A migração para a nuvem trouxe agilidade e economia — e também uma ilusão perigosa: a de que a segurança "vem junto" do provedor. Não vem. Entender onde termina a responsabilidade da AWS, do Azure ou do Google Cloud e onde começa a sua é o primeiro passo para proteger dados em ambientes multicloud.
O modelo de responsabilidade compartilhada
Os provedores garantem a segurança da nuvem: datacenters, hardware, infraestrutura física. Você é responsável pela segurança na nuvem: configurações, controles de acesso, criptografia dos seus dados e conformidade com a LGPD. A esmagadora maioria dos vazamentos em nuvem não decorre de falha do provedor, e sim de configuração incorreta do cliente.
Os erros de configuração mais comuns
- Buckets e storages públicos: repositórios de arquivos acessíveis a qualquer pessoa na internet — o clássico dos vazamentos noticiados.
- Acessos excessivos: usuários e aplicações com permissões muito além do necessário. O princípio do menor privilégio existe para ser aplicado.
- Credenciais expostas: chaves de API commitadas em repositórios de código ou compartilhadas por e-mail.
- Ausência de criptografia: dados sensíveis armazenados sem criptografia em repouso, contrariando as boas práticas exigidas pela LGPD.
- Logs desativados: sem trilhas de auditoria, é impossível investigar um incidente ou demonstrar diligência à ANPD.
Multicloud multiplica a complexidade
Usar múltiplos provedores é cada vez mais comum — e cada um tem seu próprio modelo de permissões, suas ferramentas e seus padrões. Sem uma camada unificada de governança, surgem pontos cegos: dados replicados sem controle, políticas inconsistentes e ninguém com visão do todo.
Para a LGPD, não importa em qual nuvem o dado vazou: a responsável perante o titular e a ANPD é a sua empresa.
Estratégias essenciais
- Inventarie onde estão os dados pessoais em cada nuvem (data mapping inclui a nuvem, sempre).
- Padronize políticas de acesso e criptografia entre provedores.
- Ative MFA e revise permissões trimestralmente.
- Monitore continuamente configurações incorretas com ferramentas de CSPM ou um SOC gerenciado.
- Verifique os contratos com provedores: cláusulas de tratamento de dados e transferência internacional são exigências da LGPD.
Quer aplicar isso na sua empresa?
Solicite uma análise de risco gratuita e receba um plano de ação priorizado para o seu cenário.
Solicitar análise gratuita