CASB: o que é e como protege os apps na nuvem

O jurídico pede um relatório de quem acessou a pasta de contratos no armazenamento em nuvem nos últimos 90 dias. A TI abre o painel do provedor e descobre duas coisas: a pasta tem um link público criado há um ano e meio, e três pessoas baixaram arquivos dela a partir de celulares que a empresa nunca viu.

A empresa tinha política de segurança. Ela morava no firewall do escritório, por onde esses arquivos nunca passaram.

O CASB foi criado para cobrir esse caminho. A sigla vem de Cloud Access Security Broker, e a ideia é recolocar a política da empresa no lugar por onde o dado passa hoje.

CASB dá à empresa, nos apps de nuvem, o controle que ela tinha na própria rede. O modo de implantação decide o que ele enxerga: proxy vê a ação na hora, API vê o que já está guardado, e cada um deixa uma parte de fora.

O que é CASB e de onde veio o termo

O nome vem do Gartner, no começo dos anos 2010 (o verbete da Wikipédia sobre CASB aponta 2012), quando as empresas começaram a mover e-mail e arquivos para serviços de terceiros. A definição do Gartner descreve o CASB como pontos de aplicação de política de segurança, locais ou na nuvem, colocados entre quem consome o serviço de nuvem e quem o fornece.

O NIST usa a mesma imagem. No guia SP 800-215, de novembro de 2022, o CASB fica na rede, entre o cliente e o provedor de nuvem. O documento conta que a primeira geração servia para descobrir recursos e reduzir o Shadow IT. A geração atual aplica política de segurança e governança aos apps de nuvem.

A palavra "broker" (corretor, intermediário) explica a função. O CASB não hospeda nada. Ele fica no meio, olha a conversa entre o usuário e o app e decide se ela segue.

Os quatro pilares de um CASB

O Gartner organiza o mercado em quatro pilares. A descrição abaixo segue o Magic Quadrant de CASB de outubro de 2018, que descreve o modelo em detalhe.

Visibilidade. O CASB descobre quais serviços de nuvem a empresa usa, inclusive os que ninguém aprovou, e mostra quem acessa dado de qual aparelho e de onde. É a resposta para "quantos apps de nuvem nós temos?", que quase sempre é um número maior do que a TI imagina.

Segurança de dados. Aqui entram as políticas centradas no dado: classificar, descobrir onde está o arquivo sensível e monitorar o que o usuário faz com ele. As ações vão de auditar e alertar a bloquear e colocar em quarentena.

Proteção contra ameaças. O CASB barra aparelho, usuário ou versão de app que não deveria acessar o serviço. Ele também usa análise de comportamento para notar uma conta que baixa mil arquivos às três da manhã, um sinal comum de credencial roubada.

Conformidade. Ele ajuda a provar que a empresa governa o uso da nuvem: onde o dado mora, que regra regulatória se aplica e se a configuração do provedor está como deveria.

Proxy direto, proxy reverso e API: o que cada modo enxerga

Os quatro pilares só funcionam no que o CASB consegue ver, e isso depende de como ele entra no fluxo. Existem três modos, e o Gartner registra que os clientes preferem combinar API com proxy.

O proxy direto é o modo que encontra o Shadow IT, porque vê todo o tráfego que sai do notebook da empresa. O proxy reverso resolve o aparelho pessoal, que é o caso do celular na história do início. A API é a que acharia aquele link público de um ano e meio, porque olha o que está parado dentro do app.

Nenhum dos três cobre tudo: um CASB só de API não vê o app que ninguém aprovou, e um só de proxy direto não vê o celular do funcionário. Por isso a pergunta mais útil numa avaliação é "qual modo vocês usam para cada app que eu tenho?".

App sancionado e app não sancionado

App sancionado é o que a empresa contratou e administra: o e-mail, o armazenamento de arquivos, o CRM. App não sancionado é o que alguém começou a usar por conta própria, como o conversor de PDF online ou a ferramenta de anotação gratuita.

O tratamento é diferente. No sancionado, o CASB aplica política fina, como permitir a edição e bloquear o download em aparelho pessoal. No não sancionado, o primeiro passo é descobrir que ele existe e decidir: liberar, oferecer alternativa ou bloquear.

