Compliance e governança na nuvem

Como você implementa controles de compliance e governança em um ambiente cloud-native?

Securityadvanced

// pergunta de entrevista

Como você implementa controles de compliance e governança em um ambiente cloud-native?

Resposta de exemplo

Compliance na nuvem envolve políticas, automação e capacidades de auditoria. Componentes principais: 1) Policy-as-code (OPA/Gatekeeper, AWS SCPs) para aplicar regras automaticamente. 2) Padrões de etiquetagem para rastreamento de ownership e custo dos recursos. 3) Logging centralizado e trilhas de auditoria. 4) Segmentação de rede e IAM com privilégio mínimo. 5) Criptografia em repouso e em trânsito. 6) Varreduras regulares de compliance (Prowler, ScoutSuite). 7) Processos de gestão de mudanças. Frameworks a considerar: SOC2, HIPAA, PCI-DSS, GDPR, dependendo do setor. Traga o compliance para o início do processo - detecte violações antes do deploy.

Por que isso importa

Compliance não é só uma checklist a cumprir - é sobre construir sistemas seguros e auditáveis. A nuvem torna o compliance tanto mais fácil (APIs para tudo) quanto mais difícil (velocidade das mudanças). As abordagens modernas incorporam compliance ao CI/CD: checagens de política nos pipelines, varredura de infraestrutura e monitoramento contínuo. O objetivo é fazer do compliance o padrão, não uma reflexão tardia.

Exemplos de código

Política do OPA Gatekeeper

yaml

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLabels
metadata:
  name: require-team-label
spec:
  match:
    kinds:
    - apiGroups: [""]
      kinds: ["Namespace"]
  parameters:
    labels:
    - key: team
    - key: environment
    - key: cost-center
    message: "All namespaces must have team, environment, and cost-center labels"

Service Control Policy da AWS

hcl

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNonApprovedRegions",
      "Effect": "Deny",
      "NotAction": [
        "iam:*",
        "organizations:*",
        "support:*"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": [
            "us-east-1",
            "eu-west-1"
          ]
        }
      }
    },
    {
      "Sid": "RequireEncryption",
      "Effect": "Deny",
      "Action": "s3:PutObject",
      "Resource": "*",
      "Condition": {
        "Null": {
          "s3:x-amz-server-side-encryption": "true"
        }
      }
    }
  ]
}

Erros comuns a evitar

Tratar compliance como um projeto pontual em vez de um processo contínuo
Depender exclusivamente de revisões manuais que não escalam
Não documentar exceções e suas justificativas

Prováveis perguntas de acompanhamento

Como você lida com compliance em um ambiente que muda rapidamente, com deploys frequentes?
Qual é a diferença entre controles preventivos e controles detectivos?
Como você se prepara e conduz auditorias de compliance?

Responda em voz alta primeiro e depois confira com a resposta modelo.

Praticar todas as perguntas de Sênior Mais perguntas de Security

#compliance#governance#security#policy#cloud

Mais perguntas de entrevista de Security

Also worth your time on this topic

Checklist

Checklist de Segurança da AWS

Checklist essencial de configuração de segurança para ambientes de nuvem AWS.

45-60 minutos

Interview

Fundamentos de rede em VPC na AWS

Explique a diferença entre subnets públicas e privadas em uma VPC da AWS. Como instâncias em subnets privadas acessam a internet?

junior

Quiz

HashiCorp Vault Secrets Management Quiz

Teste como você opera o HashiCorp Vault em produção: credenciais dinâmicas de banco de dados, leases e TTLs, políticas de menor privilégio, autenticação AppRole e Kubernetes, o engine Transit, auto-unseal, audit logging, e revogação rápida quando algo é comprometido.

20-25 minutos