O que é segurança em nuvem e por que ela é responsabilidade compartilhada

Um dos mal-entendidos mais caros em segurança digital é achar que migrar para a nuvem transfere toda a responsabilidade de segurança para o provedor. Não transfere. Todos os grandes provedores — AWS, Microsoft Azure, Google Cloud — operam sob um modelo chamado de responsabilidade compartilhada, e entender essa divisão é o primeiro passo para não deixar brechas abertas por engano.

O que o provedor protege

O provedor de nuvem é responsável pela segurança "da" nuvem: a infraestrutura física dos data centers, a rede global, o hardware, e a camada de virtualização. Isso é robusto, testado em escala, e não é o ponto onde a maioria dos incidentes acontece.

O que continua sendo responsabilidade da empresa

A empresa que usa o serviço é responsável pela segurança "na" nuvem: como os dados são configurados, quem tem acesso a quê, como as credenciais são geridas, como a rede virtual é segmentada, e como a aplicação em si foi construída. Praticamente todos os grandes incidentes de segurança envolvendo nuvem nos últimos anos não foram falha do provedor — foram configuração incorreta feita por quem usava o serviço.

Os erros de configuração mais comuns

• Bucket de armazenamento (como S3) configurado como público sem necessidade
• Credenciais de acesso com permissões mais amplas do que o necessário
• Ausência de registro de logs e monitoramento de atividade incomum
• Bancos de dados gerenciados expostos diretamente à internet sem necessidade
• Chaves de API e segredos deixados em código-fonte versionado

Por que isso importa para uma empresa pequena ou média

Não é preciso ser uma empresa grande para cometer esse tipo de erro — na verdade, empresas menores costumam ser mais vulneráveis a isso, porque geralmente não têm uma equipe dedicada de segurança em nuvem revisando configurações. Uma auditoria de segurança em nuvem existe justamente para revisar essa parte que é, por definição, responsabilidade de quem contrata o serviço — não do provedor.