[Segurança] A responsabilidade compartilhada na nuvem

Um aspecto muito importante, quando discutimos a segurança em ambientes de computação em nuvem, é que os cuidados de gestão, conformidade e de segurança são compartilhados entre o cliente e o provedor de serviços em nuvem. Mas esse compartilhamento de responsabilidades varia dependendo do tipo de serviço em nuvem contratado: quanto mais recursos você tem no ambiente, maior a sua responsabilidade.

Como diz a AWS, "normalmente essa diferenciação da responsabilidade é mencionada como segurança da nuvem vs. segurança na nuvem."

De uma forma geral, o provedor de serviços em nuvem é responsável pela proteção da infraestrutura que oferece suporte à nuvem e os serviços prestados, enquanto os clientes são responsáveis por tudo aquilo que colocam na nuvem ou conectam ao seu ambiente em nuvem. 

Um documento da NSA, sobre mitigação de vulnerabilidades na nuvem, tem um diagrama que representa muito bem como funciona a responsabilidade compartilhada entre o cliente e o provedor de serviços em Nuvem:

Ou seja, quanto maior a abstração do serviço, ou seja, quanto mais recursos o provedor de nuvem oferece, maior é a sua responsabilidade. Ao mesmo tempo, quanto mais abstrato, menor a possibilidade do cliente customizar a segurança do seu serviço em nuvem.

Esse modelo compartilhado pode ajudar a reduzir a carga operacional do cliente, uma vez que tira dele parte da responsabilidade por cuidar da segurança - algo muito importante se o cliente não tem essa expertise internamente (ou se não tem condições de manter profissionais dedicados ao tema).

Para saber mais:

• "Mitigating Cloud Vulnerabilities" da NSA
• "Modelo de responsabilidade compartilhada" da AWS
• Whitepaper "Cloud Security and the Shared Responsibility Model" do Center for Internet Security (CIS)
• Whitepaper "Navegando em conformidade com a LGPD na AWS"

PS: Última atualização em 15/06.