APRENDER. PRATICAR. EVOLUIR.Conceito e mecanismo
Começa por identificar o ativo, a ameaça, o controlo e o responsável. Mover uma aplicação de VMs para PaaS altera quem gere o sistema operativo, mas não elimina decisões sobre dados e acessos. Uma matriz de responsabilidades deve associar cada controlo a execução, evidência e escalonamento. Governance define quem decide e acompanha; gestão de risco avalia incerteza e impacto; conformidade verifica requisitos aplicáveis. Um produto comprado não executa automaticamente estas funções. Defesa em profundidade combina medidas que continuam úteis quando outra falha. Zero Trust exige verificação explícita, menor privilégio e preparação para compromisso; estar dentro de uma VPN não legitima acesso universal.
Aplicação guiada
Numa aplicação de pagamentos fictícia, separa autenticação da pessoa e autorização para aprovar uma operação. Registar login bem-sucedido não prova que a conta deva ter esse privilégio. Identifica quem aprova o acesso, quando termina e como é revisto. Distingue também cifra, que permite recuperar dados com a chave adequada, de hash, que produz um digest e não serve para recuperar o original. Comparar um hash só ajuda a avaliar integridade se a referência for fiável. No handover, pede evidência de que o RUN consegue executar os controlos que lhe foram atribuídos. Uma lista de serviços cloud não substitui um procedimento que a equipa consiga aplicar durante o turno.
A aplicação passou para PaaS; o owner dos acessos aos dados continua a ser necessário.
Armadilhas comuns
Cloud como transferência total; VPN como confiança absoluta; autenticação como autorização; hash como cifra.
Tópicos relacionados: Entra: acesso e privilégios · Proteção da infraestrutura
Liga cada controlo a uma necessidade e a um responsável capaz de o operar.
Referência: Cloud shared responsibility · SC-900 objectives 2026-07-28; October 2026 update announced