Comitês formais pouco adiantam quando a definição sobre acessos, fornecedores e prazos continua sendo tomada isoladamente dentro das equipes de desenvolvimento.
Com o avanço de estruturas digitais cada vez mais distribuídas, Jean Pierre Lessa e Santos Ferreira, CTO, caracteriza a governança de tecnologia menos como um conjunto de documentos aprovados e mais como o encadeamento entre quem decide, quem executa e quem responde pelas consequências. Empresas brasileiras acumulam políticas bem redigidas e incidentes que poderiam ser evitados por elas, um contraste que revela onde o processo efetivamente falha.
O risco nasce em decisões pequenas
A maior parte das exposições relevantes não começa em uma escolha estratégica, e sim em definições cotidianas que ninguém registra. Uma credencial compartilhada para resolver um problema urgente, uma biblioteca de terceiros incorporada sem revisão, uma permissão ampliada temporariamente e nunca revertida. Cada decisão parece inofensiva no momento em que é tomada e se acumula em uma superfície de risco que nenhum inventário formal captura.
Ao confrontar o conteúdo das políticas com o comportamento observado nos ambientes, Jean Pierre Lessa e Santos Ferreira localiza as lacunas onde a regra existe no papel e não se materializa na prática. A verificação costuma revelar que o descumprimento não vem de negligência, e sim de processos aprovados que tornam o caminho correto mais lento do que o prazo da entrega permite.
-
Pesquisadores descobrem coral gigante de 1,5 quilômetro no fundo do Oceano Índico, cerca de 750 vezes maior que colônias comuns
-
Cientistas criam chiclete experimental que reduz em até 93% a presença do HPV em amostras de pacientes com câncer
-
CNI e Unido lançam projeto de R$ 10 milhões para criar corredores verdes na navegação
-
Passageiro de um Phenom 300EV pode apertar um botão e o jato da Embraer pousa sozinho: o avião executivo fez em Gavião Peixoto (SP) o pouso autônomo do Garmin Emergency Autoland e começa a ser entregue em 2028
Governança de tecnologia como rotina, não como comitê
Instâncias de decisão reunidas mensalmente operam em ritmo incompatível com a velocidade das mudanças que precisam avaliar. Quando o comitê delibera, a definição já foi tomada por quem estava escrevendo o código. A alternativa que vem funcionando desloca o controle para o próprio fluxo de trabalho, com verificações automatizadas que bloqueiam configurações fora do padrão antes que cheguem a qualquer ambiente produtivo.
A escolha dos pontos de verificação determina o resultado. Jean Pierre Lessa e Santos Ferreira calibra o rigor conforme a criticidade do sistema afetado, de modo que ambientes sensíveis recebam controle estrito e iniciativas exploratórias mantenham agilidade. Uma governança de tecnologia aplicada de forma uniforme a tudo tende a ser contornada, porque impõe custo desproporcional a atividades de baixo impacto e perde credibilidade junto às equipes.
Fornecedores, integrações e a superfície exposta
A dependência de terceiros cresceu mais rápido que a capacidade de avaliá-los. Plataformas de nuvem, bibliotecas de código aberto, serviços de autenticação e ferramentas de produtividade compõem uma cadeia em que a segurança do conjunto equivale à do elo mais frágil. Questionários respondidos na contratação pouco informam sobre o comportamento do fornecedor dois anos depois, quando sua estrutura já mudou várias vezes.
O acompanhamento contínuo substitui a avaliação pontual. Jean Pierre Lessa e Santos Ferreira circunscreve o acesso concedido a cada integração ao mínimo necessário para sua função declarada, limitando o alcance de um eventual comprometimento externo. A prática exige revisão periódica das permissões ativas, etapa frequentemente adiada porque não produz resultado visível enquanto nada acontece.
Agentes de IA e a nova fronteira de permissões
A entrada de sistemas autônomos nos fluxos corporativos cria uma categoria de acesso que os modelos tradicionais de controle não previram. Um agente que consulta bases, redige documentos e aciona outros sistemas precisa de permissões amplas para ser útil, e amplitude de permissão é exatamente o que as políticas de segurança buscam restringir. A tensão entre as duas necessidades ainda não tem resposta consolidada no mercado.
As abordagens em teste apontam para a delegação limitada no tempo e no escopo. Jean Pierre Lessa e Santos Ferreira correlaciona o nível de autonomia concedido com a reversibilidade da ação executada, liberando operações de leitura com folga e exigindo confirmação humana onde o efeito é permanente. A distinção parece simples e exige mapeamento detalhado dos processos, trabalho que a maioria das organizações ainda não iniciou.
