Questão de Segurança da Informação — NIST (National Institute of Standarts and Technology) — FCC 2025

Computação em Nuvem: Modelos de Implantação e a Nuvem Comunitária

Gabarito: letra A. A equipe optou corretamente pela nuvem comunitária (community cloud), pois o enunciado descreve exatamente suas características: infraestrutura exclusiva, operada por terceiros, hospedada fora das instalações e compartilhada entre órgãos com interesses comuns (no caso, o Judiciário), conforme a definição da NIST SP 800-145. As demais alternativas confundem os modelos de implantação (pública, privada, híbrida) ou os modelos de serviço (IaaS, PaaS, SaaS).

A NIST SP 800-145 define quatro modelos de implantação de nuvem: pública, privada, comunitária e híbrida. A distinção entre eles não se dá pela tecnologia, mas sim por quem possui, opera e quem tem acesso à infraestrutura. A nuvem pública é provisionada para uso aberto ao público em geral, operada por um provedor terceirizado e hospedada nas instalações dele. A nuvem privada é provisionada para uso exclusivo de uma única organização, podendo ser operada pela própria organização ou por terceiros, e hospedada interna ou externamente. A nuvem comunitária é provisionada para uso exclusivo de uma comunidade específica de consumidores de organizações que compartilham interesses em comum (missão, requisitos de segurança, políticas), podendo ser operada por uma ou mais organizações da comunidade, por terceiros, ou por uma combinação deles, e pode existir dentro ou fora das instalações. A nuvem híbrida é uma composição de duas ou mais nuvens distintas (pública, privada ou comunitária) que permanecem entidades únicas, mas são ligadas por tecnologia padronizada que permite portabilidade de dados e aplicações.

O enunciado descreve um cenário em que a infraestrutura é exclusiva (não é aberta ao público), operada por terceiros (não pela equipe do TRT) e hospedada fora das instalações do tribunal. Além disso, o contexto de um Tribunal Regional do Trabalho, com sistemas como o PJe, portais de transparência e sistemas de RH, sugere o compartilhamento com outros órgãos do Judiciário, que possuem requisitos de segurança e políticas comuns. Isso encaixa perfeitamente na definição de nuvem comunitária. A alternativa A captura todos esses elementos: "compartilhada entre órgãos do Judiciário, com infraestrutura dedicada e políticas de segurança comuns".

A pegadinha da questão está em confundir os modelos de implantação com os modelos de serviço (IaaS, PaaS, SaaS). A alternativa B, por exemplo, fala em PaaS, que é um modelo de serviço, não de implantação. A questão pergunta qual o modelo de implantação mais adequado, e a resposta correta é a nuvem comunitária. Guarde a fronteira entre os quatro modelos de implantação: é exatamente nela que as alternativas se dividem.

Alternativa A — ✅ Correta ⟵ GABARITO

A alternativa descreve com precisão o modelo de nuvem comunitária conforme a NIST SP 800-145. A infraestrutura é exclusiva (dedicada a uma comunidade), operada por terceiros (provedor terceirizado) e compartilhada entre órgãos do Judiciário, que possuem interesses comuns (segurança, políticas, missão). Isso atende aos critérios de segurança institucional, controle sobre dados sensíveis e alinhamento com as diretrizes da administração pública mencionados no enunciado.

Alternativa B — ❌ Incorreta

A alternativa confunde modelo de implantação com modelo de serviço. PaaS (Platform as a Service) é um modelo de serviço que fornece uma plataforma para desenvolvimento e implantação de aplicações, não um tipo de implantação de nuvem. Além disso, a afirmação de que PaaS é "o tipo de nuvem mais segura" é incorreta, pois a segurança depende de diversos fatores, não apenas do modelo de serviço.

Alternativa C — ❌ Incorreta

A nuvem pública é provisionada para uso aberto ao público em geral, o que contraria o requisito de infraestrutura exclusiva e controle sobre dados sensíveis mencionado no enunciado. A afirmação de que o acesso irrestrito à internet garante "maior descentralização e independência" é equivocada, pois a nuvem pública pode gerar preocupações com segurança e conformidade, especialmente para dados sensíveis de um órgão público.

Alternativa D — ❌ Incorreta

A nuvem privada interna, gerenciada exclusivamente pela equipe do TRT, contraria o requisito de ser operada por terceiros e hospedada fora das instalações. Além disso, a afirmação de que isso "inviabiliza escalabilidade" é incorreta, pois a nuvem privada pode ser escalável, embora com custos e complexidade maiores do que a nuvem pública.

Alternativa E — ❌ Incorreta

O modelo híbrido combina duas ou mais nuvens distintas (pública, privada ou comunitária). Embora possa ser uma solução válida, o enunciado descreve uma única infraestrutura exclusiva, operada por terceiros e compartilhada entre órgãos do Judiciário, o que caracteriza a nuvem comunitária, não a híbrida. A alternativa E descreve uma separação de responsabilidades entre nuvem pública e privada, o que não corresponde ao cenário apresentado.

Gabarito: letra A