O que é CSPM (sem buzzword)
CSPM (Cloud Security Posture Management) é uma plataforma que audita continuamente a configuração das suas contas cloud (AWS, Azure, GCP, OCI) contra benchmarks de segurança, encontra misconfigurations e prioriza o que corrigir primeiro.
Na prática: "esse bucket S3 está público? Esse security group tem porta 22 aberta pra internet? O RDS está criptografado? O CloudTrail está ativo em todas regiões?" Multiplique por 12k+ recursos de um ambiente típico e você entende por que ninguém checa na mão.
Não é: EDR, WAF, SIEM, DLP nem code scanner. CSPM só olha a configuração do plano de controle cloud. Para onde começa o workload.
CSPM vs CWPP vs CNAPP
CSPM
Plano de controle
Configuração da conta cloud. Encontra: buckets públicos, portas abertas, chaves sem rotação, MFA ausente, drift de benchmark.
Lê: CloudTrail, Config, Azure Activity, GCP Audit
CWPP
Plano de workload
Conteúdo do workload. Encontra: vulnerabilidades em contêineres, malware em VM, runtime não-conforme, processos perigosos.
Lê: imagens de contêiner, processos de VM, pods Kubernetes
CNAPP
Unificado
Consolidação de CSPM + CWPP + CIEM + IaC scanning + Kubernetes security em plataforma única. Tendência desde 2024.
Exemplos: Orca, Wiz, Prisma Cloud, Defender CSPM
Recomendação pragmática para ambiente médio-grande: comece por CSPM, some CWPP em 6 meses, consolide em CNAPP no ano 2 se orçamento permitir.
Como priorizar 5.000 findings
Todo CSPM moderno retorna milhares de findings no dia 1. O erro é abrir todos como ticket. A abordagem Evernow é um filtro tridimensional:
- Dim 1 — Raio de explosão: A misconfiguração permite chegar a dado pessoal (LGPD), a dinheiro (sistemas de pagamento) ou ao plano de controle (root)? Sim → crítico independente de CVSS.
- Dim 2 — Explorável hoje: Está alcançável da internet e o exploit é público? Sim → prioridade máxima.
- Dim 3 — Esforço: A correção é um PR de IaC de 3 linhas ou uma migração de dado? Agrupe correções similares no mesmo sprint para otimizar esforço.
- Resultado: 5.000 findings viram ~120 tickets acionáveis na semana 1, 40 na semana 3, < 20 na semana 6. Auto-supressão de findings em ambientes não-produtivos.
Perguntas frequentes sobre CSPM
CSPM nativo (AWS Security Hub) ou terceiro (Orca, Wiz, Prisma)?
Nativo serve para single-cloud e orçamento apertado. Terceiro é obrigatório em multi-cloud e quando precisa de CIEM, CNAPP ou correlação cross-account. Nativos não conversam entre si entre clouds.
Quanto custa um CSPM para engenharia de 200 pessoas?
Licenças cobradas por número de contas cloud ou workloads. Ambiente típico (20-40 contas, 3-5k workloads) fica em USD 90-250k/ano. Operação gerenciada pela Evernow adiciona R$ 25-60k/mês conforme escopo.
Vai quebrar nosso CI/CD ou workflow DevOps?
Só se ativar enforce-mode na semana 1. A abordagem Evernow é: mês 1 só observabilidade, mês 2 gating em PR com override, mês 3 hard gating em regras IaC críticas. Sem atrito com entrega.
CSPM substitui pentest do ambiente cloud?
Não. CSPM checa misconfigurações conhecidas contra benchmark. Pentest encadeia achados, explora lógica de negócio, ataca limites de CIEM/IAM, valida o que é de fato explorável. Se complementam.
