La VPN aziendale classica ha un difetto strutturale: una volta dentro, sei "nella rete" e vedi tutto – un attaccante che ruba le credenziali VPN ha il lasciapassare per l'intera infrastruttura. ZTNA (Zero Trust Network Access) rovescia il modello secondo i principi Zero Trust (formalizzati nel NIST SP 800-207): niente accesso "alla rete", solo accesso per singola applicazione, verificato a ogni richiesta.
Come funziona: l'utente non entra in una rete, ottiene accesso a quella specifica app dopo che identità, dispositivo e contesto sono stati verificati; le altre applicazioni gli restano invisibili (non può nemmeno scansionarle). Un broker media ogni connessione, spesso con l'app che non è mai esposta direttamente (accesso in uscita, come i tunnel).
I vantaggi sulla VPN: nessun raggio d'azione laterale (compromettere un accesso non apre la rete), verifica continua invece che "fidato una volta", accesso granulare per app. È la direzione verso cui si muovono le aziende – e nel piccolo la si approssima combinando i mattoni che già conosci: mesh VPN con ACL strette, reverse proxy con forward auth e MFA davanti a ogni servizio, conditional access, minimo privilegio. ZTNA "enterprise" è l'industrializzazione di questi principi; il modello mentale – accesso per app, verifica continua, niente fiducia implicita – vale a ogni scala.