ACSC - Cloud Computing Security for Cloud Service Providers [Segurança da Computação em Nuvem para Provedores de Serviços em Nuvem]

Este documento foi desenvolvido para ajudar os avaliadores na validação da postura de segurança dos serviços em nuvem, a fim de oferecer às empresas uma garantia independente para solicitações de segurança feitas pelos Provedores de Serviços em Nuvem (CSPs). Este documento também pode ajudar os CSPs a oferecer serviços seguros na nuvem.

As equipes de segurança cibernética, os arquitetos de nuvem e os representantes comerciais das empresas devem consultar o documento complementar Cloud Computing Security for Tenants [Segurança da Computação em Nuvem para Locatários].

De acordo com o Instituto Nacional de Padrões e Tecnologia (NIST) dos EUA, a computação em nuvem oferece benefícios potenciais às empresas, como resultados comerciais melhores. Mitigar os riscos associados ao uso de serviços em nuvem é de responsabilidade compartilhada entre a empresa (denominada "locatário") e o Provedor de Serviços em Nuvem, incluindo subcontratados (denominados "CSP"). Porém, as empresas são as principais responsáveis pela proteção e pela garantia da confidencialidade, integridade e disponibilidade dos dados.

As empresas precisam realizar avaliações de riscos e implementar ações de mitigação antes de usar os serviços em nuvem. Os riscos variam dependendo de fatores como: a confidencialidade e a criticidade dos dados a serem armazenados ou processados, a maneira como o serviço em nuvem é implementado e gerenciado, a intenção do uso do serviço em nuvem e os desafios relacionados à agilidade da empresa para detectar e responder aos incidentes. As empresas precisam comparar esses riscos com uma avaliação de riscos objetiva sobre o uso de sistemas de computadores internos, que podem apresentar proteção fraca, disponibilidade inadequada ou incapacidade para atender aos requisitos comerciais atuais.

O escopo deste documento abrange a Infraestrutura como um Serviço (IaaS), a Plataforma como serviço (PaaS) e o Software como um serviço (SaaS), apresentados pelo CSP como parte de uma nuvem pública, comunitária e, em menor grau, híbrida ou terceirizada privada.