ANÁLISE DE SEGURANÇA NA CONTRATAÇÃO DE SERVIÇOS EM NUVEM

Este trabalho tem o objetivo de descrever e analisar práticas correntes de avaliação da segurança da informação na adoção de serviços de computação em nuvem. Ele discute o esforço empregado na realização destas práticas e elenca as melhorias necessárias para aumento da eficiência na execução do processo de avaliação de riscos e implementação de controles no Brasil. O artigo realiza uma revisão de duas abordagens governamentais utilizadas na gestão de riscos para a adoção de serviços de computação em nuvem: O Federal Risk and Authorization Management Program ou FedRAMP e os processos do governo brasileiro para gestão de riscos em segurança da informação. O estudo elenca ações como a manutenção de conjuntos pré-definidos de controles, o reúso das análises realizadas para qualificação dos sistemas e a categorização das informações quanto ao sigilo em grandes blocos como formas de avançar no processo de avaliação no Brasil. As formas de execução desta avaliação impactam diretamente nos desenhos das soluções, no desenvolvimento dos serviços, e nos modelos de contratação.