65% das organizações planejam substituir a VPN em até um ano, 23% a mais do que na edição anterior da mesma pesquisa, e 81% estão adotando ou planejando uma estratégia zero trust (Zscaler ThreatLabz 2025 VPN Risk Report). A pressão vem tanto dos atacantes quanto dos arquitetos. O DBIR 2025 da Verizon constatou que dispositivos de borda e VPNs saltaram de 3% para 22% da atividade de exploração de vulnerabilidades, e o M-Trends 2026 da Mandiant coloca exploits como a principal porta de entrada em uma rede pelo sexto ano consecutivo. O dinheiro está seguindo o mesmo caminho: a Dell’Oro Group estimou a receita de SASE em US$ 3,5 bilhões no 2º trimestre de 2026, o quinto trimestre seguido de crescimento acima de 20%. Para o lado do consumidor, veja nossas estatísticas de uso de VPN. Reunimos dados da Zscaler ThreatLabz e da Cybersecurity Insiders, da Dell’Oro Group, da Verizon, da Google Mandiant, da CISA, da Gartner, da Okta, da Gallup e das demais fontes primárias listadas na metodologia.
TL;DR
- 65% das organizações planejam substituir serviços de VPN em até um ano, alta de 23% em relação à pesquisa anterior (Zscaler ThreatLabz 2025 VPN Risk Report).
- 56% das organizações relataram vazamentos com exploração de VPN no último ano (Zscaler ThreatLabz 2025 VPN Risk Report).
- Os CVEs de VPN cresceram 82,5% entre 2020 e 2025, em 411 vulnerabilidades analisadas (Zscaler ThreatLabz, 2025).
- Dispositivos de borda e VPNs passaram de 3% para 22% da atividade de exploração de vulnerabilidades, quase 8 vezes mais (Verizon DBIR 2025).
- 31% dos vazamentos agora começam com vulnerabilidades de software, à frente de senhas roubadas (Verizon DBIR 2026).
- Exploits foram o principal vetor de infecção inicial pelo sexto ano seguido, com 32% (Mandiant M-Trends 2026).
- A CISA ordenou que as agências federais desconectassem todos os appliances de VPN da Ivanti até 2 de fevereiro de 2024 (CISA ED 24-01).
- A receita de SASE chegou a US$ 3,5 bilhões no 2º trimestre de 2026, com crescimento acima de 20% pelo quinto trimestre seguido (Dell’Oro Group, setembro de 2026).
- A previsão é de que o SASE chegue a US$ 24 bilhões até 2030, com CAGR de 15% (Dell’Oro Group, agosto de 2026).
- A Gartner previu que pelo menos 70% dos novos acessos remotos usariam ZTNA em vez de VPN até 2025, contra menos de 10% em 2021 (Gartner, via Data Center Knowledge).
- A adoção de MFA de alta garantia subiu de 41% para 58% (Okta Businesses at Work 2026).
- 52% dos funcionários dos EUA com função remota trabalham de forma híbrida e 26% totalmente remota (Gallup, maio de 2026).
1. Intenção de Substituir a VPN: a Maioria Já Decidiu, Poucas Agiram
A fase de decisão acabou; a questão em aberto é a velocidade com que as empresas conseguem executar. No Zscaler ThreatLabz 2025 VPN Risk Report, produzido com a Cybersecurity Insiders a partir de uma pesquisa com 632 profissionais de TI e segurança no início de 2025, 65% das organizações disseram planejar substituir seus serviços de VPN dentro do ano, uma alta de 23% em relação ao relatório anterior. 56% afirmaram que os riscos de segurança e conformidade tornaram as VPNs tradicionais obsoletas, e 96% já implementaram, planejaram ou aderiram a uma abordagem zero trust.
