CSPM não é estratégia: o que a ferramenta sozinha nunca vai resolver

CSPM (Cloud Security Posture Management) resolve um problema real: visibilidade contínua sobre configuração de nuvem, em escala que revisão manual não alcança. O que ele não resolve — e nenhuma ferramenta resolve — é a decisão de quem corrige o quê, em que ordem, e com qual critério de prioridade.

Vimos esse padrão se repetir: uma empresa assina uma ferramenta de CSPM, conecta a organização GCP, e em 48 horas tem um dashboard com milhares de findings coloridos por severidade. Ninguém foi designado dono da fila. Três meses depois, o dashboard continua vermelho e o time trata a ferramenta como ruído — exatamente o oposto do que CSPM deveria produzir.

O primeiro erro estrutural é aceitar a severidade nominal da ferramenta como prioridade de negócio. Um bucket público sem dado sensível e um bucket público com dados de titulares LGPD podem aparecer com a mesma severidade 'Alta' no CSPM, mas representam riscos completamente diferentes. Priorização real cruza o finding técnico com o que o Cloud DLP já classificou naquele recurso — informação que a maioria das ferramentas de CSPM não tem contexto para avaliar sozinha.

O segundo erro é tratar CSPM como substituto de Org Policy. Ferramenta de postura detecta desvio depois que ele existe; Org Policy e módulos de Terraform bem desenhados impedem o desvio de nascer. Uma organização que corrige finding a finding no CSPM sem tocar na política organizacional ou no template que provisiona o projeto vai ver o mesmo finding voltar no próximo projeto criado — o que já discutimos no caso dos 7.929 findings de uma única organização.

O terceiro erro é não ter processo de triagem. Todo CSPM decente permite suprimir ou aceitar risco em um finding — mas sem um critério documentado de quando isso é aceitável, a supressão vira forma de esconder o problema em vez de geri-lo. Um finding suprimido sem justificativa registrada e sem data de revisão é um risco aceito por ninguém.

O que efetivamente funciona é usar o CSPM como fonte de dado, não como plano de ação: exportar findings agrupados por raiz causal (o mesmo método que aplicamos a qualquer assessment), atribuir dono por domínio técnico — não por finding individual —, e medir sucesso pela redução de classes de problema recorrentes, não pela contagem total de findings abertos.

Ferramenta de CSPM é telescópio, não plano de voo. Ajuda a enxergar mais longe e mais rápido. A rota ainda precisa de alguém que entenda o ambiente, o dado que ele processa e o negócio por trás dele.