Na revisão de agosto de 2026 do guia do exame Cloud Digital Leader, o primeiro item do domínio 5 (cerca de 18%) são os conceitos fundamentais de segurança na nuvem. Ele pergunta sobre os tipos de ameaça, do ransomware e do phishing aos ataques a LLMs, e seu impacto no negócio; como a segurança na nuvem difere da segurança on-premises; termos-chave como confiança zero e privilégio mínimo; a criptografia de dados em uso, em trânsito e em repouso; e a diferença entre autenticação, autorização e auditoria. Depois passa para produtos de segurança como Cloud Armor, IAP, Sensitive Data Protection, Confidential Computing e Certificate Manager, e para como o Google Cloud conquista confiança com relatórios de transparência, soberania digital e residência de dados.
Este artigo começa pelos tipos de ameaça e depois percorre como a segurança na nuvem e on-premises diferem, os termos-chave de segurança, a confiança zero, os três estados da criptografia, autenticação, autorização e auditoria, um mapa dos produtos de segurança e os mecanismos que conquistam a confiança dos clientes. Fundamentos como a tríade CIA, a estrutura do IAM e a CMEK são tratados em Fundamentos de segurança e confiança, e produtos de operações de segurança como Security Command Center e Model Armor, em Operações de segurança e segurança de IA.
---
Ameaças contra a nuvem e seu impacto no negócio
O guia do exame não pede só o nome das ameaças, mas também o impacto de cada uma no negócio.
| Ameaça | O que é | Impacto no negócio | |------|------|------| | DDoS | Inunda um serviço com tráfego para derrubá-lo | Interrupções do serviço, perda de receita | | Ransomware | Criptografa e bloqueia seus dados e depois exige pagamento | As operações param, custos do resgate e da recuperação | | Criptomineração | Usa em segredo os recursos de computação de outra pessoa para minerar criptomoedas | Aumentos inesperados na conta da nuvem | | Malware e vírus | Programas maliciosos instalados às escondidas para roubar informações ou danificar sistemas | Vazamentos de dados, sistemas danificados | | Phishing | Rouba senhas com e-mails ou sites falsos | Violações que começam com o roubo de uma conta | | Configuração incorreta | Erros de configuração como armazenamento público ou permissões excessivas | A causa mais comum de vazamentos de dados | | Sistemas de terceiros pouco seguros | Ataques que entram por parceiros ou por software externo | Violações pela cadeia de suprimentos | | Danos físicos | Desastres como incêndio, inundação ou queda de energia | Falhas do datacenter e perda de dados | | Ataques a LLMs | Ataques que enganam os modelos de IA, como injeção de prompt e jailbreaks | A IA expõe segredos ou realiza ações erradas |
Dica para o exame: "A conta da nuvem disparou de repente e há VMs desconhecidas rodando" é criptomineração. "Os dados estão bloqueados e alguém está pedindo dinheiro" é ransomware. A configuração incorreta costuma ser a resposta certa para a causa mais comum de vazamentos de dados.
---
Como a segurança na nuvem difere da segurança on-premises
On-premises é como vigiar você mesmo o seu próprio prédio; a nuvem é como se mudar para um prédio administrado por uma empresa de segurança profissional. A empresa de segurança vigia as entradas e a estrutura, mas quem decide para quem dar as chaves do seu escritório continua sendo você.
| Aspecto | On-premises | Nuvem | |------|------|------| | Segurança física | A organização vigia o próprio datacenter | O Google vigia os datacenters e o hardware | | Patches e atualizações | A organização gerencia sozinha todas as camadas | O Google cuida da infraestrutura, e de mais coisas nos serviços gerenciados | | Limite de segurança | Centrado no perímetro da rede corporativa | Centrado na identidade de usuários e serviços (quem eles são) | | Escala e especialização | Limitadas à equipe e ao orçamento de segurança da organização | Aproveita uma das maiores organizações de segurança do mundo e ferramentas automatizadas | | Responsabilidade do cliente | Quase tudo | Dados, permissões de acesso, configuração (o modelo de responsabilidade compartilhada) |
Dica para o exame: Mesmo depois de migrar para a nuvem, os dados e a configuração de acessos continuam sendo responsabilidade do cliente. Uma alternativa dizendo "ao migrar para a nuvem, o Google passa a ser responsável por toda a segurança" está errada.