A intenção tem um longo histórico de correr à frente da realidade. A Gartner previu que até 2025 pelo menos 70% dos novos acessos remotos dependeriam de ZTNA em vez de VPN, contra menos de 10% no fim de 2021, e projetou um crescimento de 31% nos gastos com ZTNA em 2023 (Data Center Knowledge, outubro de 2022). A palavra-chave é ‘novos’: os concentradores de VPN já instalados continuam rodando até que um contrato, uma queda ou um vazamento force a mudança, e por isso quase duas em cada três empresas (65%) ainda apenas planejavam a substituição em 2025.
| Métrica | Valor | Fonte |
|---|---|---|
| Organizações que planejam substituir a VPN em um ano | 65% (alta de 23% em relação ao relatório anterior) | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 VPN Risk Report |
| Adotando ou planejando zero trust em 12 meses / favoráveis a zero trust no geral | 81% / 96% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Dizem que riscos de segurança e conformidade tornaram as VPNs obsoletas | 56% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Novos acessos remotos usando ZTNA, 2025 (previsão) | Pelo menos 70%, contra menos de 10% em 2021 | Gartner, via Data Center Knowledge, 2022 |
| Previsão de crescimento dos gastos com ZTNA, 2023 | 31% | Gartner, via Data Center Knowledge, 2022 |
| Interesse em modelos zero trust (pesquisa da AFCOM) | 56% (2021) a 79% (2022) | AFCOM, via Data Center Knowledge, 2022 |
| Organizações norte-americanas com projetos de zero trust | 60% (40% no mundo), contra 16% em 2019 | Okta State of Zero Trust Security, 2020 |
Nota de contexto: os números da Gartner e da Okta são os dados mais recentes disponíveis (2020 a 2022) e foram incluídos como referência. O relatório da Zscaler foi encomendado por um fornecedor de ZTNA, então suas cifras de intenção de substituição devem ser lidas como a direção do movimento, não como um censo de mercado. Nossas estatísticas de segurança zero trust cobrem o arcabouço mais amplo, além do acesso remoto.
2. Onde as Empresas Realmente Estão: Pilhas Legadas e Etapas de Implantação
Por trás das manchetes, a maioria das redes ainda parece 2015. 24% das organizações ainda concedem acesso aberto à rede a qualquer usuário autenticado, e outras 28% dependem de regras estáticas de firewall de rede (Cybersecurity Insiders, Zscaler ThreatLabz 2025 VPN Risk Report). Esse é exatamente o padrão que o ZTNA foi desenhado para eliminar: com a sessão de VPN estabelecida, uma rede plana deixa o atacante circular à vontade. Sem surpresa, 71% dos respondentes colocam a movimentação lateral entre as principais preocupações, e o próprio resumo da pesquisa da Zscaler fixa em 89% a parcela preocupada com movimentação lateral.
A implantação de zero trust é real, mas escalonada. Apenas 35% das organizações já estão implementando zero trust, 24% planejam a implantação em até seis meses e 22% têm uma estratégia para o ano seguinte. O firewall continua sendo o controle padrão, usado por 84%. A identidade avança mais rápido do que a rede: o Businesses at Work 2026 da Okta informa que a adoção de MFA de alta garantia subiu de 41% para 58%, enquanto as ameaças cresceram 6,3 vezes mais rápido do que a adoção de autenticação de alta garantia.
| Métrica | Valor | Fonte |
|---|---|---|
| Modelo de acesso: acesso aberto para usuários autenticados / regras estáticas de firewall | 24% / 28% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Status do zero trust: implementando agora / em até 6 meses / no próximo ano | 35% / 24% / 22% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Ferramentas de defesa implantadas: firewalls / WAF / NAC / VPN | 84% / 58% / 54% / 43% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Colocam a movimentação lateral entre as principais preocupações | 71% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Adoção de MFA de alta garantia | 41% a 58% | Okta Businesses at Work 2026 |
| Crescimento das ameaças vs adoção de autenticação de alta garantia | 6,3 vezes mais rápido | Okta Businesses at Work 2026 |
| Parcela que lista a rede como principal fator na decisão de acesso | 55% (2019) a 20% (2020) | Okta State of Zero Trust Security, 2020 |
Nota de contexto: o número de 43% que ‘dependem de VPNs’ vem de uma pergunta sobre ferramentas de defesa em uso e não significa que 57% dos respondentes não usam VPN; a pesquisa teve como alvo organizações que usam VPN. Os dados da Okta de 2020 sobre o fator rede têm mais de três anos (dados mais recentes disponíveis).
