento.