Governança multicloud: o custo invisível da expansão desordenada nas empresas

O Brasil é um dos países que mais rapidamente expandiram o uso de múltiplos provedores de nuvem no mundo e, nessa corrida, deixou para trás algo que nenhum balanço financeiro consegue ignorar por muito tempo: a governança. Levantamentos globais mostram que entre 27% e 29% de tudo o que as empresas investem em cloud é simplesmente desperdiçado – um reflexo direto da ausência de governança multicloud. Recursos ociosos, serviços duplicados, acessos fora de controle, gastos contratados sem visibilidade sobre o que realmente está sendo consumido. Para um mercado que movimenta dezenas de bilhões de dólares ao ano, essa proporção representa uma hemorragia financeira silenciosa, que se instala gradualmente à medida que os ambientes crescem sem planejamento unificado.

Mais da metade das empresas brasileiras já opera com mais de um provedor de nuvem simultaneamente, e a tendência é de aceleração. Os principais hyperscalers anunciaram, nos últimos dois anos, investimentos bilionários em infraestrutura no país, reforçando o Brasil como hub regional de cloud na América Latina. A lógica da diversificação faz sentido do ponto de vista estratégico: reduzir dependência de um único fornecedor, aproveitar capacidades específicas de cada plataforma, garantir continuidade operacional. O que raramente entra no cálculo inicial é o custo de operar múltiplos ambientes sem uma camada de controle que os unifique.

A ausência de governança multicloud não é apenas um problema técnico, restrito à área de tecnologia. Ela se manifesta diretamente nos resultados financeiros, na postura de segurança da informação e, no contexto brasileiro, na capacidade de cumprir exigências regulatórias cada vez mais específicas e aplicadas com rigor crescente. Este artigo discute por que a governança multicloud se tornou uma prioridade de gestão e o que as organizações mais maduras estão fazendo para transformar complexidade em vantagem competitiva.

A ilusão da flexibilidade: quando a estratégia multicloud vira labirinto

A adoção de múltiplos provedores de cloud é, em teoria, uma decisão de resiliência. Na prática, porém, ela introduz camadas de complexidade que se multiplicam de forma não linear. Cada provedor contratado traz seu próprio modelo de controle de identidade e acesso, seus painéis de custo, seus frameworks de compliance e suas configurações de segurança. Quando esses elementos coexistem sem uma camada centralizada de governança, a organização passa a operar em silos paralelos, onde decisões tomadas em um ambiente raramente consideram o impacto sobre os outros.

A pesquisa da HashiCorp com a Forrester, conduzida com mais de mil organizações globais, revelou um dado que deveria ser mais debatido nas diretorias: apenas 8% das empresas atingem maturidade real em sua estratégia de cloud. Os outros 92% operam em algum grau de improviso. E 91% dos respondentes admitiram que desperdiçam parte do que investem em nuvem. O problema não é específico de uma empresa ou setor, é sistêmico, e afeta proporcionalmente mais quem cresce mais rápido sem construir controles junto.

O crescimento acelerado sem governança cria o que os especialistas chamam de sprawl de cloud: um ambiente onde ninguém sabe ao certo quantos recursos estão ativos, quem os contratou, para qual finalidade, e se ainda são necessários. Times de negócio que provisionam serviços por conta própria, projetos descontinuados que deixam instâncias rodando, ambientes de homologação que nunca foram desligados. Cada um desses elementos contribui para um ecossistema crescentemente opaco, caro de manter e difícil de auditar. A visibilidade não é apenas uma conveniência operacional, é o pré-requisito para qualquer decisão de tecnologia que pretenda ter impacto financeiro mensurável.

O desperdício tem nome – e aparece na fatura

Falar em desperdício pode soar abstrato. Os números, porém, são muito concretos. Com gastos globais em cloud pública projetados em mais de USD 700 bilhões ao ano, a proporção de 27% a 29% desperdiçada representa entre USD 190 bilhões e USD 230 bilhões evaporando anualmente em recursos contratados mas não utilizados, ou utilizados de forma ineficiente. No contexto brasileiro, com um mercado de cloud que superou USD 20 bilhões, a mesma proporção implica bilhões em capital que deixam de gerar retorno.