3. A Superfície de Ataque das VPNs: os CVEs Continuam Subindo
O motivo pelo qual a substituição de VPN saiu do roadmap de TI e foi para a pauta do conselho é o número de vulnerabilidades. O Zscaler ThreatLabz analisou 411 CVEs de VPN publicados entre 2020 e 2025 e constatou que os CVEs de VPN cresceram 82,5% no período, com cerca de 60% das vulnerabilidades de 2024 classificadas como altas ou críticas (blog do Zscaler ThreatLabz, 2025). A execução remota de código foi o impacto mais comum, com 149 CVEs nos cinco anos e 32 só em 2024.
A composição importa mais do que a contagem. Um gateway de VPN é exposto à internet por definição, então uma falha de execução remota de código nele é uma porta de entrada sem autenticação para a rede corporativa, não um bug local. Os CVEs de negação de serviço triplicaram, de 9 em 2020 para 27 em 2024, e os de escalonamento de privilégios cresceram 66,7%. Enquanto isso, o catálogo de vulnerabilidades conhecidas e exploradas da CISA listava 1.733 entradas quando consultamos, em outubro de 2026, e o blog do ThreatLabz aponta uma delas, a falha crítica CVE-2025-22457 da Ivanti, como um bug de VPN sabidamente explorado que as agências foram instruídas a corrigir. As consequências do lado dos vazamentos são acompanhadas em nossas estatísticas de vazamento de dados.
| Métrica | Valor | Fonte |
|---|---|---|
| CVEs de VPN analisados, 2020 a 2025 | 411 | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Crescimento dos CVEs de VPN, 2020 a 2025 | +82,5% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVEs de VPN de 2024 classificados como altos ou críticos | Cerca de 60% (83 CVEs); CVEs altos/críticos +38,9% vs 2020 | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVEs de VPN de execução remota de código | 149 no total, 32 em 2024 | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVEs de VPN de negação de serviço | 9 (2020) a 27 (2024), +200% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVEs de VPN de escalonamento de privilégios | +66,7% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Entradas no catálogo Known Exploited Vulnerabilities da CISA | 1.733 (outubro de 2026) | Catálogo KEV da CISA |
Nota de contexto: essas linhas de CVE vêm de uma única análise do ThreatLabz e contam como uma só fonte. A Zscaler vende o produto de ZTNA que substitui as VPNs, então a análise não é neutra, embora as contagens de CVE em si sejam públicas e verificáveis.
4. Da Vulnerabilidade ao Vazamento: o que os Dados de Incidentes Mostram
A tendência dos CVEs não é teórica; ela aparece nas investigações de vazamentos. O Data Breach Investigations Report 2025 da Verizon constatou que dispositivos de borda e VPNs passaram de 3% para 22% da atividade de exploração de vulnerabilidades, um salto de quase oito vezes em um ano, e apenas 54% dessas vulnerabilidades de borda foram totalmente corrigidas, levando uma mediana de 32 dias (análise da Eclypsium sobre o Verizon DBIR 2025). O lançamento de 2025 da Verizon também registra a exploração de vulnerabilidades como vetor inicial em alta de 34%, com 20% dos vazamentos contra 22% do abuso de credenciais, em 12.195 vazamentos confirmados.
Na edição de 2026, a inversão estava completa: o Verizon DBIR 2026 afirma que 31% dos vazamentos agora começam com vulnerabilidades de software, superando senhas roubadas como principal ponto de entrada. Os dados de resposta a incidentes da Mandiant concordam. O M-Trends 2026 coloca exploits como o vetor de infecção inicial mais comum pelo sexto ano consecutivo, com 32%, e relata que o backdoor de espionagem BRICKSTORM, que vive em appliances de rede, passou despercebido por quase 400 dias em média. Appliances sem agentes de endpoint são onde os atacantes se escondem por mais tempo.
