Chefe da Secção de Exploração e Oficial Adjunto do Núcleo de Monitorização e Análise.
A transformação digital deixou de ser uma tendência e tornou-se uma inevitabilidade estratégica. Hoje, organizações públicas e privadas enfrentam uma decisão estrutural: manter infraestruturas on-premise, migrar para a cloud ou adotar um modelo híbrido. Esta escolha vai além da tecnologia; envolve dimensões financeiras e operacionais, bem como requisitos críticos de resiliência e cibersegurança.
No contexto institucional, como o do Exército Português, a arquitetura tecnológica deve equilibrar custo, escalabilidade, disponibilidade, capacidade de armazenamento, dependência da Internet e, acima de tudo, garantir a segurança da informação.
A cloud promete agilidade e modernização, mas também introduz novos riscos, novos vetores de ataque e uma redistribuição, nem sempre bem compreendida, das responsabilidades de segurança. Este artigo analisa a migração de serviços para a nuvem sob a perspetiva da cibersegurança, explorando conceitos fundamentais, modelos de serviço, vantagens, desvantagens e de safios específicos em ambientes institucionais sensíveis, como é o caso do Exército Português.
Conceitos Fundamentais de Cloud Computing
A cloud computing baseia-se na disponibilização de recursos computacionais sob demanda, através da Internet, permitindo acesso a infraestruturas, plataformas e software sem necessidade de gestão física local. Existem diferentes tipos de cloud, geralmente classificados como:
- Cloud pública, partilhada entre múltiplos clientes;
- Cloud privada, dedicada a uma única organização;
- Cloud híbrida, combinando recursos on-premise e cloud pública.
Os principais fornecedores globais incluem Microsoft Azure, Amazon Web Services (AWS), Google Cloud Platform, Oracle Cloud, IBM Cloud e Alibaba Cloud. Estes fornecedores investem massivamente em resiliência, certificações e segurança, mas isso não elimina a necessidade de governação interna rigorosa.
A cloud organiza-se em três modelos principais, definidos pelo nível de controlo e responsabilidade do cliente:
- Infraestruture as a Service (IaaS). Neste modelo, o fornecedor disponibiliza infraestrutura virtual (máquinas, rede, armazenamento), cabendo ao cliente a gestão do sistema operativo, aplicações e segurança. Oferece elevado controlo e facilita a migração de servidores físicos, mas exige maturidade técnica e disciplina operacional.
- Platform as a Service (PaaS). Aqui, o fornecedor gere a infraestrutura e o sistema operativo, permitindo que o cliente se foque no desenvolvimento e execução de aplicações. É ideal para ambientes DevOps (uma estrutura unificada que integra equipes de desenvolvimento e operações, automatizando o ciclo de vida do software) e CI/CD (Integração Contínua/ Entrega/Deployment Contínuo), mas implica menor controlo e maior dependência tecnológica do fornecedor.
- Software as a Service (SaaS). O modelo mais abstrato: aplicações prontas a usar, acessível via navegador. Exemplos clássicos incluem o Microsoft 365, Google Workspace e Zoom. A conveniência é elevada, mas o controlo sobre dados, configurações e funcionalidades é significativamente reduzido.
Tipos de subscrições de modelos de Cloud
Historicamente, os sistemas do Exército foram concebidos integralmente em ambiente on-premise, com infraestruturas físicas nos seus próprios data centers. Nos últimos anos, esta realidade começou a evoluir com a adoção de serviços cloud, principalmente da Microsoft, como Microsoft 365, Teams e soluções de segurança associadas.
Vantagens da Migração para a Cloud sob a Ótica da Segurança
Uma leitura honesta reconhece que a cloud traz ganhos relevantes em segurança quando bem configurada. O modelo de responsabilidade partilhada clarifica o que cabe ao fornecedor e ao cliente, reduzindo riscos infraestruturais clássicos.
A autenticação forte, alinhada com princípios de Zero Trust (“nunca confiar, verificar sempre”), torna-se mais simples de implementar. A criptografia, tanto em trânsito como em repouso, é nativamente suportada, incluindo modelos como BYOK (Bring Your Own Key).
