Existem várias questões importantes quando se trata da governança de riscos quando se migram sistemas para provedores de nuvem. Assinale a afirmativa correta relacionada à questões relativas à governança de sistemas em nuvem.
- A)A migração dos dados empresariais para a nuvem significa que a responsabilidade pela segurança dos dados passa a ser do provedor de nuvem.
Errada, porque a migração para a nuvem não transfere integralmente a responsabilidade pela segurança dos dados para o provedor.
- B)A sobreposição de fronteiras de confiança de dados de nuvem pode proporcionar aos consumidores maior segurança contra sistemas automatizados mal-intencionados
Errada, porque a sobreposição de fronteiras de confiança não aumenta, por si só, a segurança contra sistemas mal-intencionados; isso depende de controles e governança.
- C)Um provedor de nuvem não confiável pode não manter as garantias que faz nos SLAs publicados para seus serviços de nuvem. Isso pode comprometer a qualidade das soluções do consumidor de nuvem que dependem desses serviços de nuvem.
Certa, porque um provedor de nuvem pode não cumprir os SLAs prometidos, afetando a qualidade e a disponibilidade do serviço do consumidor.
- D)Devido aos padrões estabelecidos dentro da indústria de computação em nuvem, as nuvens públicas facilitam mudar de um provedor de nuvem para outro.
Errada, porque a existência de padrões na nuvem não significa que a troca de provedor seja sempre simples ou facilitada.
- E)Os consumidores de nuvem sempre são informados da localização física de seus recursos de TI e dados quando hospedados em nuvens públicas.
Errada, porque em nuvens públicas o consumidor nem sempre sabe a localização física exata dos dados e recursos.
Gabarito: C
Quando o assunto é nuvem, o ponto mais importante é este: migrar o sistema não faz a responsabilidade pela segurança sumir da empresa. Em geral, existe um modelo de responsabilidade compartilhada, em que o provedor cuida de parte da infraestrutura e o consumidor continua responsável por dados, configurações, acessos e uso correto do serviço. Ou seja, nuvem não é “terceirização mágica” da segurança. Na governança de riscos, isso exige olhar com lupa para contratos, SLAs, controles de acesso, auditoria, continuidade do serviço e dependência do fornecedor. Se o provedor promete um nível de serviço e não entrega, isso afeta diretamente a operação do consumidor, porque o negócio passa a depender daquela disponibilidade, integridade e desempenho. É por isso que governança em nuvem não é só tecnologia: é também gestão de risco e de fornecedor. O gabarito é a letra C porque ela traduz exatamente esse risco: um provedor não confiável pode deixar de cumprir as garantias prometidas em SLA, comprometendo a qualidade da solução do cliente. Isso é clássico em governança de TI e cloud: a empresa continua “dona do problema” perante seu negócio, mesmo usando recursos de terceiros. Como pano de fundo doutrinário, vale lembrar o modelo de responsabilidade compartilhada amplamente adotado no mercado e refletido em práticas de governança e segurança da informação. Em concursos, a FGV costuma cobrar essa lógica com pegadinhas sobre quem responde por quê, então desconfie de frases que jogam toda a responsabilidade para o provedor.