| Métrica | Valor | Fonte |
|---|---|---|
| Participação de dispositivos de borda e VPNs na exploração de vulnerabilidades | 3% a 22% (quase 8 vezes) | Verizon DBIR 2025, via Eclypsium |
| Vulnerabilidades de borda totalmente corrigidas / tempo mediano de correção | 54% / 32 dias | Verizon DBIR 2025, via Eclypsium |
| Vetor inicial: abuso de credenciais vs exploração de vulnerabilidades | 22% vs 20% (exploração +34%) | Verizon DBIR 2025 |
| Vazamentos que começam com vulnerabilidades de software | 31% (principal ponto de entrada) | Verizon DBIR 2026 |
| Vazamentos envolvendo terceiros | 30% (dobrou, de 15%) | Verizon DBIR 2025 |
| Exploits como vetor de infecção inicial | 33% (investigações de 2024), 32% (2025) | Mandiant M-Trends 2025 e 2026 |
| Tempo mediano global de permanência | 11 dias (2024) a 14 dias (2025) | Mandiant M-Trends 2025 e 2026 |
| Tempo de permanência do backdoor BRICKSTORM em appliances de rede | Quase 400 dias | Mandiant M-Trends 2026 |
Nota de contexto: os números da Verizon sobre dispositivos de borda e VPNs foram lidos por meio da análise da Eclypsium porque o DBIR completo exige cadastro para download; os números principais de 2026 vêm da própria página da Verizon. O acesso de terceiros importa aqui porque contas de VPN costumam ser entregues a prestadores de serviço, e 93% dos respondentes da Zscaler se preocupam com backdoors por conexões VPN de terceiros. As gangues de ransomware são as principais beneficiadas, como mostram nossas estatísticas de ransomware.
5. Resposta do Governo: Diretivas de Emergência Voltadas aos Gateways de VPN
Os reguladores agora tratam appliances de VPN como risco de nível emergencial. Em 19 de janeiro de 2024, a CISA emitiu a Emergency Directive 24-01 para Ivanti Connect Secure e Policy Secure, cobrindo três CVEs, e uma orientação suplementar ordenou que as agências desconectassem todas as instâncias Ivanti até 2 de fevereiro de 2024, fizessem a redefinição de fábrica e presumissem que as contas de domínio estavam comprometidas. Um mês depois, o alerta conjunto AA24-060B relatou que os atacantes podiam enganar a Integrity Checker Tool da Ivanti e manter persistência em nível root mesmo após redefinições de fábrica.
O padrão se repetiu com outro fornecedor. A Emergency Directive 25-03, emitida em 25 de setembro de 2025 e atualizada em 23 de abril de 2026, exigiu core dumps forenses em cerca de um dia para dispositivos Cisco ASA explorados por meio de CVE-2025-20333 e CVE-2025-20362. Quando um dispositivo de perímetro pode sobreviver a uma redefinição, a única correção segura é ter menos dispositivos expostos, que é a lógica de política por trás do Zero Trust Maturity Model da CISA.
| Métrica | Valor | Fonte |
|---|---|---|
| ED 24-01 emitida (Ivanti Connect Secure / Policy Secure) | 19 de janeiro de 2024; 3 CVEs | CISA ED 24-01 |
| Prazo inicial de mitigação / janela de correção após a correção do fornecedor | 22 de janeiro de 2024 / 48 horas | CISA ED 24-01 |
| Prazo para desconectar todas as instâncias Ivanti | 2 de fevereiro de 2024 (senhas redefinidas duas vezes até 1º de março de 2024) | CISA ED 24-01 Supplemental Direction V1 |
| Persistência após redefinição de fábrica demonstrada | Sim, em nível root | CISA AA24-060B, 29 de fevereiro de 2024 |
| ED 25-03 emitida (Cisco ASA e Firepower) | 25 de setembro de 2025; 2 CVEs | CISA ED 25-03 |
| Prazo de inventário da ED 25-03 / prazo de hard reset do Firepower | 2 de outubro de 2025 / 30 de abril de 2026 | CISA ED 25-03 |
| CISA Zero Trust Maturity Model | Versão 2.0; 5 pilares, 3 capacidades transversais, 4 estágios de maturidade | CISA ZTMM |
Nota de contexto: as diretivas da Ivanti são de 2024, mas continuam sendo o exemplo mais citado de uma linha de produtos de VPN retirada do ar em todo o governo federal dos EUA. O blog do Zscaler ThreatLabz também aponta o CVE-2025-22457, uma falha crítica da Ivanti de 2025 sabidamente explorada, como prova de que o problema não terminou com a ED 24-01.