As causas são conhecidas e recorrentes. Recursos superprovisionados lideram o ranking: instâncias dimensionadas para picos de carga que nunca acontecem, bancos de dados com capacidade reservada muito além da demanda real, ambientes de desenvolvimento que ficam ativos durante o fim de semana sem que ninguém perceba. Levantamentos do setor mostram que a utilização média de CPU em ambientes cloud orbita entre 15% e 20%, o que significa que, na maior parte do tempo, as empresas pagam pelo dobro ou pelo quádruplo do que realmente consomem.

O fenômeno do shadow IT amplifica esse problema. Quando times de negócio contratam serviços de cloud por conta própria, fora do controle da área de tecnologia, criam ilhas de gasto que nenhum painel de gestão financeira captura. O Gartner estima que entre 30% e 40% dos gastos de tecnologia em grandes empresas ocorrem fora da visibilidade do departamento de TI. O resultado prático são contas que chegam ao final do mês com valores muito acima do orçamento previsto. A Forrester identificou que 72% dos tomadores de decisão de TI reportaram ter estourado o orçamento de cloud no último exercício fiscal, com um excesso médio de 17% sobre o planejado. O dado mais revelador é que apenas 30% das organizações sabem, com precisão, para onde vai seu investimento em cloud, o que torna o controle orçamentário, na maior parte dos ambientes multicloud, um exercício de aproximação.

Segurança como consequência direta da governança multicloud

A gestão financeira é a face mais visível do problema. Mas a ausência de governança multicloud tem um custo ainda mais severo quando se considera o vetor de segurança. Levantamentos consistentes do setor apontam que 95% das falhas de segurança em ambientes de cloud decorrem de configurações incorretas, não de vulnerabilidades sofisticadas das plataformas nem de ataques de dia zero, mas de erros humanos evitáveis que se acumulam na complexidade mal gerenciada.

Quando uma organização opera em múltiplos provedores sem políticas centralizadas de identidade e acesso, cada plataforma passa a ter seu próprio conjunto de permissões, suas próprias regras de autenticação, seus próprios registros de atividade. Identidades com privilégios excessivos acumuladas ao longo do tempo, contas de serviço sem responsável definido, configurações permissivas criadas para resolver um problema pontual e nunca revisadas. Esses são os vetores que, segundo investigações de resposta a incidentes, aparecem em quase 90% das violações de segurança em cloud. O custo médio de uma violação de dados ultrapassou USD 4,4 milhões globalmente, e incidentes que envolvem múltiplos ambientes de cloud levam em média quase 300 dias para serem detectados e contidos. O intervalo entre a brecha e a resposta é exatamente o período em que o dano se aprofunda.

A boa notícia é que essa classe de problemas responde diretamente a ferramentas específicas de governança. Soluções de gerenciamento de postura de segurança em cloud, conhecidas como CSPM, foram projetadas para detectar e corrigir configurações incorretas antes que se tornem incidentes. Já estão presentes em cerca de 89% das organizações que investem em segurança de cloud, mas a mera presença da ferramenta não garante resultado sem que haja processos e responsabilidades claras para agir sobre os alertas gerados. Governança multicloud eficaz é, antes de tudo, um modelo de operação, não apenas um conjunto de tecnologias.

A dimensão regulatória que o Brasil não pode ignorar

Para empresas brasileiras, o custo da desordem multicloud tem uma camada adicional que nenhum gestor pode desconsiderar: a regulatória. A Lei Geral de Proteção de Dados prevê multas de até 2% do faturamento anual no Brasil, com teto de R$ 50 milhões por infração. A autoridade nacional de proteção de dados deixou claro, com investigações e sanções recentes, que o enforcement não é retórico. A suspensão do uso de dados por parte de grandes plataformas e as investigações abertas contra empresas por ausência de responsável pela proteção de dados são exemplos concretos dessa disposição.

