Questão de Redes de Computadores — Cloud Computing (Computação em Nuvem) — INSTITUTO AOCP 2024

SecaaS (Security as a Service) na Computação em Nuvem

Gabarito: letra B. SecaaS é um modelo de entrega de serviços de segurança pela nuvem, no qual o provedor de serviços de segurança assume parte da responsabilidade pela segurança da empresa, oferecendo soluções como firewall, antivírus, detecção de intrusão e gerenciamento de identidade, entre outros. A alternativa B captura exatamente essa essência: um conjunto de serviços de segurança oferecidos pelo provedor para delegar parte da responsabilidade pela segurança da empresa.

O conceito de SecaaS (Security as a Service) surge da evolução da computação em nuvem, que, além de oferecer infraestrutura (IaaS), plataforma (PaaS) e software (SaaS), passou a oferecer também a segurança como um serviço. A ideia central é que a empresa não precisa mais adquirir, implementar e gerenciar todas as suas soluções de segurança localmente; ela pode contratar esses serviços de um provedor especializado, que os entrega pela nuvem. Isso inclui desde firewalls e antivírus até soluções mais complexas como gerenciamento de identidade e acesso (IAM), prevenção de intrusão (IPS), e até mesmo serviços de backup e recuperação de desastres.

A delegação de responsabilidade é o ponto-chave: ao contratar SecaaS, a empresa transfere ao provedor a tarefa de manter a infraestrutura de segurança atualizada, monitorada e operante. Isso não significa que a empresa fica isenta de toda responsabilidade — ela ainda precisa definir políticas, gerenciar acessos e garantir a conformidade —, mas a carga operacional da segurança é significativamente reduzida. O provedor, por sua vez, oferece esses serviços de forma escalável, sob demanda e, geralmente, com modelos de pagamento baseados em uso, seguindo a lógica dos demais serviços em nuvem.

Na prática, imagine uma empresa que precisa proteger sua rede contra ataques. Em vez de comprar um firewall físico, configurá-lo e mantê-lo, ela pode contratar um serviço de firewall na nuvem (um exemplo de SecaaS). O provedor disponibiliza o firewall virtualizado, gerencia as regras, monitora o tráfego e até responde a incidentes, tudo como parte do serviço. A empresa paga uma mensalidade e se beneficia da expertise e da infraestrutura do provedor, sem precisar se preocupar com a manutenção do equipamento.

A distinção que importa aqui é entre SecaaS e as outras formas de segurança em nuvem. A segurança em nuvem é um termo amplo que engloba todas as medidas de proteção de dados, aplicações e infraestrutura na nuvem, incluindo tanto as responsabilidades do provedor quanto as do cliente. O SecaaS, por sua vez, é um modelo de serviço específico, no qual a segurança é entregue como um serviço contratado, geralmente por um provedor terceirizado. A alternativa C, por exemplo, fala de uma medida de segurança implementada pelo cliente, o que é uma parte da segurança em nuvem, mas não é o que define o SecaaS. A alternativa A, que menciona armazenamento criptografado, é uma funcionalidade de segurança, mas não é a definição do modelo SecaaS. A alternativa D, que fala de firewalls de perímetro, é uma técnica de segurança, não o modelo de serviço. E a alternativa E, que menciona um protocolo de segurança, é um componente técnico, não o modelo de serviço.

A pegadinha que a banca explora neste tema é a confusão entre o modelo de serviço (SecaaS) e as ferramentas ou técnicas de segurança específicas. O candidato pode ser tentado a escolher uma alternativa que descreve uma medida de segurança concreta, como criptografia ou firewall, em vez de reconhecer que SecaaS é um modelo de entrega de serviços de segurança. A alternativa B é a única que descreve o modelo como um conjunto de serviços oferecidos pelo provedor, com a delegação de responsabilidade, que é a essência do conceito.

Guarde a fronteira entre o modelo de serviço (SecaaS) e as ferramentas de segurança: é exatamente nela que as alternativas se dividem. A questão cobra o conceito, não a implementação técnica.

Alternativa A — ❌ Incorreta

Esta alternativa descreve uma funcionalidade específica de segurança — o armazenamento de dados criptografado — que pode ser oferecida como parte de um serviço de nuvem, mas não define o que é SecaaS. SecaaS é um modelo de entrega de serviços de segurança, não uma funcionalidade isolada. A criptografia é uma técnica de proteção de dados, que pode ser usada em diversos contextos, mas não é a essência do Security as a Service.

Alternativa B — ✅ Correta ⟵ GABARITO

Esta alternativa define corretamente o SecaaS como um conjunto de serviços de segurança oferecidos pelo provedor de serviços de segurança, com o objetivo de delegar parte da responsabilidade pela segurança da empresa. É exatamente isso que caracteriza o modelo: a terceirização da segurança para um provedor especializado, que entrega os serviços pela nuvem. A delegação de responsabilidade é o termo-chave que distingue o SecaaS de outras abordagens de segurança.

Alternativa C — ❌ Incorreta

Esta alternativa descreve uma medida de segurança implementada pelo cliente, o que é o oposto do modelo SecaaS. No SecaaS, a segurança é delegada ao provedor, não implementada pelo cliente. Embora o cliente ainda tenha responsabilidades, como definir políticas e gerenciar acessos, a implementação e a operação dos serviços de segurança são do provedor. A alternativa confunde o modelo de serviço com a responsabilidade do cliente.

Alternativa D — ❌ Incorreta

Esta alternativa descreve um modelo de segurança que utiliza firewalls de perímetro e servidor para proteção contra negação de serviço. Isso é uma técnica de segurança específica, não o modelo SecaaS. O SecaaS pode incluir firewalls como parte de seus serviços, mas não se limita a isso, e a definição do modelo não é baseada em uma técnica específica. A alternativa foca em uma solução técnica, não no modelo de entrega de serviços.

Alternativa E — ❌ Incorreta

Esta alternativa descreve um protocolo de segurança para troca de informações entre sistemas na nuvem. Um protocolo é um conjunto de regras para comunicação, como TLS ou IPsec, que pode ser usado em diversos contextos, mas não é o que define o SecaaS. O SecaaS é um modelo de serviço, não um protocolo. A alternativa confunde o meio (protocolo) com o modelo de negócio (serviço).

Gabarito: letra B