6. Tamanho de Mercado: os Gastos com SASE e SSE Seguem se Acumulando
Os gastos confirmam a mudança melhor do que as pesquisas. A Dell’Oro Group informa que o mercado de SASE chegou a US$ 3,5 bilhões no 2º trimestre de 2026, o quinto trimestre consecutivo de crescimento acima de 20% ao ano (Dell’Oro Group, setembro de 2026). No 1º trimestre de 2026, o mercado passou de US$ 3 bilhões, com alta de 21%, o Security Service Edge (o pacote SSE que inclui ZTNA) em alta de 22% e a receita de roteadores de acesso em queda de 10%. A Dell’Oro observa que o crescimento do SSE central moderou no 2º trimestre de 2026 enquanto a migração de produtos legados continuou, que é a substituição de VPN aparecendo na receita.
As projeções continuam sendo revisadas para cima. Em fevereiro de 2025, a Dell’Oro projetou US$ 17,0 bilhões até 2029 com CAGR de 12%; em agosto de 2026, elevou a perspectiva para US$ 24 bilhões até 2030 com CAGR de 15%, com o SSE central sozinho acima de US$ 13 bilhões. Em 2022, a Dell’Oro havia relatado que a receita de FWaaS e ZTNA mais que dobrou em um ano (SDxCentral, julho de 2022).
| Métrica | Valor | Fonte |
|---|---|---|
| Receita de SASE, 2º tri de 2026 | US$ 3,5 bilhões (5º trimestre seguido acima de +20% a/a) | Dell’Oro Group, setembro de 2026 |
| Receita de SASE, 1º tri de 2026 / crescimento do SSE | Mais de US$ 3 bilhões, +21% / SSE +22% | Dell’Oro Group, junho de 2026 |
| Receita de SASE, 2º tri de 2025 / crescimento de SSE / SD-WAN | US$ 2,7 bilhões, +22% / +19% / +27% | Dell’Oro Group, setembro de 2025 |
| Parcela da receita de SASE de fornecedores que oferecem SD-WAN e SSE | 84% (2º tri de 2025) | Dell’Oro Group, setembro de 2025 |
| Previsão de SASE | US$ 24 bilhões até 2030, CAGR de 15%; SSE central acima de US$ 13 bilhões | Dell’Oro Group, agosto de 2026 |
| Previsão anterior de SASE / participação de fornecedor único | US$ 17,0 bilhões até 2029, CAGR de 12% / 90% do mercado | Dell’Oro Group, fevereiro de 2025 |
| Receita de segurança de rede, 2º tri de 2025 / parcela virtual e SaaS dos novos gastos | US$ 6,4 bilhões, +8% / 78% | Dell’Oro Group, setembro de 2025 |
| Receita de SSE, 1º tri de 2022 | Mais de US$ 800 milhões, +40% (FWaaS e ZTNA mais que dobraram) | Dell’Oro Group, via SDxCentral, julho de 2022 |
Nota de contexto: em 2022, a Dell’Oro previu que o mercado de SASE passaria de US$ 13 bilhões até 2026 (SDxCentral, agosto de 2022). Com o 1º e o 2º trimestres de 2026 em mais de US$ 3 bilhões e US$ 3,5 bilhões, só o primeiro semestre já passa de US$ 6,5 bilhões, então a previsão parece estar no caminho. A Dell’Oro também informa que a segurança de rede deve superar US$ 26 bilhões em 2025, com os appliances de hardware previstos para cair 2% enquanto os controles entregues pela nuvem crescem 20%.
