Cloud Compliance

A conformidade na nuvem é a disciplina de demonstrar que dados, cargas de trabalho e seus controles em serviços de nuvem atendem aos requisitos aplicáveis à organização. Isso inclui leis como GDPR, HIPAA ou LGPD, compromissos contratuais como o PCI DSS e frameworks de avaliação como ISO 27001 e SOC 2. Migrar sistemas para um provedor de nuvem muda onde os controles funcionam, não as obrigações.

O que precisa ser controlado depende do modelo de serviço. Na infraestrutura como serviço (IaaS), o cliente configura sistemas operacionais, aplicações e definições de dados, então a maior parte dos requisitos se aplica diretamente. No software como serviço (SaaS), o provedor opera a plataforma, enquanto o cliente governa as identidades, as configurações de compartilhamento e o que os usuários podem exportar. Em todos os modelos, os dados regulados continuam sob responsabilidade do cliente.

Todo grande provedor publica um modelo de responsabilidade compartilhada. O provedor responde pela nuvem em si: hardware, segurança física e disponibilidade. O cliente responde pela segurança e pela conformidade na nuvem: classificação de dados, decisões de acesso, configuração e atividade dos usuários. As certificações do provedor cobrem apenas o lado dele dessa linha, nunca o do cliente.

A divisão importa porque os reguladores responsabilizam o dono dos dados. Uma autoridade fiscalizadora não aceita “o provedor era certificado” como resposta quando a causa foi um bucket de armazenamento mal configurado, um compartilhamento aberto a quem tivesse o link ou um funcionário que exportou registros para uma conta pessoal. O trabalho de conformidade começa mapeando a matriz de responsabilidades de cada serviço às obrigações da organização e fechando as lacunas do lado do cliente: identidade, configuração, registro de logs e tratamento de dados.

A lei de proteção de dados segue os dados, não a infraestrutura. Pelo GDPR, usar um provedor de nuvem cria uma relação de operador: é preciso um contrato de tratamento de dados, subcontratados documentados e garantias de transferência quando os dados saem da região. O HIPAA exige um contrato de associado comercial antes que informações de saúde protegidas cheguem aos serviços do provedor.

Daí decorrem dois deveres. O primeiro é saber quais dados regulados existem e onde estão: quais serviços os guardam, em quais regiões e sob quais contratos. Isso é impossível sem classificação e sem um inventário de serviços que inclua também o Shadow IT, ou seja, as ferramentas que os colaboradores adotaram por conta própria. O segundo é controlar a movimentação. Dados regulados que saem do perímetro aprovado por meio de uma conta não autorizada ou de um compartilhamento mal direcionado são um evento de conformidade e podem também caracterizar uma violação de dados, mesmo sem intenção maliciosa.

Os frameworks fornecem o vocabulário com que a conformidade é demonstrada a clientes, auditores e reguladores. Os mais solicitados estão listados abaixo.

Um provedor de nuvem não reduz o escopo do PCI DSS: o ambiente de dados do portador do cartão precisa ser avaliado onde quer que funcione.

A auditoria na nuvem tem duas camadas. A camada do provedor se apoia nas suas atestações, como o relatório SOC 2 e o certificado ISO 27001. A camada do cliente se apoia em evidências que a própria organização produz: linhas de base de configuração, revisões de acesso, logs de atividade e registros de incidentes.

O monitoramento contínuo de conformidade substitui a fotografia anual. Como os ambientes de nuvem mudam todos os dias, os auditores esperam evidências geradas automaticamente: alertas de desvio de configuração, trilhas de auditoria completas sobre quem fez o quê em cada serviço e relatórios sob demanda. A camada do cliente costuma seguir quatro passos:

1. 1

   Linha de base

   Registrar a configuração aprovada de cada serviço de nuvem e comparar cada mudança com ela.

2. 2

   Revisar acessos

   Verificar quem acessa cada serviço e remover contas que já não têm responsável.

3. 3

   Manter a trilha

   Guardar quem fez o quê em cada serviço, com horário e objeto, pelo tempo que a política exigir.

4. 4

   Relatório sob demanda

   Gerar as evidências para o auditor a partir dos registros guardados, não da memória.

No Anexet, esse controle acontece no computador do colaborador: as configurações do controle de armazenamento em nuvem no perfil do agente definem o nível de acesso, o modo de auditoria e a cópia-sombra de cada serviço.

Na prática, um programa reúne alguns componentes: um inventário dos serviços de nuvem em uso, inclusive os não autorizados; a classificação dos dados que chegam a eles; o mapeamento dos controles para cada framework aplicável, de modo que um controle atenda vários requisitos; a aplicação nos canais por onde os dados entram e saem dos serviços; e a coleta de evidências que torna tudo isso demonstrável sob demanda.

Nenhum desses componentes é específico de uma única regulamentação. As obrigações se multiplicam com uma nova lei de privacidade, um novo contrato ou uma nova versão de um framework, enquanto os controles básicos raramente mudam. As organizações que mantêm inventário, classificação, aplicação e trilha de auditoria absorvem cada novo requisito mapeando-o aos controles existentes. A parte de proteção desse trabalho é descrita em segurança de dados na nuvem.

Leitura adicional: Use o sistema Anexet Ultimate DLP para atender ao RGPD.