Competências avaliadas

• Modelos de serviço em nuvem — IaaS, PaaS, SaaS e FaaS: o que cada um entrega e o que cabe ao cliente
• Nuvem pública, privada, híbrida e multi-cloud — diferenças práticas e implicações de segurança
• Shared responsibility model — o que o provedor garante e o que permanece responsabilidade do cliente
• Shared responsibility por modelo de serviço — como a linha muda do IaaS ao SaaS
• Misconfiguration — a principal causa de incidentes em cloud e como reconhecê-la
• Exposição de dados em cloud — bucket público, snapshot aberto e credencial no código
• Acesso excessivo — como permissões amplas criam risco e o que o menor privilégio resolve
• Shadow IT e Shadow AI em cloud — como surgem, por que são risco e como identificar
• Identidade em cloud — usuário, role, service account e a diferença entre autenticação e autorização
• MFA em cloud — quando exigir, o que protege e o que não protege
• Princípio do menor privilégio — conceito, aplicação e por que acesso amplo é o erro mais comum
• Serviços de segurança AWS — IAM, GuardDuty, CloudTrail e S3 bucket policy: o que cada um faz
• Serviços de segurança Azure — Entra ID e Microsoft Defender for Cloud: função e escopo
• Serviços de segurança GCP — IAM e Security Command Center: função e escopo
• Criptografia em repouso — o que protege, o que não protege e quando o provedor já entrega por padrão
• Criptografia em trânsito — TLS, onde se aplica e o que ainda é responsabilidade do cliente
• Gerenciamento de chaves — KMS, chave gerenciada pelo provedor vs. chave gerenciada pelo cliente
• IA como serviço do provedor — o que entra no modelo, retenção de dados e risco de treinamento com seus dados
• Shadow AI em cloud — uso de serviços de IA não aprovados e exposição de dados corporativos
• Responsabilidade sobre outputs de IA — quem responde pelo conteúdo gerado e por decisões baseadas nele
• LGPD e cloud — onde os dados ficam, quem é controlador e o que perguntar ao provedor
• ISO 27017 e CSA STAR — o que certificam, o que não cobrem e como usar na escolha do provedor
• Conformidade não é segurança — diferença entre estar certificado e estar protegido
• Perguntas para o provedor — SLA de segurança, localização dos dados e direito de auditoria
• Incidente em cloud — quem avisa quem, prazo de notificação e o que o contrato deve prever