Armazenamento em nuvem seguro: como avaliar se o seu realmente é

Criptografia ligada no painel não significa dado protegido. Este guia mostra os sete critérios que separam um armazenamento em nuvem seguro de um armazenamento apenas hospedado.

Uma empresa de logística com 90 funcionários migrou todos os arquivos operacionais para um serviço de armazenamento em nuvem. Contratos, notas, laudos de vistoria, fotos de avarias. Em quatro anos, nunca teve um incidente. Então, num sábado de manhã, um analista do financeiro clicou em um anexo, a máquina dele foi criptografada por ransomware, e a pasta sincronizada no desktop levou junto 1,2 TB de arquivos da nuvem. O provedor tinha criptografia AES-256, data center certificado e SLA de 99,9%. Ainda assim, nada disso impediu nada.

O problema não era o provedor. Era a suposição.

Armazenamento em nuvem seguro é uma expressão que a maioria das empresas usa sem definir. Na prática, ela significa coisas muito diferentes dependendo de quem fala: o fornecedor entende disponibilidade e criptografia de disco; o cliente entende “meus dados não podem sumir nem vazar”. Porém, as duas leituras raramente se encontram no contrato.

Este texto é uma auditoria. Sete critérios, cada um com uma pergunta que você consegue fazer ao seu fornecedor hoje à tarde e, em seguida, conferir a resposta.

O que é, de fato, um armazenamento em nuvem seguro

Armazenamento em nuvem seguro é aquele em que o dado permanece confidencial, íntegro e recuperável mesmo quando alguma coisa dá errado: falha do provedor, erro humano, ataque ou exclusão acidental. Segurança aqui não é um recurso ligado no painel. É a soma de criptografia, controle de acesso, versionamento, isolamento e capacidade comprovada de restaurar.

Repare na expressão “mesmo quando”: um armazenamento que funciona bem no dia normal não prova nada. A prova está no dia ruim.

A norma ISO/IEC 27001, referência internacional para gestão de segurança da informação, organiza isso em três propriedades: confidencialidade, integridade e disponibilidade. É um bom teste mental. Pergunte, para cada pasta crítica da sua empresa: quem pode ler? Quem pode alterar sem deixar rastro? E se sumir hoje, em quanto tempo volta?

Portanto, se você não sabe responder às três, o armazenamento não é seguro. É só remoto.

Armazenamento não é backup, e confundir os dois é o erro mais caro

Armazenamento em nuvem guarda a versão atual do arquivo e a sincroniza entre dispositivos. Backup, por outro lado, guarda cópias históricas, isoladas, com política de retenção. Ou seja: sincronização replica o erro; backup permite voltar atrás dele.

Foi exatamente o que aconteceu com a empresa de logística do início. O serviço fez o que foi contratado para fazer: sincronizou. Em seguida, os arquivos criptografados pelo ransomware substituíram os originais em todos os dispositivos conectados, com fidelidade impecável.

A distinção prática:

• Armazenamento responde a “onde está meu arquivo agora?”
• Backup responde a “como estava meu arquivo na terça-feira passada, antes do incidente?”

Muitos serviços de armazenamento oferecem versionamento e lixeira, e isso ajuda. Mas versionamento com retenção de 30 dias não é política de backup. É rede de proteção contra o erro percebido rápido. Na prática, fraude interna, corrupção silenciosa de banco e ransomware com detonação atrasada costumam passar dessa janela.

Se você quer entender a diferença de forma mais detalhada, vale a leitura sobre as vantagens do backup em nuvem, que trata do assunto pelo outro lado.

Criptografia: em trânsito, em repouso e quem guarda a chave

Um armazenamento em nuvem seguro criptografa o dado em trânsito (enquanto trafega pela rede, via TLS 1.2 ou superior) e em repouso (enquanto está gravado no disco, normalmente com AES-256). A pergunta que quase ninguém faz, no entanto, é a terceira: quem controla a chave.

Criptografia em repouso protege contra roubo físico de disco e contra descarte inadequado de hardware. É importante e é o mínimo. Só que, se a chave é gerenciada inteiramente pelo provedor, o dado está criptografado para o mundo e legível para o provedor.

Existem três modelos, do mais simples ao mais controlado:

1. Chave gerenciada pelo provedor. Padrão da maioria dos serviços. Simples, sem esforço operacional, sem controle do cliente.
2. Chave gerenciada pelo cliente (CMK). A chave vive em um cofre (KMS, ou key management service, serviço que armazena e controla o uso de chaves criptográficas), mas o cliente define rotação, permissão de uso e revogação.
3. Chave fornecida pelo cliente. O cliente guarda a chave fora da nuvem. Máximo controle, porém máximo risco operacional: perdeu a chave, perdeu o dado. Sem exceção.

Para a maioria das PMEs brasileiras, o modelo 2 é o ponto de equilíbrio. Ele permite responder a uma auditoria de LGPD com propriedade e, além disso, revogar acesso a um conjunto de dados sem depender de chamado.