O ponto que frequentemente escapa ao planejamento multicloud é a classificação de dados armazenados em servidores fora do território nacional como transferência internacional, sujeita a regras específicas da LGPD. Na prática, contratar diferentes provedores com data centers em diferentes países exige a formalização de mecanismos contratuais específicos para cada fluxo de dados entre provedores e regiões. Sem esse mapeamento e sem essa formalização, a estratégia multicloud pode estar inadvertidamente criando passivos de compliance que, quando identificados em uma auditoria ou investigação, resultam em sanções com impacto financeiro e reputacional significativo.

Para o setor financeiro, as exigências vão além. O Banco Central, por meio de resoluções recentes com prazo de conformidade já vigente, estabeleceu controles mínimos obrigatórios que incluem autenticação multifator para acessos privilegiados, testes de penetração anuais conduzidos por terceiros independentes e programas de inteligência de ameaças cibernéticas como componente mandatório da política de segurança. Cumprir esses requisitos em ambientes multicloud sem uma estrutura de governança centralizada exige não apenas revisão de arquitetura, mas renegociação de contratos com cada provedor e ajuste de SLAs para garantir visibilidade e acesso aos dados que os reguladores podem requisitar.

O que organizações maduras fazem diferente

Há um conjunto de práticas que distingue as organizações que extraem valor real do multicloud daquelas que apenas acumulam complexidade. A primeira é a adoção de FinOps como disciplina operacional, não como projeto pontual. FinOps opera sobre o princípio de que custo é uma responsabilidade compartilhada entre tecnologia, negócio e finanças. Organizações com práticas maduras de FinOps reduzem seus custos de cloud em 20% a 30% de forma sustentável, não porque cortam recursos necessários, mas porque passam a consumir apenas o que de fato precisam. Não por acaso, o mercado de FinOps já supera USD 13 bilhões globalmente e cresce a taxas de dois dígitos, com 63% das organizações declarando ter equipes dedicadas a essa função.

A base operacional do FinOps é simples em conceito e complexa na execução: tudo precisa estar etiquetado. A prática de tagging, que consiste em atribuir metadados padronizados a cada recurso de cloud, é o que permite saber quem consome o quê, qual projeto gerou qual custo, qual equipe está superprovisionada. Sem tags consistentes, o controle interno de custos não funciona e o gestor de negócio perde a capacidade de relacionar decisões tecnológicas ao seu impacto financeiro. O problema é que tags exigem disciplina coletiva e políticas que se apliquem de forma uniforme entre provedores. Inconsistências simples de nomenclatura entre plataformas são suficientes para comprometer toda a estrutura de atribuição de custos.

O segundo pilar é a gestão centralizada de identidade e acesso. Em ambientes multicloud, cada provedor tem seu modelo nativo, e a governança eficaz exige uma camada de abstração que imponha políticas consistentes de menor privilégio em todos os ambientes, com ciclos regulares de revisão de permissões e revogação automática de acessos inativos. A maioria dos incidentes de segurança em cloud começa exatamente na identidade, em contas com mais permissões do que precisam e que ficam ativas tempo além do necessário. Por fim, a maturidade em governança multicloud passa pela automação de políticas via infraestrutura como código. Quando as regras de segurança, conformidade e custo são definidas em código, elas se tornam auditáveis, versionáveis e replicáveis entre provedores, e o erro humano de configuração manual é estruturalmente reduzido.

A expansão multicloud brasileira chegou ao ponto em que a ausência de governança deixa de ser um risco técnico e se torna um risco de negócio com impacto direto no resultado financeiro, na postura de segurança e na conformidade regulatória. As empresas que saírem na frente não serão necessariamente as que contrataram mais provedores, mas as que aprenderam a operar todos eles como um sistema coerente, com visibilidade unificada de custos, controles consistentes de acesso e políticas que se mantêm quando o time cresce e os ambientes se multiplicam. A pergunta que os gestores deveriam estar fazendo não é quanto estão gastando em cloud. É quanto desse gasto está, de fato, sendo convertido em valor.