Descompasso entre políticas de tecnologia e prática nas empresas brasileiras revela lacunas de governança

A governança de tecnologia nas empresas brasileiras tem sido medida, na prática, menos pelos documentos aprovados e mais pela cadeia que liga quem decide, quem executa e quem responde pelas consequências. Esse descompasso fica evidente quando políticas bem redigidas convivem com incidentes que poderiam ter sido evitados.

Grande parte das exposições relevantes não nasce de uma escolha estratégica, mas de decisões do dia a dia que raramente são registradas: uma credencial compartilhada para resolver um problema urgente, uma biblioteca de terceiros incorporada sem revisão, uma permissão ampliada de forma temporária que nunca é revertida. Cada uma dessas decisões parece inofensiva no momento em que é tomada, mas juntas formam uma superfície de risco que nenhum inventário formal consegue captar.

Ao cruzar o conteúdo das políticas com o que realmente acontece nos ambientes, Jean Pierre Lessa e Santos Ferreira, CTO, identifica as lacunas entre a regra escrita e a prática. Segundo ele, o descumprimento raramente decorre de negligência. Com frequência, os processos aprovados tornam o caminho correto mais lento do que o prazo de entrega permite, e a equipe acaba escolhendo o atalho.

Controle que acompanha o ritmo da mudança

Comitês que se reúnem mensalmente não conseguem acompanhar a velocidade das alterações que precisam avaliar. Quando a deliberação acontece, a decisão já foi implementada por quem escreve o código. A alternativa que vem apresentando resultados desloca o controle para dentro do próprio fluxo de trabalho, com verificações automatizadas que bloqueiam configurações fora do padrão antes que cheguem a qualquer ambiente de produção.

O resultado depende de onde esses pontos de verificação são colocados. Jean Pierre Lessa e Santos Ferreira defende que o rigor seja calibrado conforme a criticidade do sistema afetado: ambientes sensíveis recebem controle estrito, enquanto iniciativas exploratórias mantêm agilidade. Para ele, uma governança aplicada de forma uniforme a tudo tende a ser contornada, pois impõe custo desproporcional a atividades de baixo impacto e perde credibilidade junto às equipes.

Fornecedores e permissões sob vigilância constante

A dependência de terceiros cresceu mais depressa que a capacidade das empresas de avaliá-los. Plataformas de nuvem, bibliotecas de código aberto, serviços de autenticação e ferramentas de produtividade formam uma cadeia em que a segurança do conjunto equivale à do elo mais frágil. Questionários respondidos no momento da contratação dizem pouco sobre o comportamento de um fornecedor dois anos depois, quando sua estrutura já passou por várias mudanças.

Por isso, o acompanhamento contínuo vem substituindo a avaliação pontual. A proposta de Jean Pierre Lessa e Santos Ferreira é restringir o acesso concedido a cada integração ao mínimo necessário para sua função declarada, reduzindo o alcance de um eventual comprometimento externo. A medida exige revisões periódicas das permissões ativas, etapa que costuma ser adiada por não gerar resultados visíveis enquanto nada dá errado.

Agentes autônomos desafiam o modelo tradicional

A entrada de sistemas autônomos nos fluxos corporativos cria uma categoria de acesso que os modelos clássicos de controle não previram. Um agente que consulta bases de dados, redige documentos e aciona outros sistemas precisa de permissões amplas para ser útil, justamente o que as políticas de segurança buscam restringir. Esse conflito entre utilidade e restrição ainda não tem uma resposta consolidada no mercado.