A frase mais perigosa da computação corporativa segue sendo “o provedor cuida disso”. A nuvem opera em responsabilidade compartilhada — o provedor protege a infraestrutura; a configuração, os acessos e os dados continuam seus. As ISO 27017 e 27018 existem para tirar essa fronteira do achismo.
O que cada norma resolve
A ISO/IEC 27017 adiciona controles específicos de nuvem à 27001 para os dois lados: define o que é papel do cliente e o que é do provedor — ambientes virtuais, segregação, monitoramento, remoção de ativos ao encerrar contrato. A ISO/IEC 27018 foca dados pessoais em nuvem pública: transparência sobre subcontratados e localização, vedação de uso para publicidade sem consentimento e apoio ao atendimento de titulares — a ponte direta com LGPD e GDPR.
Para quem certifica e para quem contrata
Provedores e SaaS certificam para encurtar due diligences e entrar em contratos enterprise e públicos. Contratantes usam as normas como checklist de contratação: exigir 27017/27018 (ou equivalência demonstrada) no edital ou contrato transfere para o fornecedor o ônus da prova — e organiza a auditoria quando algo der errado. A maior parte dos incidentes de nuvem noticiados envolve má configuração do cliente, não falha do provedor: é justamente a lacuna que a divisão formal de responsabilidades fecha.
Buckets de armazenamento expostos por configuração indevida viraram a categoria clássica de vazamento em nuvem — bilhões de registros já foram encontrados publicamente acessíveis por pesquisadores, sem nenhuma invasão: bastava a URL.
Referências e legislação
- ISO/IEC 27017:2015 · Controles de segurança para serviços em nuvem
- ISO/IEC 27018:2019 · Proteção de PII em nuvens públicas
- LGPD, arts. 33–36 · Transferência internacional — onde a nuvem mora — acessar
Cláusula que recomendamos em todo contrato de nuvem: matriz de responsabilidade anexa, assinada, controle a controle. Dá trabalho uma vez — e encerra para sempre a discussão “de quem era a culpa”.
— Núcleo Técnico EBAEM · Empresa Brasileira de Assessoria Executiva e Multidisciplinar
Como a EBAEM ajuda: fale com nosso time e transforme este tema em plano de ação na sua organização.