Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — FCC 2026

Modelo de responsabilidade compartilhada em nuvem

Gabarito: letra B. No modelo de responsabilidade compartilhada, o provedor de nuvem (AWS, Azure, GCP) é responsável pela segurança da nuvem — infraestrutura física, hardware, datacenters, rede e virtualização — enquanto o cliente (no caso, o órgão público) é responsável pela segurança na nuvem — dados, sistemas operacionais, aplicações, acessos e configurações. Essa divisão é o cerne do modelo adotado pelos principais provedores e é a base para a gestão de riscos em ambientes de nuvem.

O modelo de responsabilidade compartilhada é um conceito fundamental em computação em nuvem. Ele define claramente quem é responsável por cada camada de segurança, evitando lacunas ou sobreposições. A lógica é simples: o provedor controla a infraestrutura física e a camada de virtualização, então ele deve proteger esses componentes. O cliente controla o que coloca na nuvem — dados, aplicações, configurações — então ele deve proteger esses elementos. Essa divisão não é uma escolha, mas uma consequência natural de quem tem controle sobre cada recurso.

A norma ISO/IEC 27001, que estabelece os requisitos para um Sistema de Gestão de Segurança da Informação (SGSI), reforça que a organização é responsável pela proteção das informações, mesmo quando utiliza serviços de terceiros. O contexto de apoio destaca: "A organização deve estar ciente de que a responsabilidade legal ou contratual pela proteção das informações dos clientes permanece com a organização mesmo se violações de segurança de dados compartilhados da organização ou de terceiros forem causados por componentes defeituosos ou vulneráveis da infraestrutura de TIC de certo fornecedor." Ou seja, a responsabilidade legal não é transferida ao provedor; ela permanece com o órgão público.

Na prática, imagine um tribunal que migra um sistema de processos eletrônicos para a AWS. A AWS é responsável por garantir que os datacenters tenham controle de acesso físico, que os servidores estejam atualizados e que a rede seja segura. O tribunal, por sua vez, é responsável por configurar corretamente as permissões de acesso (IAM), criptografar os dados sensíveis, gerenciar as chaves de criptografia, manter os sistemas operacionais das máquinas virtuais atualizados e garantir que os backups sejam feitos e testados. Se um dado vazar por uma configuração errada de um bucket de armazenamento, a responsabilidade é do tribunal, não da AWS.

A distinção crucial é entre "segurança da nuvem" e "segurança na nuvem". A primeira é de responsabilidade do provedor; a segunda, do cliente. Essa fronteira é o que a banca explora nas alternativas, tentando fazer o candidato acreditar que a responsabilidade é exclusiva de uma das partes ou que o provedor assume tudo.

A pegadinha desta questão é a tentativa de transferir toda a responsabilidade para o provedor ou para o órgão público, ignorando a natureza compartilhada do modelo. O candidato que não domina o conceito pode cair na alternativa C ou D, que apresentam visões extremas e incorretas. A alternativa B é a única que reflete corretamente a divisão de responsabilidades.

Guarde a fronteira entre "segurança da nuvem" (provedor) e "segurança na nuvem" (cliente): é exatamente nela que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Afirma que o modelo de responsabilidade compartilhada não se aplica a órgãos do Poder Judiciário. Isso é falso: o modelo se aplica a qualquer organização que utilize serviços de nuvem, independentemente da natureza dos dados ou do setor. A sensibilidade dos dados não elimina o modelo; apenas exige controles adicionais por parte do órgão público, como criptografia reforçada e controles de acesso mais rígidos. A responsabilidade legal pela proteção dos dados permanece com o órgão, mas isso não significa que toda a segurança deva ser gerenciada internamente — o provedor continua responsável pela infraestrutura.

Alternativa B — ✅ Correta ⟵ GABARITO

Descreve corretamente o modelo de responsabilidade compartilhada: o provedor garante a segurança da nuvem (infraestrutura física, hardware, datacenters), enquanto o órgão público é responsável pela segurança na nuvem (dados, sistemas operacionais, acessos e configurações). Essa é a definição clássica adotada pelos principais provedores de nuvem e está alinhada com a gestão de riscos em ambientes de nuvem.

Alternativa C — ❌ Incorreta

Afirma que o provedor assume toda a responsabilidade pela segurança, tornando desnecessário qualquer controle adicional por parte do tribunal. Isso é incorreto: o cliente permanece responsável pela segurança dos dados, sistemas operacionais, acessos e configurações. A ISO/IEC 27001 reforça que a responsabilidade legal pela proteção das informações permanece com a organização, mesmo quando serviços de terceiros são utilizados. O provedor não assume a responsabilidade pelos dados do cliente.

Alternativa D — ❌ Incorreta

Afirma que a segurança na nuvem é de responsabilidade exclusiva do órgão público, incluindo a infraestrutura física. Isso é incorreto: a infraestrutura física (datacenters, hardware, rede) é de responsabilidade do provedor. O cliente é responsável apenas pela segurança na nuvem, ou seja, pelos dados, sistemas operacionais, acessos e configurações. A alternativa inverte a divisão de responsabilidades.

Alternativa E — ❌ Incorreta

Afirma que a criptografia de dados em trânsito e em repouso é de responsabilidade total do provedor. Isso é incorreto: a criptografia dos dados é uma responsabilidade compartilhada. O provedor pode oferecer ferramentas e serviços de criptografia, mas é o cliente quem deve configurá-los e gerenciar as chaves. A responsabilidade pela proteção dos dados permanece com o órgão público, que deve implementar os controles adequados.

Gabarito: letra B