7. Experiência do Usuário, Custo e a Força de Trabalho Híbrida
A segurança é o principal argumento a favor do ZTNA, mas o que os funcionários percebem é o atrito do dia a dia. 51% das organizações dizem que sua VPN oferece uma experiência ruim ao usuário, e 37% reclamam dos custos elevados (Zscaler ThreatLabz 2025 VPN Risk Report). As queixas específicas são banais: 23% relatam conexões lentas, 20% logins complexos e 17% erros de autenticação, enquanto 47% das equipes de TI citam a demanda frequente por correções e 54% têm dificuldade com a resolução de problemas. Em chamadas de voz e vídeo em tempo real, cada salto extra por um concentrador de VPN central soma latência que o usuário percebe como lag.
A força de trabalho para a qual as VPNs foram dimensionadas não existe mais. Os dados da Gallup de maio de 2026 mostram que 52% dos funcionários dos EUA com função remota trabalham de forma híbrida, 26% exclusivamente remota e apenas 22% totalmente presencial, uma combinação estável desde 2022. Uma VPN construída como caminho de exceção para alguns funcionários em viagem agora é a estrada principal de 78% dos trabalhadores com função remota (52% híbridos + 26% remotos), um tema que acompanhamos em nossas estatísticas de trabalho remoto.
| Métrica | Valor | Fonte |
|---|---|---|
| Dizem que a VPN oferece má experiência ao usuário / citam custos elevados | 51% / 37% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Principais queixas: velocidade lenta / login complexo / erros de autenticação | 23% / 20% / 17% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Carga de gestão: resolução de problemas / correções frequentes / custos de recursos | 54% / 47% / 41% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Benefícios esperados do zero trust: segurança e conformidade / gestão mais simples / custos menores | 76% / 64% / 18% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Funcionários dos EUA com função remota: híbrido / totalmente remoto / presencial | 52% / 26% / 22% (maio de 2026) | Gallup Indicator: Hybrid Work |
| Funcionários que preferem o modelo híbrido | 61% | Gallup Indicator: Hybrid Work |
Nota de contexto: apenas 18% dos respondentes esperam que o zero trust reduza os custos operacionais, então o argumento de negócio se apoia na redução de risco e na experiência do usuário, não em licenças mais baratas.
Resumo: Adoção de VPN Corporativa vs ZTNA em Números
| Métrica | Valor | Fonte |
|---|---|---|
| Planejam substituir a VPN em um ano | 65% (+23% vs relatório anterior) | Zscaler ThreatLabz 2025 VPN Risk Report |
| Adotando ou planejando zero trust em 12 meses | 81% | Zscaler ThreatLabz 2025 VPN Risk Report |
| Relataram vazamentos com exploração de VPN no último ano | 56% | Zscaler ThreatLabz 2025 VPN Risk Report |
| Crescimento dos CVEs de VPN, 2020 a 2025 | +82,5% (411 CVEs) | Zscaler ThreatLabz, 2025 |
| Concedem acesso aberto a usuários autenticados | 24% | Cybersecurity Insiders, 2025 |
| Participação de dispositivos de borda e VPNs na exploração | 3% a 22% | Verizon DBIR 2025 |
| Vulnerabilidades de borda totalmente corrigidas | 54% (mediana de 32 dias) | Verizon DBIR 2025 |
| Vazamentos que começam com vulnerabilidades de software | 31% | Verizon DBIR 2026 |
| Exploits como principal vetor de infecção inicial | 32% (6º ano seguido) | Mandiant M-Trends 2026 |
| Tempo de permanência de backdoors em appliances de rede | Quase 400 dias | Mandiant M-Trends 2026 |
| Tamanho do catálogo KEV da CISA | 1.733 vulnerabilidades | CISA, outubro de 2026 |
| Prazo para agências desconectarem VPNs Ivanti | 2 de fevereiro de 2024 | CISA ED 24-01 |
| Diretiva de emergência do Cisco ASA | 25 de setembro de 2025 | CISA ED 25-03 |
| Receita de SASE, 2º tri de 2026 | US$ 3,5 bilhões | Dell’Oro Group |
| Crescimento do SSE, 1º tri de 2026 | +22% a/a | Dell’Oro Group |
| Previsão de SASE, 2030 | US$ 24 bilhões (CAGR de 15%) | Dell’Oro Group |
| Participação do ZTNA em novos acessos remotos até 2025 (previsão) | Pelo menos 70% | Gartner |
| Adoção de MFA de alta garantia | 41% a 58% | Okta Businesses at Work 2026 |
| Parcela híbrida dos trabalhadores dos EUA com função remota | 52% | Gallup, maio de 2026 |
| Relatam má experiência de usuário com a VPN | 51% | Zscaler ThreatLabz 2025 VPN Risk Report |
Metodologia e Fontes
Todos os números acima foram lidos durante a pesquisa para este artigo e atribuídos à organização que os produziu. Quando uma página primária estava restrita ou bloqueava o acesso automatizado (o DBIR completo da Verizon, a sala de imprensa da Gartner), usamos um intermediário identificado que cita o estudo original e informamos isso abaixo. Estimativas de tamanho de mercado sem fonte para ‘mercado de ZTNA’ e ‘mercado de VPN’, vindas de revendedores de relatórios e listas de SEO, foram excluídas.
