Desde que o home office virou parte normal da rotina de escritórios contábeis, uma pergunta apareceu com frequência nas nossas visitas técnicas: “como faço para o contador acessar o Domínio ou o Alterdata de casa?” A resposta mais rápida que alguém de TI menos experiente costuma dar é abrir uma porta no roteador do escritório e apontar direto para o servidor. Funciona — no sentido de que o acesso remoto passa a existir. Só que também funciona para qualquer pessoa no mundo que descubra aquela porta aberta, o que é exatamente o tipo de exposição que temos visto virar incidente de segurança em escritórios contábeis.

Uma VPN no escritório contábil, com acesso remoto de verdade, existe para resolver esse problema: criar um túnel criptografado entre o dispositivo do contador em casa e a rede do escritório, sem expor nenhum serviço diretamente para a internet aberta. O problema é que “VPN” virou um termo genérico demais — tem VPN grátis de navegador, tem VPN corporativa de verdade, e tem gente confundindo as duas, achando que estão protegidas quando não estão.

Este post desmistifica o que uma VPN faz de verdade, o que diferencia uma solução adequada de uma armadilha, e como isso se conecta com os sistemas contábeis que o escritório já usa.

Por que o escritório contábil precisa de VPN (e não de “acesso direto ao servidor”)

Abrir uma porta no roteador para expor um servidor diretamente à internet (o que em TI se chama de port forwarding sem proteção adicional) é como trocar a fechadura da porta da frente do escritório por uma corda — tecnicamente “fecha”, mas qualquer um sabe abrir. Ferramentas automatizadas varrem a internet o tempo todo procurando exatamente esse tipo de porta aberta, e assim que encontram, tentam login por força bruta, exploram vulnerabilidade conhecida do serviço exposto, ou simplesmente reportam a porta aberta para quem paga por esse tipo de informação no mercado paralelo.

Uma VPN corretamente configurada resolve isso de um jeito diferente: em vez de expor o serviço direto, ela cria um túnel criptografado entre o dispositivo remoto e a rede interna, autenticado por credencial (idealmente com autenticação em duas etapas). De fora, não existe porta de sistema contábil visível — existe apenas o ponto de entrada da VPN, que é construído especificamente para resistir a esse tipo de tentativa de invasão.

Para um escritório contábil que guarda dado fiscal, CPF, CNPJ e informação financeira de centenas de clientes, essa diferença não é sutil — é o que separa um acesso remoto seguro de um convite para incidente de segurança que, além do prejuízo direto, ainda gera obrigação de notificação sob a LGPD.

VPN no escritório contábil: acesso remoto por usuário ou site-to-site?

Existem dois modelos de VPN que resolvem problemas diferentes, e misturar os dois na hora de planejar costuma gerar confusão.

VPN site-to-site conecta duas redes fixas entre si — por exemplo, a matriz do escritório contábil no ABC Paulista e uma filial em outra cidade, ou o escritório e um datacenter onde roda parte da infraestrutura. O túnel fica sempre ativo entre os dois pontos, e para quem está dentro de qualquer uma das redes, o acesso ao outro lado é praticamente transparente. Faz sentido quando o escritório tem mais de uma unidade física operando como se fosse uma rede só.

VPN de acesso remoto (client-to-site) é o modelo pensado para o cenário mais comum hoje: o contador ou analista em casa, ou viajando, precisando acessar o sistema contábil da rede do escritório a partir do notebook pessoal ou corporativo. Cada dispositivo remoto se conecta individualmente, autenticado com credencial própria, formando um túnel específico para aquela sessão.

Para a maioria dos escritórios contábeis que atendemos, o modelo relevante no dia a dia é o de acesso remoto — porque o cenário mais comum é o profissional trabalhando fora do escritório, não duas redes fixas precisando se falar o tempo todo. Escritórios com mais de uma unidade física costumam precisar dos dois modelos combinados.

O risco da VPN gratuita para dados fiscais de clientes

É tentador resolver “rapidinho” com um dos serviços de VPN gratuitos ou baratos disponíveis para uso pessoal, do tipo que promete “navegação anônima” e é vendido para o consumidor final. O problema é que esses serviços não visam proteger acesso corporativo a sistema interno: eles existem para mascarar o tráfego de navegação do usuário final na internet pública, o que é um problema completamente diferente.

Boa parte das VPNs gratuitas monetiza o serviço vendendo dado de navegação do usuário para terceiros. Outras têm infraestrutura compartilhada com milhares de outros usuários anônimos no mesmo servidor. Para uso pessoal de navegação, isso pode ser aceitável — mas para um túnel que carrega dado fiscal e financeiro de clientes, é inaceitável. Não existe garantia contratual de segurança, não existe suporte técnico de verdade, e em muitos casos o próprio provedor da VPN gratuita tem acesso ao tráfego que passa por ali.

Além disso, VPN gratuita não integra com a infraestrutura do escritório. Não há como amarrar o acesso à identidade corporativa do funcionário via Microsoft Entra ID, por exemplo. Também não há log de quem acessou o quê e quando, nem como revogar o acesso de um funcionário específico de forma imediata quando ele sai da empresa. Para um escritório contábil, isso é abrir mão exatamente dos controles que a LGPD espera que existam.

