Cloudמַעֲקֶה
Cloud security com IA: farás um parapeito para o teu telhado
O que é seu e o que é do provedor, como montar guardrails em camadas, por que identidade é onde o ataque acontece e como a IA prioriza e corrige postura.
יֵלְכוּ מֵחַיִל אֶל חָיִל
yelchu mechayil el chayil · vão de força em força · Tehilim 84:8
Blog/Artigos · Cloud
Maturidade de cloud com IA: de força em força, degrau por degrau
Cinco níveis de maturidade, avaliação pelos pilares do Well-Architected, onde a IA acelera cada degrau e um roteiro de 90 dias.
Quinze salmos começam com shir hama'alot, o cântico dos degraus. A tradição liga esse nome aos degraus do Templo, subidos um por vez, cada um com o seu cântico. O salmo 84 descreve quem sobe como alguém que vai de força em força. Maturidade de cloud funciona assim: cada nível dá a força que o seguinte exige, e pular degrau costuma terminar em queda. A IA ajuda a subir mais rápido, desde que o degrau debaixo esteja firme.
Os cinco degraus da maturidade em cloud
O modelo que eu uso tem cinco níveis, na tradição dos modelos de capacidade. No primeiro, a cloud é usada como datacenter alugado, com console, conta compartilhada e ninguém sabendo exatamente o que existe. No quinto, a plataforma é um produto interno, com guardrail automático, custo por unidade e melhoria orientada por dado.
O salto que mais muda a organização é do segundo para o terceiro: é quando tudo passa a ser código, contas são criadas por processo com baseline e a segurança deixa de depender de quem configurou. É também o salto em que a IA mais ajuda, porque ela escreve e revisa código de infraestrutura muito bem.
Figura 1Níveis de maturidade de cloud
- 1Inicialconsole, conta compartilhada, inventário desconhecido
- 2Repetívelcontas separadas, parte em código, processo dependente de pessoa
- 3Definidoinfraestrutura como código, landing zone, baseline em toda conta
- 4GerenciadoSLO, custo por unidade, postura medida e guardrail automático
- 5Otimizadoplataforma como produto interno, melhoria contínua orientada por dado
Avaliação pelos seis pilares
Maturidade média esconde desequilíbrio. Uma organização pode ter segurança no nível 3 e custo no nível 1, e a média 2 não ajuda ninguém a decidir o próximo passo. Por isso eu avalio separadamente os seis pilares do AWS Well-Architected: excelência operacional, segurança, confiabilidade, eficiência de performance, otimização de custo e sustentabilidade.
O radar mostra o estado atual e o alvo em doze meses. A distância entre as duas linhas, pilar por pilar, é o roteiro. O pilar mais afundado nem sempre é a prioridade: às vezes vale mais levar confiabilidade de 2 para 3 do que sustentabilidade de 1 para 2.
Figura 2Maturidade por pilar do Well-Architected, atual e alvo em 12 meses
- Atual
- Alvo em 12 meses
Ver os dados da figura
| Eixo | Atual | Alvo em 12 meses |
|---|---|---|
| Excelência operacional | 2 | 4 |
| Segurança | 3 | 4 |
| Confiabilidade | 2 | 4 |
| Eficiência de performance | 3 | 3 |
| Otimização de custo | 1 | 3 |
| Sustentabilidade | 1 | 2 |
Onde a IA encurta cada degrau
Em cada nível existe um tipo de trabalho repetitivo que segura a subida. No começo é descobrir e documentar. No meio é escrever código de infraestrutura e política. No topo é analisar dado de operação em volume para decidir onde melhorar. A IA ajuda em todos, com controles diferentes em cada um.
A regra que atravessa os níveis é a mesma do resto deste blog: a IA produz um artefato revisável, como inventário, pull request, relatório com fonte, e uma pessoa aprova. O ganho é de velocidade na produção do artefato; a responsabilidade pela decisão não se move.
Figura 3O que a IA acelera em cada nível de maturidade
- NÍVEL 1Descobrir o que existeinventário agrupado por finalidade e recursos órfãos apontados
- NÍVEL 2Trazer para códigoimportação de recurso existente para Terraform, com plano revisado
- NÍVEL 3Padronizarmódulos de landing zone, política e baseline redigidos e testados
- NÍVEL 4MedirSLO sugerido por jornada, anomalia de custo explicada, postura priorizada
- NÍVEL 5Otimizaranálise de incidente, custo e uso em volume para escolher a próxima melhoria
Um roteiro de 90 dias
Programa de maturidade que começa com um plano de dois anos costuma morrer no terceiro mês. Prefiro ciclos de 90 dias com entrega verificável em cada terço, e revisão do radar no fim. O primeiro ciclo quase sempre segue a mesma forma, porque os problemas do começo se parecem em toda organização.
O critério de pronto de cada etapa é o mesmo que uso para qualquer entrega: processo definido, dono nomeado, fluxo em uso, evidência registrada e indicador em acompanhamento. Etapa sem os cinco volta para a lista do ciclo seguinte.
Figura 4Primeiro ciclo de 90 dias de um programa de maturidade de cloud
- 01IADias 1 a 30inventário, dono por conta, tag obrigatória e radar inicial
- 02IADias 31 a 60SCP da organização, baseline de conta e primeiros SLOs
- 03IADias 61 a 90recursos críticos em código, alerta de custo por dono
- 04Revisãoradar medido de novo e alvo do próximo ciclo definido
o radar da revisão vira o ponto de partida do ciclo seguinte.
Como provar em que degrau se está
Autoavaliação de maturidade tende a ser otimista. A forma de corrigir isso é exigir evidência objetiva para cada nível, algo que dá para verificar sem entrevista. Se a evidência não existe, o nível não foi atingido, mesmo que o time acredite que sim.
A tabela abaixo é o critério que eu uso. Ela é propositalmente seca: cada linha é uma pergunta de sim ou não sobre um artefato que existe ou não existe.
Figura 5Evidência exigida para aceitar cada nível
| Nível | Evidência que prova | Como a IA ajuda a verificar |
|---|---|---|
| 1 · Inicial | inventário completo das contas, com dono | cruza o inventário com o faturamento e aponta o que ficou de fora |
| 2 · Repetível | contas separadas por ambiente e acesso por SSO | lista usuários IAM com chave de longa duração ainda ativa |
| 3 · Definido | infraestrutura crítica em código, com plano vazio | compara o estado real com o declarado e aponta drift |
| 4 · Gerenciado | SLO por jornada e custo por unidade reportados | verifica se cada jornada crítica tem SLO e alerta de burn rate |
| 5 · Otimizado | melhoria priorizada por dado, com efeito medido | liga cada melhoria ao indicador que ela deveria mover |
Para levar
Maturidade de cloud se conquista um degrau por vez, com evidência em cada um. Medir por pilar mostra onde está o desequilíbrio, ciclos de 90 dias mantêm o ritmo, e a IA encurta o trabalho repetitivo de cada nível produzindo artefatos revisáveis. De força em força: cada degrau firme dá a força do próximo.
Quem escreve: Juliano Vince de Campos
Gerente de Operações, Tecnologia e Infraestrutura (SRE) numa central de registros. Trabalho com tecnologia desde 2009 e com cibersegurança em tempo integral desde 2015, em infraestrutura crítica, fintech e banking. Escrevo sobre o que eu opero: confiabilidade, segurança, governança e IA que passa por gate antes de chegar em produção.
