A automatização da infraestrutura aconteceu há anos. Hoje ninguém instala um servidor a clicar em menus: descreve-se a máquina num ficheiro, corre-se um comando e ela nasce igual da primeira à milésima vez. Estranhamente, a segurança dessa mesma infraestrutura continua presa ao ponto e clique. Configura-se à mão, ecrã a ecrã, e reza-se para que ninguém se tenha esquecido de uma caixa.
É exatamente esse o descompasso que a Sysdig aponta num texto recente, e a conclusão deles serve de tese a este artigo: a segurança na cloud (a infraestrutura alugada a fornecedores como a AWS, a Azure ou a Google) tem de andar à mesma velocidade da cloud que protege. Enquanto a infra se cria por código em segundos e a segurança se configura por cliques em horas, o intervalo entre as duas é precisamente onde vivem as falhas.
Infraestrutura por código, segurança ainda a cliques
O problema não é teórico. O onboarding de segurança (o processo de ligar e configurar a proteção de um novo ambiente) continua, na maioria das organizações, a depender de fluxos manuais: alguém percorre separadores, valida permissões à mão, testa integrações e resolve erros à medida que aparecem. Cada um desses passos é uma oportunidade para o erro humano, e o erro de configuração é a origem da esmagadora maioria das fugas de dados na cloud.
Pior: o que se configura à mão raramente fica documentado. Seis meses depois, ninguém sabe ao certo porque é que aquela regra está ali, nem se ainda faz sentido. É assim que nasce o desvio de configuração (configuration drift), o estado em que os sistemas deixam silenciosamente de estar como deviam, sem que ninguém repare.
Escrever a segurança em vez de a clicar
A alternativa é tratar a segurança como se trata o resto da infraestrutura: como código. É o que se chama infraestrutura como código (Infrastructure as Code), em que as políticas, as permissões e os controlos se escrevem em ficheiros versionados, com ferramentas como o Terraform, em vez de se carimbarem num painel. A abordagem é API-first: a configuração passa a fazer-se por API (a interface que permite que os sistemas falem entre si), sem um humano no meio a clicar.
Quando a segurança nasce assim, ganham-se três coisas que o clique nunca dá. Consistência, porque o mesmo ficheiro produz o mesmo resultado em todos os ambientes. Auditabilidade, porque cada alteração fica escrita, datada e atribuída. E travões à entrada: os guardrails, mecanismos que mostram o plano de execução e barram a mudança insegura antes de ela tocar na produção. A camada de IA que a Sysdig descreve, capaz de arrancar este processo a partir de instruções em linguagem natural, é o acelerador; a fundação é a automatização por baixo.
«Cloud security onboarding should move at cloud speed», escreve a Sysdig: a segurança na cloud tem de mover-se à velocidade da cloud. Não é um slogan. É a constatação de que a segurança que obriga a abrandar acaba sempre por ser contornada por quem tem prazos para cumprir.
Por onde se começa
A diferença sente-se no pior dia possível: quando algo corre mal. Numa infraestrutura definida por código, um incidente investiga-se a olhar para o histórico: quem mudou o quê, quando e porquê está tudo escrito. Numa infraestrutura clicada à mão, fica-se a reconstruir a partir de fragmentos, sem cadeia de custódia, a pagar caro uma perícia que um simples registo teria tornado trivial. Esse é o custo escondido do ponto e clique.
Para quem gere ambientes na cloud, o caminho é concreto:
- Definir a segurança como código. Políticas e permissões em ficheiros versionados, não em configurações manuais que ninguém reconstrói.
- Rever o plano antes de aplicar. Guardrails que mostram o que vai mudar e travam o que é inseguro, antes de chegar à produção.
- Tornar cada alteração auditável. Toda a mudança escrita, datada e atribuída, para que o histórico responda sozinho às perguntas de amanhã.
- Usar a IA como acelerador, não como muleta. Linguagem natural para arrancar o processo, com a automatização verificável por baixo.
A segurança na cloud não pode continuar a ser o departamento que diz «espera». Tratada como código, deixa de ser o travão da inovação e passa a viajar com ela, à mesma velocidade. É o único ritmo a que faz sentido proteger algo que se cria em segundos.
Fonte original: Sysdig.
#StaySafe
🙏🖖