Pergunte ao seu fornecedor: o dado é criptografado em repouso? Com qual algoritmo? Quem detém a chave e com que frequência ela é rotacionada?

Controle de acesso: identidade, privilégio mínimo e MFA

A maior parte dos incidentes em ambientes de nuvem não começa com a quebra de criptografia. Começa com uma credencial válida usada por quem não deveria: senha reaproveitada, conta de ex-funcionário ativa, chave de API em repositório público.

O relatório Cost of a Data Breach da IBM (2024) apontou que o tempo médio para identificar e conter uma violação de dados foi de 258 dias. Boa parte desse tempo se explica por um detalhe simples: quando o invasor usa uma credencial legítima, o sistema não vê invasão. Vê trabalho.

O que exigir:

• Autenticação multifator (MFA) obrigatória para qualquer acesso administrativo. Não opcional, não “recomendada”.
• Privilégio mínimo. Cada usuário e cada aplicação recebem apenas a permissão necessária para a função. Ninguém precisa, por exemplo, de acesso total ao bucket inteiro para subir um PDF.
• Contas nominais. Nada de login compartilhado entre a equipe. Sem identidade individual, não existe auditoria possível.
• Revisão trimestral de acessos. Uma planilha e uma hora de reunião resolvem. O que mata não é a dificuldade: é nunca fazer.
• Rotação de chaves de API e expiração automática de links públicos de compartilhamento.

Link público sem prazo de validade é a porta lateral mais esquecida de todo ambiente corporativo. Portanto, se a sua empresa gera links de compartilhamento, defina expiração padrão e revise os ativos.

Onde o dado mora: soberania, LGPD e jurisdição

A LGPD (Lei nº 13.709/2018) não proíbe armazenar dados de brasileiros fora do Brasil, mas impõe condições à transferência internacional e responsabiliza o controlador pelo que acontece com o dado. Por isso, manter o armazenamento em território nacional simplifica conformidade, reduz latência e elimina a discussão sobre jurisdição estrangeira.

Três consequências práticas de escolher armazenamento fora do país:

• Jurídica. Em caso de requisição judicial, incidente ou pedido de titular, o caminho é mais longo e envolve legislação de outro país. Vale dizer que a ANPD (Autoridade Nacional de Proteção de Dados) fiscaliza a empresa brasileira, não o provedor estrangeiro.
• Operacional. Latência entre São Paulo e um data center na Virgínia gira em torno de 110 a 130 milissegundos de ida e volta. Para armazenamento de arquivos frios, é irrelevante. Já para um sistema que lê e grava a cada operação, é gargalo.
• Financeira. Contrato em dólar significa que sua fatura de infraestrutura acompanha o câmbio. Assim, em três anos de variação cambial, o orçamento planejado deixa de existir.

Para setores regulados, a exigência é ainda mais dura. A Resolução CMN nº 4.893/2021, que trata de política de segurança cibernética e contratação de serviços de processamento e armazenamento de dados em nuvem por instituições financeiras, estabelece requisitos específicos de contrato, auditoria e comunicação ao Banco Central.

Resiliência: redundância, versionamento e imutabilidade

Redundância protege contra falha de hardware. Versionamento protege contra erro humano. Imutabilidade protege contra ataque. São, portanto, três coisas diferentes, e nenhuma substitui as outras.

• Redundância significa que o mesmo dado existe em mais de um disco, rack ou zona de disponibilidade. É o que sustenta o SLA. Contudo, não protege contra exclusão: se você apagou, apagou em todas as cópias, de forma consistente e rápida.
• Versionamento mantém revisões anteriores do mesmo objeto. Protege, assim, contra sobrescrita e exclusão acidental, dentro da janela de retenção configurada.
• Imutabilidade (também chamada de WORM, de write once, read many: grava uma vez, lê muitas) impede que um arquivo seja alterado ou excluído durante um período definido, mesmo por quem tem permissão de administrador. É o único dos três que resiste a um invasor com credencial de admin na mão.

Esse ponto ficou central porque os atacantes mudaram de alvo. O relatório State of Ransomware da Sophos (2024) registrou que, na ampla maioria dos ataques analisados, os criminosos tentaram comprometer os backups da vítima. Backup acessível pela mesma credencial da produção não é backup: é mais uma pasta.

Um passo adicional é o air gap: separação real entre o ambiente de produção e a cópia de segurança, de modo que não exista rota de rede direta entre os dois. Na nuvem, isso se implementa com conta separada, credencial separada e política de retenção que o time de produção não consegue alterar.

Checklist: audite o seu armazenamento em nuvem em 12 perguntas

Use esta lista em uma reunião de uma hora com o responsável de TI ou com o fornecedor. E vale um critério prévio: respostas vagas contam como “não”.

