Como enxergar a segurança de todo o seu ambiente quando ele deixou de ser uma nuvem só
Na distância entre o que uma empresa contrata em segurança e o quanto disso está de fato em operação, dentro do ambiente Microsoft, existe um movimento que aparece quando a operação deixa de estar em um só lugar. A maioria das empresas hoje não roda em uma nuvem única e sim convive com Microsoft 365 e Azure, com Amazon Web Services, com Google Cloud, muitas vezes ao mesmo tempo e por decisões tomadas em áreas diferentes.
Segundo o Fortinet 2026 Cloud Security Report, a operação em ambientes híbridos ou multicloud já é a realidade da grande maioria das organizações. O que muda, com isso, não é a quantidade de ferramentas de segurança disponíveis. É a facilidade de enxergar o conjunto.
Leia os outros dois artigos da série – Licenciamento Microsoft: três proteções de maior retorno e Como elevar o Secure Score de ambientes Microsoft
Cada provedor de nuvem tem o seu próprio console, os seus próprios padrões de configuração e a sua própria noção do que significa estar seguro. Uma permissão excessiva na AWS, um contêiner de armazenamento aberto no Azure, uma identidade de serviço sem dono no Google Cloud: são configurações que, isoladamente, parecem pequenas, e que juntas formam um ambiente onde ninguém tem o retrato completo. A superfície não cresce porque os produtos são inseguros. Ela cresce porque a visibilidade se fragmenta entre lugares que não conversam entre si.
Os números ajudam a dimensionar o custo dessa fragmentação. O IBM Cost of a Data Breach Report de 2025 mostra que 30% das violações envolveram dados distribuídos por mais de um ambiente, e que as violações que atravessam múltiplos ambientes foram as mais caras, com custo médio de US$ 5,05 milhões, e as mais lentas de conter, levando em média 276 dias. Não é coincidência. Quanto mais espalhado o ambiente, mais tempo se leva para entender o que aconteceu, por onde, e o que ainda está exposto.
O ponto que sustenta esta discussão é o mesmo dos artigos anteriores, deslocado para a nuvem: na maioria dos incidentes de cloud, o problema não é um ataque sofisticado contra uma falha inédita, e sim uma configuração que ficou aberta e que ninguém estava vendo. A defesa, portanto, começa por recuperar a visão do todo. É exatamente essa a função do CSPM.
O que o CSPM faz
CSPM significa Cloud Security Posture Management, ou gestão de postura de segurança em nuvem. Na prática, é uma camada que se conecta às suas contas de nuvem e faz, de forma contínua, três coisas. Primeiro, descobre e inventaria os recursos que existem em cada provedor, incluindo aqueles que foram criados fora do processo formal e que ninguém registrou. Segundo, compara a configuração de cada recurso com boas práticas e com exigências regulatórias, apontando onde há desvio: um bucket público que deveria ser privado, uma porta de administração exposta à internet, uma política de identidade permissiva demais. Terceiro, acompanha o desvio ao longo do tempo, porque um ambiente que estava correto ontem se degrada à medida que surgem exceções, mudanças e novos recursos.
A diferença em relação a uma auditoria pontual está justamente na palavra contínua. Uma varredura feita uma vez por trimestre mostra uma fotografia; o CSPM mantém o filme rodando, sinalizando o desvio no momento em que ele acontece, quando corrigir ainda é barato. É o mesmo princípio de acompanhamento contínuo de postura que descrevemos para o ambiente Microsoft, agora aplicado a um cenário com vários provedores.
Vale situar o CSPM dentro de uma categoria maior, o CNAPP, sigla para Cloud-Native Application Protection Platform. O CNAPP reúne, sob um mesmo guarda-chuva, a gestão de postura que o CSPM oferece e outras camadas complementares, como a proteção das cargas de trabalho em execução e a gestão de permissões de identidade na nuvem. Não se trata de escolher uma em detrimento da outra: o CSPM cuida de como o ambiente está configurado, e as demais camadas cuidam do que acontece dentro dele. Uma boa postura de segurança em nuvem costuma precisar das duas coisas.
Por onde começar
O caminho que sugerimos para a nuvem tem a mesma lógica que aplicamos ao ambiente Microsoft: primeiro recuperar visibilidade, depois priorizar correções por criticidade, e então manter o acompanhamento contínuo, porque postura de segurança não é um estado que se alcança e se guarda, e sim algo que se sustenta ao longo do tempo. A ordem importa. Corrigir sem enxergar o conjunto leva a apagar incêndios isolados enquanto o retrato geral segue desconhecido.
Para as empresas cuja operação começou e ainda se concentra no ambiente Microsoft, o nosso Security Health Check é a porta de entrada mais rápida: em até 48 horas, ele entrega o Secure Score atual, os principais gaps por criticidade e os três ajustes de maior retorno, com base no que já está licenciado. Para solicitar, acesse https://www.redbelt.com.br/contato/. Quando a operação se estende por mais de uma nuvem, o passo natural é levar essa mesma leitura de postura para o ambiente inteiro. Se esse é o seu caso, vale conversar com o nosso time de Cloud Security sobre como mapear a postura do seu ambiente multicloud de ponta a ponta. Fale com a gente.
No RedTalks com Alexandre Silva, coordenador de Segurança em Nuvem na Redbelt Security, mostramos como atacantes comprometem ambientes corporativos sem precisar “invadir”, explorando credenciais expostas, protocolos legados e brechas no MFA para entrar pela porta da frente. Assista:
