Modelo de responsabilidade compartilhada: IaaS, PaaS e SaaS

Os serviços de Cloud são oferecidos em três modelos principais, cada um proporcionando um nível diferente de abstração. A Infrastructure as a Service (IaaS) fornece recursos brutos de computação, armazenamento e rede. A Platform as a Service (PaaS) adiciona OS, middleware e ambientes de execução. A Software as a Service (SaaS) oferece aplicativos totalmente funcionais pela internet. Entender esses modelos é essencial porque as responsabilidades de segurança diferem significativamente entre eles.

O modelo de responsabilidade compartilhada define quais tarefas de segurança são obrigação do provedor de Cloud e quais pertencem ao cliente. O modelo costuma ser resumido assim: o provedor é responsável pela segurança da Cloud (datacenters físicos, hipervisores e infraestrutura de rede), enquanto o cliente é responsável pela segurança na Cloud (dados, gerenciamento de acesso, segurança de aplicativos e configuração). Não entender esse limite é uma das principais causas de incidentes de segurança na Cloud.

Em IaaS, o cliente assume a maior parte da responsabilidade pela segurança. O provedor de Cloud protege a infraestrutura física, o hipervisor e a estrutura de rede. O cliente é responsável por: instalação, aplicação de correções e fortalecimento do OS; configuração do ambiente de execução e do middleware; segurança dos aplicativos; regras dos grupos de segurança de rede; políticas de IAM e gerenciamento de usuários; criptografia de dados em repouso e em trânsito; e configuração de conformidade. A IaaS oferece controle máximo, mas exige o máximo esforço de segurança.

Em PaaS, o provedor assume o gerenciamento do OS e do ambiente de execução. O cliente não aplica mais correções no sistema operacional nem gerencia o middleware — o provedor cuida disso. No entanto, o cliente continua responsável por: segurança do código do aplicativo (sem SQLi, XSS etc.), classificação e criptografia de dados, gerenciamento de identidade e acesso, configuração do aplicativo (variáveis de ambiente e gerenciamento de segredos) e segurança das APIs. A PaaS transfere parte da carga para o provedor, enquanto os clientes se concentram na lógica do aplicativo.

Em SaaS, o provedor gerencia quase tudo. As principais responsabilidades de segurança do cliente são: gerenciamento de acesso (quem tem contas, aplicação de MFA e revisão de permissões), governança de dados (quais dados são carregados e por quanto tempo são mantidos), segurança da configuração (configurações de privacidade, permissões de compartilhamento e integrações de terceiros) e conformidade com o uso aceitável. Muitas violações de segurança em SaaS resultam de configurações incorretas de compartilhamento ou de permissões excessivas para aplicativos de terceiros, e não de falhas do provedor.

Alguns controles são compartilhados entre o provedor e o cliente. Por exemplo, a criptografia: o provedor de nuvem pode oferecer serviços de criptografia (KMS, criptografia padrão), mas o cliente precisa habilitá-los, configurar o gerenciamento de chaves e escolher algoritmos apropriados. Da mesma forma, no caso da identidade, o provedor fornece ferramentas de IAM, mas o cliente precisa configurar políticas de menor privilégio e impor MFA. Presumir que o provedor gerencia um controle compartilhado e não configurá-lo é um erro comum e perigoso.

O modelo de responsabilidade compartilhada falha com mais frequência devido à configuração incorreta feita pelo cliente, não a falhas do provedor. Exemplos clássicos: buckets do S3 deixados publicamente acessíveis (violação da Capital One em 2019, com 100 milhões de registros expostos), funções do IAM permissivas demais que permitem elevação de privilégios, grupos de segurança com regras de entrada 0.0.0.0/0 em portas sensíveis e credenciais padrão que não foram alteradas em bancos de dados implantados na nuvem. A infraestrutura subjacente do provedor era segura; a configuração do cliente, não.

Um dos principais desafios do modelo compartilhado é a visibilidade. Em ambientes locais, as equipes de segurança controlam todos os registros de eventos. Na nuvem, os registros da infraestrutura do provedor podem não estar acessíveis. Os clientes precisam habilitar serviços de registro nativos da nuvem: AWS CloudTrail, Azure Monitor e GCP Cloud Audit Logs capturam chamadas de APIs e alterações de configuração. Sem habilitar esses serviços, uma organização não tem uma trilha de auditoria de quem fez o quê em seu ambiente de nuvem — uma grande lacuna de conformidade e perícia forense.

Quando as organizações usam Provedores de Serviços Gerenciados (MSPs) para operar ambientes de nuvem, a responsabilidade é dividida entre três partes. O cliente precisa garantir que os contratos (SLAs e DPAs) definam claramente as obrigações de segurança. Aplicativos de nuvem de terceiros acessados por meio de SaaS introduzem complexidade adicional: o consentimento OAuth concedido a um aplicativo permissivo demais dá a esse aplicativo acesso aos seus dados. Revisar e auditar regularmente os consentimentos OAuth de terceiros faz parte das boas práticas de segurança de SaaS.

Os requisitos de conformidade não desaparecem porque as cargas de trabalho foram transferidas para a nuvem. HIPAA exige um Acordo de Associado Comercial (BAA) com provedores de nuvem que lidam com PHI — AWS, Azure e GCP oferecem BAA. PCI-DSS exige que o ambiente de nuvem esteja dentro do escopo da avaliação; as matrizes de responsabilidade compartilhada dos provedores documentam quais controles PCI são atendidos. As organizações precisam entender o que é coberto pelo provedor e o que devem implementar por conta própria para passar nas auditorias.

O modelo de responsabilidade compartilhada tem peso jurídico. Os Termos de Serviço do provedor de nuvem e os Acordos de Nível de Serviço (SLAs) especificam as garantias de disponibilidade e as exclusões. Os Acordos de Processamento de Dados (DPAs) previstos no GDPR definem as obrigações do processador. Se ocorrer uma violação devido a uma falha do provedor, o cliente terá direito a medidas corretivas previstas no SLA. Se a violação ocorrer devido a uma configuração incorreta do cliente, o provedor não terá responsabilidade. Entender os contratos é tão importante quanto entender os controles técnicos.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: o modelo de responsabilidade compartilhada define as obrigações de segurança do provedor e do cliente em IaaS, PaaS e SaaS; os clientes têm a maior responsabilidade de segurança em IaaS e a menor em SaaS, mas sempre são responsáveis pelo gerenciamento de acesso e pela governança de dados; e a configuração incorreta do cliente — não uma falha do provedor — é a principal causa de violações na nuvem. A seguir, exploraremos a segurança do armazenamento em nuvem e os riscos de exposição de dados.