---
Termos de segurança que você precisa conhecer
O guia do exame cita cinco aspectos importantes em um modelo de segurança: controle, conformidade, confidencialidade, integridade e disponibilidade. Além deles, você precisa saber definir com precisão os termos a seguir.
| Termo | Significado | |------|------| | Privilégio mínimo | Conceder só as permissões mínimas necessárias para o trabalho | | Acesso privilegiado | Direitos de administrador muito poderosos que podem mudar a configuração do sistema ou ver todos os dados; precisam ser gerenciados com o máximo rigor | | Arquitetura de confiança zero | Não confiar por padrão em nenhum usuário ou rede e verificar cada solicitação | | Segurança por padrão | Uma configuração segura é aplicada desde o início, sem ajustes adicionais (por exemplo, a criptografia padrão) | | Postura de segurança | O estado geral de quão bem configurados estão os sistemas da organização neste momento | | Resiliência cibernética | A capacidade de manter as operações essenciais e se recuperar rápido mesmo sob ataque | | Firewall | Permite ou bloqueia o tráfego de rede conforme regras definidas | | Criptografia e descriptografia | Transformar os dados em algo ilegível sem uma chave, e devolvê-los à forma original com a chave | | Prevenção contra perda de dados (DLP) | Encontrar dados sensíveis e mascará-los ou bloqueá-los para que não vazem |
---
Confiança zero: nunca confie, sempre verifique
Antes, a segurança funcionava como um castelo com muralhas e fosso. Quem estava lá dentro era considerado confiável, então, assim que uma única muralha caía, o atacante circulava livremente lá dentro. A confiança zero funciona como a segurança de um aeroporto: confere a identidade e o cartão de embarque em cada porta, toda vez.
!A mudança da segurança de perímetro, que confia no interior como um castelo com fosso, para a confiança zero, que verifica cada solicitação
O Google adotou primeiro internamente um modelo de confiança zero chamado BeyondCorp para que os funcionários pudessem trabalhar com segurança de qualquer lugar sem VPN, e agora o oferece como produtos.
| Produto | O que faz | |------|------| | Identity-Aware Proxy (IAP) | Uma camada central de autorização que controla o acesso a aplicativos e VMs pela identidade e pelo contexto do usuário, em vez de firewalls de rede | | Chrome Enterprise Premium | Aplica em toda a organização o acesso no estilo BeyondCorp, verificando até o estado do navegador e do dispositivo |
Dica para o exame: "Permitir que trabalhadores remotos acessem com segurança os aplicativos internos sem VPN" é confiança zero, como o IAP ou o BeyondCorp. "Conceder acesso com base no usuário e no dispositivo, e não na localização na rede" é a frase-chave da confiança zero.
---
Os três estados da criptografia
Os dados passam por três estados: armazenados, em movimento e em processamento, e cada estado é protegido de um jeito. Pense no dinheiro guardado em um cofre, no dinheiro levado em um carro-forte e no dinheiro sendo contado no caixa do banco.
| Estado | Significado | Proteção padrão do Google Cloud | O que você pode acrescentar | |------|------|------|------| | Dados em repouso | Dados guardados em discos e no armazenamento | Criptografados automaticamente com AES-256, sem configuração | Chaves de criptografia gerenciadas pelo cliente (CMEK) no Cloud KMS | | Dados em trânsito | Dados que se movem por uma rede | Criptografados com métodos como TLS, com a outra parte autenticada | Gerenciar certificados TLS com o Certificate Manager | | Dados em uso | Dados sendo processados na memória | Nas VMs comuns, são processados na memória em texto simples | Confidential Computing (como a Confidential VM) |
O Confidential Computing criptografa até os dados que estão sendo processados, usando um ambiente de execução confiável (TEE) baseado em hardware. A documentação oficial o chama de "a última peça da criptografia de ponta a ponta". Como os dados em repouso e em trânsito são protegidos por padrão, se o exame perguntar como proteger os três estados, o ponto principal é a peça que falta: os dados em uso.
Dica para o exame: "Ninguém, nem mesmo o provedor de nuvem, pode ver os dados enquanto são processados" é o Confidential Computing.
---
Autenticação, autorização e auditoria
As três palavras parecem iguais, mas respondem a perguntas diferentes. Em termos de acesso a um prédio, são conferir seu documento, conferir em quais andares você pode entrar e manter um registro de quem entrou e saiu.
| Conceito | Pergunta | Exemplos no Google Cloud | |------|------|------| | Autenticação | Quem é você? | Senhas mais verificação em duas etapas (2SV) ou autenticação multifator (MFA) | | Autorização | O que você pode fazer? | Papéis e permissões do IAM | | Auditoria | Quem fez o quê, quando e onde? | Cloud Audit Logs, registrados no Cloud Logging |
A verificação em duas etapas (2SV) acrescenta à senha uma segunda etapa, como uma confirmação no celular, enquanto a autenticação multifator (MFA) usa dois ou mais tipos diferentes de fator: algo que você sabe (uma senha), algo que você tem (uma chave de segurança ou um celular) e algo que você é (uma impressão digital). O Cloud Audit Logs grava registros de auditoria como os de atividade do administrador, acesso a dados, eventos do sistema e políticas negadas.
Dica para o exame: "Mais uma verificação, além da senha, ao fazer login" é reforçar a autenticação (2SV, MFA). "Descobrir quem excluiu este bucket" é auditoria (Cloud Audit Logs).
---
Um mapa dos produtos de seguranç