Proteção de dados na nuvem: estratégias essenciais para ambientes multicloud

A migração para a nuvem trouxe agilidade e economia — e também uma ilusão perigosa: a de que a segurança "vem junto" do provedor. Não vem. Entender onde termina a responsabilidade da AWS, do Azure ou do Google Cloud e onde começa a sua é o primeiro passo para proteger dados em ambientes multicloud.

O modelo de responsabilidade compartilhada

Os provedores garantem a segurança da nuvem: datacenters, hardware, infraestrutura física. Você é responsável pela segurança na nuvem: configurações, controles de acesso, criptografia dos seus dados e conformidade com a LGPD. A esmagadora maioria dos vazamentos em nuvem não decorre de falha do provedor, e sim de configuração incorreta do cliente.

Os erros de configuração mais comuns

• Buckets e storages públicos: repositórios de arquivos deixados acessíveis publicamente por engano — o erro clássico dos vazamentos noticiados.
• Acessos excessivos: usuários e aplicações com permissões muito além do necessário. O princípio do menor privilégio existe para ser aplicado.
• Credenciais expostas: chaves de API commitadas em repositórios de código ou compartilhadas por e-mail.
• Ausência de criptografia: dados sensíveis armazenados sem criptografia em repouso, contrariando as boas práticas exigidas pela LGPD.
• Logs desativados: sem trilhas de auditoria, é impossível investigar um incidente ou demonstrar diligência à ANPD.

Multicloud multiplica a complexidade

Usar múltiplos provedores é cada vez mais comum — e cada um tem seu próprio modelo de permissões, suas ferramentas e seus padrões. Sem uma camada unificada de governança, surgem pontos cegos: dados replicados sem controle, políticas inconsistentes e ninguém com visão do todo.

Para a LGPD, não importa em qual nuvem o dado vazou: a responsável perante o titular e a ANPD é a sua empresa.

Estratégias essenciais

• Inventarie onde estão os dados pessoais em cada nuvem (data mapping inclui a nuvem, sempre).
• Padronize políticas de acesso e criptografia entre provedores.
• Ative MFA e revise permissões trimestralmente.
• Monitore continuamente configurações incorretas com ferramentas de CSPM ou um SOC gerenciado.
• Verifique os contratos com provedores: cláusulas de tratamento de dados e transferência internacional são exigências da LGPD.