Cloud security: CNAPP, CSPM e o que exigir

A empresa migrou para a nuvem e assumiu que o time de segurança tradicional cobre o novo ambiente. Na prática, proteger AWS, Azure ou GCP exige competências que o profissional de rede clássico não tem. A conta de nuvem cresce, as permissões se multiplicam e a superfície de ataque muda de forma. É aí que entra o cloud security engineer, e este texto mostra o que exigir dele antes de contratar.

O que um cloud security engineer resolve

Esse perfil cuida da postura de segurança do ambiente de nuvem de ponta a ponta:

• Configuração segura das contas e assinaturas (guardrails, landing zone, políticas de organização).
• Gestão de identidade e permissões na nuvem, onde o excesso de acesso é o problema número um.
• Proteção das cargas de trabalho: máquinas, containers, funções serverless.
• Segurança do pipeline, com verificação de infraestrutura como código antes do deploy.
• Visibilidade e resposta: saber o que está exposto e reagir quando algo sai da política.

O alfabeto que você vai ouvir

Fornecedores e candidatos usam siglas como se todo mundo já soubesse. Aqui está o que cada uma cobre.

CSPM (Cloud Security Posture Management)

Vigia a configuração da nuvem e aponta desvios: bucket público, porta aberta, criptografia desligada, conta sem MFA. Responde à pergunta "o meu ambiente está configurado de forma segura".

CWPP (Cloud Workload Protection Platform)

Protege a carga que roda: vulnerabilidade em imagem de container, comportamento suspeito em runtime, hardening de host. Responde à pergunta "o que roda dentro está protegido".

CIEM (Cloud Infrastructure Entitlement Management)

Cuida de permissões e direitos de acesso. Encontra a identidade com poder demais e ajuda a aplicar menor privilégio num ambiente onde as permissões crescem sozinhas. É a frente que mais evita incidente grave.

CNAPP (Cloud-Native Application Protection Platform)

A plataforma que junta CSPM, CWPP, CIEM e verificação de código numa visão só. O mercado consolidou essas frentes porque olhá-las separadas deixa lacuna entre elas.

O que exigir na avaliação

Um bom cloud security engineer mostra profundidade nestes pontos:

• Identidade em primeiro lugar. Ele fala de IAM, roles, políticas e menor privilégio antes de falar de ferramenta. Na nuvem, o controle de acesso pesa mais que a rede.
• Infraestrutura como código. Sabe revisar Terraform ou CloudFormation e colocar verificação de segurança no pipeline.
• Prioriza por risco. Um CSPM gera centenas de alertas. O especialista sabe quais importam e por quê, com base em exposição real.
• Multi-cloud com honestidade. Poucos dominam AWS, Azure e GCP no mesmo nível. Um sênior é forte em uma, competente em outra e franco sobre a terceira.

Perguntas que separam nível

• "Como você reduz o ruído de um CSPM cheio de alertas para o que de fato representa risco."
• "Descreva como encontra e corrige uma permissão excessiva sem quebrar a aplicação que depende dela."
• "Onde você coloca segurança no pipeline de deploy e o que faz o build parar."

Red flags

• Trata segurança de nuvem como firewall na nuvem. Pensa em rede e esquece identidade.
• Vive de painel de ferramenta e trava quando você pede o risco por trás do alerta.
• Nunca escreveu ou revisou infraestrutura como código.
• Promete cobrir AWS, Azure e GCP em profundidade sozinho. Isso é raro o suficiente para merecer desconfiança.

Certificações e sinais de senioridade

Certificações de nuvem em nível profissional ou de especialidade em segurança (as trilhas de security dos três grandes provedores) mostram base sólida. Elas contam mais quando vêm com histórias de produção: uma migração que passou por revisão de segurança, um incidente de exposição que a pessoa conteve, uma política de organização que ela desenhou. A prova mostra estudo, e o relato de operação mostra experiência.

Modelos e custo

O perfil é escasso, e o custo acompanha. O que pesa: a maturidade da sua nuvem, o número de contas e provedores, e se a demanda é montar a postura do zero ou sustentar o que existe.

Para estruturar a segurança de nuvem num período definido, alocar um especialista sênior via staff augmentation entrega o nível sem contratação fixa. Para uma operação contínua com SLA, managed services mantém a postura sob controle. Para um programa maior, um squad dedicado reúne as competências necessárias.

Por onde começar

Diga em que nuvem você está, quantas contas, e qual o gatilho: auditoria, migração, crescimento de custo ou um susto recente. Isso define a senioridade e o modelo. E exija avaliação técnica feita por um par que já operou segurança de nuvem, porque a distância entre o painel bonito e a postura real é grande.

Se você precisa desse perfil, a Cyberwalk aloca especialistas validados por par técnico. Contratar um cloud security engineer começa pela conversa sobre o seu ambiente.