O Modelo de Responsabilidade Compartilhada da AWS

Toda questão de segurança do CLF-C02 eventualmente se reduz a uma frase: quem conserta isso? O exame chama isso de Domínio 2, Tarefa 2.1, "Reconhecer os componentes do modelo de responsabilidade compartilhada da AWS", e o Domínio 2 vale 30% da sua pontuação (em outubro de 2026), então este único modelo é estatisticamente o conceito mais lucrativo de todo o teste. A AWS enuncia a premissa sem rodeios: "Segurança e conformidade são uma responsabilidade compartilhada entre a AWS e o cliente." Compartilhado não significa dividido ao meio, significa duas organizações diferentes, cada uma totalmente responsável por sua própria camada, e a fronteira entre essas camadas muda dependendo do serviço que você escolher.

Nesta lição você vai:

• separar segurança DA nuvem (AWS) de segurança NA nuvem (você) usando a própria redação da AWS;
• posicionar a fronteira exatamente: do SO host e da camada de virtualização para baixo = AWS, do SO convidado para cima = você;
• ler a tabela completa do detalhamento de responsabilidades: instalações, hardware, hipervisor, dados, identidade, criptografia, conformidade;
• observar a linha mudar entre o Amazon EC2, o Amazon RDS, o AWS Lambda e o Amazon S3, incluindo as nuances do RDS Custom e do modo de runtime do Lambda;
• classificar cada controle como herdado, compartilhado ou específico do cliente, e entender por que compartilhado ≠ 50/50;
• listar o que os clientes ainda possuem: classificação de dados, identidade e acesso, patch de SO no EC2, configuração de rede, escolhas de criptografia, segurança de aplicativos;
• listar o que a AWS possui: instalações, hardware, virtualização e a infraestrutura dos serviços gerenciados;
• reconhecer as armadilhas clássicas de atribuição incorreta que alimentam a maioria das opções erradas neste tópico;
• estudar quatro estudos de caso de segurança e conformidade publicados pela AWS: dois operacionais, dois baseados em autorização;
• conferir as mudanças de guia e de lista de serviços de 2026 (em outubro de 2026) que decidem o que o Domínio 2 ainda testa;
• praticar com 12 questões em formato de exame mais quatro verificações interativas.

---

1. Segurança DA nuvem versus segurança NA nuvem

1.1 A própria redação da AWS

A página de conformidade da AWS define as duas metades em um único parágrafo, e o exame a cita quase literalmente:

A segunda linha é a que os alunos leem errado. Seus deveres não são fixos: eles são derivados da sua escolha de serviços. Execute o Amazon EC2 e você herda um sistema operacional para dar patch; execute o Amazon S3 e esse dever desaparece, enquanto o dever de classificar seus dados não.

1.2 A preposição é o truque inteiro

1.3 Exemplo E1: classificando seis afirmações em menos de um minuto

Leia cada afirmação, identifique a metade e decida se ela sequer é plausível:

O padrão nas linhas 3, 4 e 5 é o exame inteiro: a AWS fornece um recurso; você toma a decisão. Fornecido ≠ configurado, e ferramentas ≠ responsabilidade.

• 📚 Você sabia? O modelo é o motivo de a conformidade na nuvem ser mais barata. A AWS escreve que ele permite que os clientes "desloquem o gerenciamento de certos controles de TI para a AWS" e herdem um ambiente de controle auditado em vez de construir instalações e segurança física: mantendo dados, identidade, configuração e conformidade. É também por isso que o AWS Artifact existe como um portal de autoserviço sem custo, com acesso sob demanda aos relatórios de conformidade da AWS: a evidência da metade da AWS já está escrita; você só precisa buscá-la.

---

2. Onde a linha se situa na pilha

2.1 A frase da fronteira

A página canônica da AWS desenha a linha em uma única frase: recite-a para si mesmo até que se torne automática:

"A AWS opera, gerencia e controla os componentes desde o sistema operacional host e a camada de virtualização até a segurança física das instalações em que o serviço opera. O cliente assume a responsabilidade e o gerenciamento do sistema operacional convidado (incluindo atualizações e patches de segurança), do outro software de aplicativo associado e da configuração do firewall de grupo de segurança fornecido pela AWS."

Duas consequências aparecem em toda prova:

1. O Amazon EC2 faz de você um administrador de sistemas. Você escolheu IaaS, então as camadas 3 to 7 são suas, incluindo "atualizações e patches de segurança" do SO convidado.
2. A linha não é um objeto físico. É uma divisão contratual de deveres que a AWS redesenha por serviço: que é a segunda metade da Tarefa 2.1 (Seção 4).

2.2 A resiliência usa as mesmas duas preposições

O Pilar de Confiabilidade do Well-Architected repete a divisão para disponibilidade, o que é uma fonte favorita de distratores:

2.3 Exemplo E2: a aritmética das 124 AZs e o que ela não compra

A AWS relata 124 Zonas de Disponibilidade em 39 Regiões Geográficas, cada Região com "pelo menos três Zonas de Disponibilidade independentes e fisicamente separadas" (em outubro de 2026).

$$39 \times 3 = 117 \text{ AZs as the design minimum} \quad\Rightarrow\quad 124 - 117 = 7 \text{ AZs above the minimum}$$

Então a AWS projetou sete domínios de falha a mais do que seu próprio piso exige, e sua conta ainda possui a diferença na prática. Uma implantação de uma única AZ dentro de uma Região de 3 AZs herda zero dessa engenharia. A checklist do lado do cliente depois da aritmética:

1. implante em pelo menos duas AZs (a própria regra de design da AWS para disponibilidade);
2. ative backups e teste a restauração deles;
3. decida se um evento em nível de Região precisa de uma estratégia de DR (essa é uma pergunta de Região, não de AZ);
4. teste o failover: um plano não testado é uma hipótese.