- Zscaler ThreatLabz e Cybersecurity Insiders, 2025 VPN Risk Report: comunicado de imprensa, blog de pesquisa do ThreatLabz, resumo do relatório, página de detalhes da Cybersecurity Insiders
- Dell’Oro Group: SASE 2T 2026, SASE 1T 2026, SASE 2T 2025, previsão de SASE até 2030 (PR Newswire, agosto de 2026), previsão de SASE até 2029 (fevereiro de 2025), Segurança de rede 2T 2025; números de 2022 via SDxCentral (julho de 2022) e SDxCentral (agosto de 2022)
- Verizon: página do DBIR 2026, comunicado do DBIR 2025; detalhes sobre dispositivos de borda e VPNs via Eclypsium
- Google Mandiant: M-Trends 2026, M-Trends 2025
- CISA: ED 24-01 (Ivanti), AA24-060B, ED 25-03 (Cisco), catálogo Known Exploited Vulnerabilities, Zero Trust Maturity Model
- Previsão da Gartner sobre ZTNA e pesquisa da AFCOM via Data Center Knowledge (outubro de 2022)
- Okta: Businesses at Work 2026, State of Zero Trust Security in Global Organizations (2020)
- Gallup: Indicator: Hybrid Work (maio de 2026)
- Nota sobre os dados: os dados de pesquisa mais ricos sobre VPN vêm de um único estudo encomendado por um fornecedor (Zscaler com a Cybersecurity Insiders, 632 respondentes, início de 2025); a Zscaler vende ZTNA, e suas próprias páginas informam a preocupação com movimentação lateral tanto como 71% (principal preocupação) quanto como 89% (preocupados em algum grau), então citamos cada uma com a sua formulação. Nenhuma empresa neutra publica gratuitamente uma contagem de VPNs instaladas versus licenças de ZTNA, e a previsão de 70% de ZTNA da Gartner para 2025 não tem balanço público. O dimensionamento de mercado de SASE vem apenas da Dell’Oro Group: não conseguimos acessar as previsões de SASE da Gartner ou da IDC, e a própria perspectiva da Dell’Oro passou de US$ 13 bilhões até 2026 (previsão de 2022) para US$ 17,0 bilhões até 2029 (2025) e para US$ 24 bilhões até 2030 (2026). Os números da Verizon de 2025 sobre dispositivos de borda foram lidos por meio da Eclypsium porque o relatório completo exige cadastro; o detalhamento de dispositivos de borda do DBIR 2026 não estava disponível nas páginas públicas da Verizon. A sala de imprensa da Gartner e o site da NSA retornaram erros 403, e a OMB M-22-09 não pôde ser lida, então os prazos federais de zero trust não são quantificados aqui. Os números da Okta de 2020 e da Gartner de 2022 têm mais de três anos (dados mais recentes disponíveis). Uma edição de 2026 do Zscaler VPN Risk Report, se publicada, substituiria as seções 1, 2, 3 e 7.
Última atualização: 3 de outubro de 2026. Atualizamos este levantamento trimestralmente, e a próxima revisão é esperada quando a Dell’Oro Group publicar seu relatório de SASE e SD-WAN do 3º trimestre de 2026 e o Zscaler ThreatLabz lançar o próximo VPN Risk Report.