O problema do app não sancionado tem nome e post próprio: Shadow IT. Ali estão os riscos e o método para descobrir o que roda na empresa. O CASB é uma das ferramentas desse levantamento.

CASB, DLP, SSE e SASE: como se encaixam

O CASB carrega uma parte do DLP. Quando ele inspeciona um arquivo dentro do armazenamento em nuvem e acha CPF em massa, ele faz prevenção de vazamento na linha de nuvem. As outras linhas (endpoint, rede, e-mail, IA generativa) estão detalhadas em O que é DLP.

O cuidado é não manter duas regras para o mesmo dado. Se o DLP do endpoint chama um documento de "confidencial" e o CASB usa outra lista de padrões, o mesmo contrato é bloqueado num lugar e liberado no outro. A política boa nasce de uma classificação de dados única, que as duas ferramentas leem.

Hoje é raro comprar CASB sozinho. O NIST SP 800-215 lista os serviços de CASB e de DLP entre os serviços de segurança mínimos da maioria das ofertas comerciais de SASE. A conta completa, com gateway web, acesso de confiança zero e rede, está em SASE. Dentro dessas plataformas, o CASB continua sendo a peça que entende o app de nuvem por dentro.

Como escolher um CASB sem cair em demonstração bonita

Demonstração de CASB costuma mostrar um painel cheio de apps descobertos e um gráfico de risco. O painel impressiona e responde pouco. As perguntas abaixo separam cobertura real de promessa.

1. Quais dos meus apps vocês cobrem por API? Leve a lista dos seus apps sancionados e peça a resposta app por app. Cobertura por API varia muito, e app pequeno costuma ficar de fora.
2. Como vocês tratam aparelho não gerenciado? Peça para ver o fluxo do proxy reverso com um celular pessoal, do login ao bloqueio de download.
3. Vocês inspecionam tráfego criptografado? Quase todo app de nuvem usa TLS. Sem inspeção, o proxy direto vê o destino e não vê o conteúdo. Pergunte também que apps ficam fora da inspeção por quebrarem.
4. Como integra com o meu SSO? O proxy reverso depende do provedor de identidade para redirecionar o login. Se a integração for frágil, o usuário contorna. O desenho de identidade está em IAM e SSO.
5. Onde ficam os logs e por quanto tempo? Log de CASB tem nome, e-mail, endereço IP e nome de arquivo, e isso é dado pessoal pela LGPD. Pergunte em que país o registro fica guardado, quem acessa e como você exporta para o seu SIEM.
6. Quanto tempo leva para o alerta aparecer no modo API? O Gartner registra que o DLP por API pode atrasar, porque cada provedor informa o movimento de dado num ritmo. Peça o número medido num teste com os seus apps.
7. O que acontece quando o CASB fica fora do ar? Proxy em falha pode derrubar o acesso ao app ou deixar tudo passar. Você precisa saber qual dos dois e quem decide.

Uma pergunta extra ajuda a calibrar o resto: o que o provedor do seu app já entrega no plano que você paga. O modelo de responsabilidade compartilhada na nuvem deixa a configuração de acesso e o compartilhamento de arquivos do lado do cliente. Parte do que o CASB faz por API, o painel de administração do provedor já mostra, sem a correlação entre apps.

O teste antes de qualquer contrato

No caso da pasta de contratos, a API teria mostrado o link público no primeiro dia de varredura, e o proxy reverso teria barrado os três downloads feitos de celulares que a empresa nunca cadastrou.

Antes de abrir a conversa com fornecedor, faça um levantamento de uma tarde no que você já tem. No painel do provedor de e-mail e de arquivos, liste os apps de terceiros com acesso OAuth e os links públicos criados no último ano. No firewall ou no proxy atual, exporte os domínios de nuvem mais acessados no último mês.

O resultado diz qual modo de CASB você precisa primeiro. Se aparecer muito link público e permissão antiga, comece pela API. App desconhecido no tráfego pede proxy direto, e equipe que trabalha de celular pessoal pede proxy reverso.