Introdução ao Diagnóstico de Acesso e Segredo
Terceiro dia de diagnóstico numa healthtech de agendamento, catorze pessoas no time, produto rodando fazia quase três anos com uma agência que tinha saído em janeiro. Rodei um scan de segredo no histórico do git enquanto o café esfriava. O terminal cuspiu vinte e três achados. Estava tudo ali, no repositório que qualquer pessoa com acesso ao GitHub da empresa conseguia clonar em trinta segundos.
Acessos Não Controlados
Aqui vem a parte que costuma incomodar o founder mais do que o segredo em si: três ex-prestadores da agência ainda estavam no org do GitHub. Um deles tinha saído oito meses antes. Ninguém revogou nada. Ninguém lembrou de revogar.
Acesso é Fácil de Dar e Chato de Tirar
Quando founder pensa em segurança, pensa em ataque: alguém de fora, um hacker de moletom, um ransomware. Na prática, o risco mais comum que a gente encontra não tem invasor nenhum. É acesso que sobrou. Gente que entrou pra fazer um trabalho, ganhou uma chave, entregou o trabalho e foi embora, e a chave ficou.
Montando o Inventário de Acesso
No diagnóstico, uma das primeiras coisas que a gente faz é montar um inventário de quem alcança o quê. Não é auditoria de compliance com carimbo, é uma lista suja de tudo que tem chave na mão. Quase sempre volta com os mesmos padrões: segredo no histórico do git, ex-prestador com acesso ativo, conta root compartilhada, segredo hardcoded no código, dashboard de terceiro esquecido.
Ações para Reduzir o Risco
Montar o inventário de acesso é menos glamouroso do que parece: é abrir gaveta por gaveta e anotar quem ainda tem cópia da chave. Nenhum desses itens exige um gênio pra explorar. Exige só que uma pessoa errada, um ex-prestador chateado ou um notebook roubado com o repositório clonado, resolva usar o que já tem na mão. E antes que alguém ache que estou dramatizando com aquele “seis segredos válidos”: dois eram de ambiente de sandbox, admito, só percebi isso depois de já ter rotacionado tudo. Mas mesmo cortando pra quatro chaves de produção vivas, quatro é quatro a mais do que deveria existir.
Conclusão
Por que o fornecedor barato nunca faz essa faxina. Isso raramente é maldade ou incompetência crua. É o incentivo funcionando exatamente como foi desenhado. Uma agência ou um bodyshop que vende hora e entrega feature é pago pelo que aparece na tela. Rotação de segredo, revogação de acesso, cofre de credencial: nada disso vira demo bonita na reunião de sexta. É trabalho invisível, e trabalho invisível num contrato que paga por entrega visível simplesmente não acontece.