Configurando VPN compatível com Domínio, Alterdata e Questor

Os três sistemas contábeis mais usados na região têm particularidades quando o assunto é acesso remoto via VPN.

O Domínio Sistemas, quando instalado em servidor local, normalmente exige que a estação remota enxergue a rede interna como se estivesse fisicamente no escritório (para acessar o banco de dados e os compartilhamentos de arquivo do sistema). Isso funciona bem com VPN de acesso remoto configurada para rotear o tráfego correto para a sub-rede onde o servidor está, sem expor o servidor inteiro — só o necessário.

O Alterdata tem opções de operação tanto local quanto em nuvem, dependendo do plano contratado pelo escritório. Quando local, a mesma lógica de VPN de acesso remoto se aplica; quando em nuvem, a comunicação já passa por infraestrutura da própria Alterdata, e a VPN do escritório passa a ser relevante principalmente para proteger outros recursos internos (arquivo, e-mail, outros sistemas), não o acesso ao Alterdata em si.

O Questor, historicamente mais ligado a instalação local com banco de dados próprio, segue padrão parecido com o Domínio: exige VPN configurada para dar acesso à sub-rede correta. Vale atenção especial à performance da conexão, já que consultas ao banco de dados via link remoto podem ficar perceptivelmente mais lentas se a VPN não estiver bem dimensionada em banda e latência.

Em todos os três casos, o ponto comum é: a VPN precisa ser desenhada em conjunto com quem conhece a arquitetura de rede interna do sistema contábil, não simplesmente “instalada” de forma genérica. Uma VPN mal desenhada pode até funcionar tecnicamente e ainda assim deixar o acesso lento a ponto de o contador achar mais fácil (e mais arriscado) voltar a pedir “acesso direto”.

Zero Trust como alternativa moderna à VPN tradicional: quando vale para PME

Zero Trust é um modelo de segurança que parte do princípio de que nenhum dispositivo ou usuário deve ser confiável por padrão, mesmo estando “dentro” da rede — cada acesso é verificado individualmente, considerando identidade do usuário, estado de segurança do dispositivo, e contexto do acesso (localização, horário, tipo de recurso solicitado), antes de ser permitido.

Na prática, para um escritório contábil isso se traduz em soluções que substituem (ou complementam) a VPN tradicional por acesso condicional: em vez de o funcionário entrar em um túnel que dá acesso amplo à rede interna, cada aplicação ou recurso específico é liberado individualmente, com verificação contínua. O Microsoft Entra ID, através de políticas de acesso condicional, já oferece boa parte desse modelo para quem usa Microsoft 365 Business Premium — antes de o contador acessar um recurso, o sistema verifica se o dispositivo está em conformidade, se o local de acesso é esperado, e se o usuário já completou a autenticação em duas etapas.

Vale para PME quando o escritório já tem uma base de identidade organizada (Entra ID configurado, dispositivos gerenciados) e quer reduzir a superfície de ataque que uma VPN tradicional, mesmo bem configurada, ainda representa (afinal, uma vez dentro do túnel, o usuário costuma enxergar mais da rede do que precisaria). Para escritórios que ainda estão organizando o básico de identidade e acesso, VPN tradicional bem configurada continua sendo um passo sólido e mais simples de implementar antes de migrar para Zero Trust completo. Essa evolução de VPN tradicional para modelo de acesso condicional costuma andar junto com o amadurecimento da gestão de acessos via Microsoft Entra ID e das políticas de home office seguro que o escritório já tenha implementado.

Conclusão

Acesso remoto ao sistema contábil deixou de ser exceção e virou parte normal da rotina — a questão não é mais se o escritório vai precisar disso, mas como isso será configurado com segurança. Como reforça o CERT.br, uma VPN bem desenhada, específica para a arquitetura de cada sistema contábil, continua sendo o ponto de partida mais seguro; Zero Trust é o passo seguinte para quem já tem a base de identidade organizada e quer reduzir ainda mais a superfície de risco.

Perguntas frequentes

VPN deixa o acesso ao sistema contábil mais lento?
Uma VPN mal dimensionada, sim. Uma VPN configurada corretamente, com banda e roteamento adequados, tem impacto mínimo na percepção de velocidade do dia a dia.

Dá para usar VPN grátis “só até resolver direito”?
Não é recomendado nem como solução temporária, porque o dado fiscal e financeiro de clientes já estaria exposto durante esse período — o risco existe desde o primeiro acesso, não só depois de “virar rotina”.

Preciso de VPN se o sistema contábil já é em nuvem?
Depende. Se o acesso ao sistema em nuvem é feito via navegador com autenticação própria do fornecedor, o risco principal já está mitigado pelo próprio serviço. Ainda assim, VPN ou Zero Trust seguem relevantes para proteger outros recursos internos do escritório (arquivos, e-mail, compartilhamentos).

Zero Trust substitui completamente a VPN?
Em alguns casos sim, mas a transição costuma ser gradual. Muitos escritórios operam por um período com os dois modelos coexistindo, migrando aplicação por aplicação para o modelo de acesso condicional.