Além disso, a cloud oferece monitorização contínua, resposta a incidentes avançada, elevada redundância e conformidade com normas internacionais como ISO 27001, RGPD e PCI-DSS, assim como infraestruturas altamente padronizadas e automatizadas, melhor proteção contra ataques DDoS, devido ao dimensionamento global e capacidade de recuperação rápida e replicação de dados.
Em resumo, a cloud facilita boas práticas de segurança, mas não as impõe.
Arquitetura BYOK
Inconvenientes e Riscos Reais
O reverso da medalha é conhecido e frequentemente subestimado. A maioria dos incidentes em cloud não resulta de falhas do fornecedor, mas de configurações incorretas, credenciais comprometidas e exposição de APIs (conjunto de regras e protocolos que permite que diferentes softwares comuniquem entre si) mal protegidas.
Ambientes cloud mal segmentados facilitam movimento lateral, enquanto dependências excessivas de serviços externos aumentam o risco de ataques à cadeia de fornecimento. Acresce ainda a perceção, muitas vezes justificada, de perda de controlo sobre os dados, especialmente em contextos institucionais e soberanos como é o do Exército Português.
Outros problemas a serem considerados são a falha ou término do serviço cloud, falhas na rede elétrica e serviço Internet.
Deste todo, cloud não é sinónimo de segurança automática. É apenas um multiplicador: de boas ou más decisões.
A migração para a cloud deve ser ponderada, gradual e seletiva. Não se deve colocar toda a infrasestrutura na cloud, nem toda deve ficar on-premise. Serviços administrativos e colaborativos, como Office 365, Teams, SharePoint e Intune, são bons candidatos à cloud. Serviços críticos, operacionais ou com informação sensível devem permanecer on-premise.
A migração deve ser devidamente planeada e acompanhado pelas melhores práticas de Cibersegurança.
Sinteticamente, uma arquitetura segura passa por:
- Integração de logs cloud e on-premise num SIEM centralizado;
- Security Operations Center com visibilidade transversal;
- Segregação total de redes (administrativa ≠ operacional);
- Autenticação federada com gestão interna de chaves e tokens;
- Criptografia ponta a ponta, Data Loss Prevention ativo e Zero Trust Architecture.
Arquitetura recomendada
Desafios críticos. Os principais desafios da migração para a cloud não são apenas tecnológicos; são também organizacionais e humanos. Entre os pontos mais sensíveis destacam-se a transferência de informação entre redes com diferentes classificações, a gestão soberana de chaves criptográficas, a deteção de intrusões em ambientes altamente segregados e os processos inseguros de desclassificação de informação.
Impacto da cloud. A cloud não elimina estes riscos. Pelo contrário, pode torná-los mais rápidos, mais visíveis e mais amplificados quando não existe controlo adequado.
Conclusão. Migrar para a cloud não é um salto de fé nem uma simples modernização cosmética. É uma decisão estratégica que exige maturidade em cibersegurança, governação clara e vigilância contínua. Quando bem utilizada, a cloud pode ser uma aliada poderosa; quando mal compreendida, transforma-se apenas num data center remoto vulnerável ao erro humano.
Bibliografia
National Institute of Standards and Technology (NIST). (2011). The NIST Definition of Cloud Computing (Special Publication 800-145).
Disponível em: https://csrc.nist.gov/publications/detail/sp/800-145/final
Microsoft. (2023). Microsoft Cloud Security Benchmark & Zero Trust Guidance.
Disponível em: https://learn.microsoft.com/azure/security
European Union Agency for Cybersecurity (ENISA). (2021). Cloud Security: Risk Assessment and Good Practices.
Disponível em https://www.enisa.europa.eu/publications
Amazon Web Services (AWS). (2024). AWS Shared Responsibility Model & Cloud Security Overview.
Disponível em: https://aws.amazon.com/compliance/shared-responsibility-model
FONTE: Texto publicado em “A Mensagem 2026”
Boletim informativo do Regimento de Transmissões. Porto