#	Pergunta	Resposta esperada
1	O dado é criptografado em repouso?	Sim, AES-256 ou equivalente
2	E em trânsito?	Sim, TLS 1.2 ou superior
3	Quem controla a chave de criptografia?	Cliente, via KMS, com rotação definida
4	MFA é obrigatório para acesso administrativo?	Sim, sem exceção
5	Existem contas compartilhadas?	Nenhuma
6	Quando foi a última revisão de permissões?	Nos últimos 90 dias
7	Onde fica fisicamente o dado?	Data center identificado, com país declarado
8	Existe versionamento? Com qual retenção?	Sim, retenção documentada em contrato
9	Existe cópia imutável?	Sim, com prazo mínimo definido
10	O backup usa credencial diferente da produção?	Sim
11	Quando foi o último teste de restauração completo?	Nos últimos 6 meses, com registro
12	Qual o RTO acordado (tempo máximo aceitável até o dado voltar)?	Número em horas, por escrito

Se as perguntas 9, 10 e 11 ficarem em branco, o restante importa menos do que parece. Afinal, a capacidade de restaurar é o que transforma armazenamento em segurança.

Para o caso específico de bases de dados, os controles são outros e mais profundos. Tratamos disso em segurança do banco de dados: as 8 camadas que a sua empresa precisa ter.

Como a Prodb trata armazenamento em nuvem seguro

A Prodb Tecnologia trabalha com infraestrutura em nuvem há 15 anos, atende mais de 550 clientes e opera a partir da região de Campinas, em São Paulo. O ponto de partida de qualquer projeto de armazenamento aqui não é o volume em terabytes: é a pergunta sobre o que precisa voltar, em quanto tempo, e a partir de qual cópia.

O que isso significa na prática:

• Dado no Brasil. Servidores em território nacional, faturamento em real e infraestrutura com certificações internacionais de cloud. Como resultado, não há discussão de jurisdição estrangeira nem exposição cambial no orçamento anual.
• Separação entre produção e cópia. Os planos de backup da Prodb são desenhados com credenciais e políticas independentes do ambiente de produção, com retenção e imutabilidade definidas por perfil de dado, não um padrão único aplicado a todo mundo.
• Arquitetura sob medida. Um ERP transacional, um repositório de imagens médicas e um data lake analítico têm exigências de acesso, latência e retenção diferentes. Por isso, os servidores cloud e o armazenamento associado são dimensionados por ambiente, não por template de catálogo.
• Suporte técnico dedicado. Quando a restauração precisa acontecer, o cliente fala com um engenheiro que conhece o ambiente dele, não com uma fila genérica de tickets.

E uma observação honesta: nuvem não resolve tudo. Ela não corrige processo interno frouxo, não substitui política de acesso e não impede que alguém com permissão excessiva apague o que não deveria. O que uma boa arquitetura faz é garantir que, quando isso acontecer, exista uma cópia que o erro não alcançou. Se a sua estratégia ainda envolve equipamento no escritório, vale ler nossa análise sobre backup local em 2026 antes de decidir.

Perguntas frequentes

O que é armazenamento em nuvem seguro?

É o armazenamento em que o dado permanece confidencial, íntegro e recuperável mesmo quando algo dá errado, seja falha do provedor, erro humano, ataque ou exclusão acidental. Na prática, depende da combinação de criptografia, controle de acesso, versionamento, imutabilidade e capacidade comprovada de restaurar.

Armazenamento em nuvem é o mesmo que backup?

Não. O armazenamento guarda a versão atual do arquivo e a sincroniza entre dispositivos, então replica também erros e arquivos criptografados por ransomware. O backup guarda cópias históricas e isoladas, com política de retenção, o que permite voltar a um ponto anterior ao incidente.

Quem deve controlar a chave de criptografia?

Para a maioria das PMEs, o melhor equilíbrio é a chave gerenciada pelo cliente em um cofre de chaves (KMS), com rotação e permissões definidas pela empresa. A chave gerenciada só pelo provedor dá pouco controle, e a chave guardada fora da nuvem dá controle máximo, mas com risco de perder o dado se a chave for perdida.

Guardar dados fora do Brasil descumpre a LGPD?

Não necessariamente. A LGPD permite a transferência internacional, mas impõe condições e mantém a empresa brasileira responsável pelo dado. Manter o armazenamento no Brasil simplifica a conformidade, reduz latência e evita discussões sobre jurisdição estrangeira.

O que é armazenamento imutável?

É o armazenamento que impede alterar ou excluir um arquivo durante um período definido, mesmo para quem tem permissão de administrador. Também chamado de WORM (grava uma vez, lê muitas), é a proteção que resiste a um invasor com credencial de administrador, o que o torna central contra ransomware.

Como saber se o meu armazenamento em nuvem é seguro?

Verifique criptografia em trânsito e em repouso, quem controla a chave, MFA obrigatório, ausência de contas compartilhadas, revisão recente de permissões, localização do dado, versionamento, cópia imutável, credencial de backup separada da produção, teste de restauração recente e RTO definido por escrito.