Quando um CISO apresenta o roadmap de segurança em nuvem para o conselho, dois acrônimos aparecem frequentemente na mesma slide: CASB e DSPM. A maioria dos gestores trata os dois como equivalentes ou complementares genéricos. Não são.
A confusão é compreensível — ambos lidam com dados em nuvem, ambos prometem visibilidade, ambos têm fornecedores que os posicionam como “plataforma completa”. Mas o que cada um protege, e como, é fundamentalmente diferente.
O que o CASB realmente faz
Um Cloud Access Security Broker (CASB) se posiciona entre os usuários e os serviços cloud. Ele inspeciona tráfego de rede para aplicar políticas:
- Detectar o uso de aplicações SaaS não aprovadas (Shadow IT por URL)
- Bloquear uploads de dados para serviços não autorizados
- Aplicar DLP sobre dados em trânsito
- Forçar autenticação e controles de sessão
O CASB opera na camada de rede e acesso. Ele vê o fluxo de dados: de onde vem, para onde vai, qual aplicação está envolvida.
O que o CASB não vê: o que está dentro dos dados que já estão nos seus repositórios autorizados.
O que o DSPM realmente faz
O Data Security Posture Management (DSPM) opera dentro dos seus ambientes de dados — cloud, SaaS, bancos de dados, armazenamento. Ele responde perguntas diferentes:
- Onde estão os dados sensíveis que já existem?
- Quem tem acesso a eles — e quem deveria ter?
- Esses dados estão expostos excessivamente?
- Qual é o blast radius se uma conta for comprometida?
O DSPM opera na camada de dado e identidade. Ele vê o conteúdo e as permissões, não o tráfego.
A diferença em um cenário real
Imagine que um analista de RH exporta uma planilha com dados salariais de todos os funcionários para um SharePoint departamental com acesso para toda a organização.
| Ferramenta | O que detecta? |
|---|---|
| CASB | O upload para o SharePoint (se monitorado em tempo real) |
| DSPM | Que a planilha existe, contém dados sensíveis (PII + financeiro), está acessível para 3.500 pessoas além do necessário, e qual é o risco de cada identidade com acesso |
O CASB pode alertar no momento do upload. O DSPM responde depois — mas com muito mais profundidade sobre o que está exposto, para quem, e por quanto tempo.
Onde cada um resolve melhor
Regra prática: CASB para controlar o fluxo de dados entrando nos seus ambientes cloud. DSPM para entender e remediar o risco dos dados que já estão nesses ambientes.
Casos onde o CASB resolve:
- Bloquear o uso de ChatGPT no ambiente corporativo (por URL/aplicação)
- Impedir uploads para Dropbox pessoal via proxy
- Forçar autenticação antes de acessar Salesforce fora da rede corporativa
- Detectar contas SaaS não aprovadas sendo usadas pela organização
Casos onde o DSPM resolve:
- Identificar quais arquivos no SharePoint contêm CPF ou dados de cartão
- Calcular quantos dados sensíveis um usuário específico pode acessar
- Detectar que um bucket S3 com dados de clientes tem acesso público
- Remediar permissões excessivas antes de habilitar o Copilot M365
- Responder a uma auditoria da LGPD com evidência técnica
Por que as organizações precisam dos dois — mas na ordem certa
A maioria das organizações implanta CASB antes de DSPM. Faz sentido: o CASB resolve o Shadow IT visível, tem retorno rápido e é mais fácil de justificar para o board.
O DSPM entra quando a organização já tem os dados nos ambientes autorizados e percebe que controlar o tráfego não é suficiente se você não entende o que está dentro.
A sequência típica de maturidade:
Firewall/Proxy
→ CASB (Shadow IT, controle de tráfego)
→ IAM/PAM (identidades e privilégios)
→ DSPM (dados, permissões, risco contextual)
→ DSPM + AI Governance (risco de IA sobre dados)O risco de depender só do CASB em 2026
O CASB foi desenhado para um mundo onde Shadow IT era usar Dropbox em vez de Box. Em 2026, o Shadow IT é um funcionário usando ChatGPT com um contrato sensível colado no prompt — via HTTPS, pelo mesmo proxy que o CASB inspeciona, com uma URL que parece legítima.
Além disso, o CASB não resolve:
- Dados históricos já armazenados com permissões excessivas
- Risco de IA generativa nos seus próprios sistemas (Copilot, RAG interno)
- Conformidade LGPD com evidência de onde cada dado pessoal está
- Blast radius por identidade comprometida
Conclusão
CASB e DSPM não competem — eles cobrem superfícies diferentes. A lacuna está em achar que um substitui o outro.
Se sua organização tem CASB mas não tem visibilidade do risco dos dados que já estão nos seus ambientes autorizados, você está protegendo a porta enquanto a janela está aberta.
O diagnóstico DSPM gratuito avalia exatamente esse ponto cego: o que está nos seus repositórios, quem pode acessar, e qual é o risco real.