• 📚 Você sabia? A AWS descomissiona mídia que continha dados de clientes usando técnicas detalhadas na NIST 800-88, o acesso físico às salas de servidores exige autorização multifator, e o acesso aos centros de dados é "registrado, monitorado e retido": ainda que auditores externos testem a AWS contra mais de 2.600 requisitos ao longo do ano (em outubro de 2026). Tudo isso fica do lado da AWS, e é exatamente por isso que é um controle herdado para você: você recebe a garantia sem operar os leitores de crachá.

---

3. O detalhamento completo das responsabilidades

3.1 Cada linha, cada proprietário

Esta é a tabela em que a Tarefa 2.1 se apoia. Aprenda-a como três colunas de lógica: sempre AWS, sempre seu, e depende do serviço.

3.2 Exemplo E3: a mesma carga de trabalho, três colunas

Uma equipe de banco de dados on-premises documenta o que cada opção de hospedagem exige. O Guia do Usuário do Amazon RDS publica exatamente esta comparação:

Leia as colunas da esquerda para a direita e você está vendo ** a linha subir**: três deveres do cliente se tornam deveres da AWS conforme você sai do autogerenciado para o gerenciado. Leia as linhas e você vê o que nunca muda: nada nesta tabela trata dos seus dados, das suas políticas de IAM ou da sua obrigação de conformidade, porque esses vivem acima da fronteira em toda coluna.

---

4. Como a linha muda entre serviços (a habilidade mais difícil da Tarefa 2.1)

4.1 Os três exemplares do exame mais um

O guia do exame nomeia Amazon RDS, AWS Lambda e Amazon EC2 como exemplos de mudança. Acrescente o Amazon S3 (o caso do armazenamento abstraído) e você cobre toda forma de pergunta.

Dois invariantes sobrevivem a cada linha dessa tabela: a AWS sempre possui instalações, hardware e o hipervisor, e você sempre possui dados, IAM e a decisão de criptografia. Apenas as linhas do meio mudam.

4.2 A auditoria do dever de patch (exemplo resolvido E4)

Quem aplica patch no sistema operacional? Seis cargas de trabalho, uma resposta cada:

As duas armadilhas nessa tabela, RDS Custom e Lambda Manual, valem uma seção cada.

4.3 A válvula de escape do RDS Custom

O Amazon RDS Custom existe porque algumas cargas de trabalho precisam de acesso privilegiado ao sistema operacional. A própria redação da AWS: "Com o RDS Custom, você usa os recursos gerenciados do Amazon RDS, mas gerencia o host e personaliza o SO como faz no Amazon EC2." A tabela de responsabilidades publicada devolve o patch de SO e o patch do software de banco de dados ao Cliente para o RDS Custom, enquanto o Amazon RDS padrão mantém ambos na AWS.

4.4 A nuance do runtime do Lambda

A AWS publica o gerenciamento de runtime como um tópico de responsabilidade compartilhada:

• "O Lambda é responsável por curar e publicar atualizações de segurança para todos os runtimes gerenciados e imagens de contêiner suportados."
• "Para funções configuradas para usar o modo de atualização Manual de runtime, você é responsável por atualizar sua função para usar a versão mais recente do runtime."

4.5 Exemplo E5: uma runtime descontinuada que ninguém corrigiu

Uma função roda em uma versão de runtime que a AWS marcou para descontinuação. A AWS já publicou a correção de segurança (a metade do Lambda está cumprida). A auditoria da equipe:

Conte as falhas: 0 falhas da AWS, 1 falha do cliente em cada uma das duas últimas linhas. O modelo funcionou exatamente como projetado: uma correção publicada mais um dever ignorado ainda iguala uma função não corrigida, e o exame vai pedir que você nomeie o proprietário.

4.6 Patch single-tenant versus multilocatário

O Pilar de Segurança do Well-Architected divide os serviços gerenciados em dois comportamentos de patch, e a diferença é quanto você ainda tem que fazer:

• 📚 Você sabia? O mesmo modelo governa quem remove o hardware: a orientação da AWS alinhada ao NHS chama a segurança do centro de dados de "inteiramente responsabilidade da AWS" e diz que o descomissionamento e o deprovisionamento "cabem à AWS sob o Modelo de Responsabilidade Compartilhada". Sua obrigação começa nos seus dados, "Você sempre possui seus dados, incluindo a capacidade de criptografá-los, movê-los e gerenciar a retenção", e termina nas suas políticas de retenção e exclusão, nunca no triturador.

---

5. A taxonomia de controles: herdados, compartilhados, específicos do cliente

5.1 As três categorias oficiais da AWS

A AWS não divide controles apenas em "seu/meu". A taxonomia publicada tem quatro rótulos, e o exame pede que você coloque um exemplo na categoria certa:

5.2 A heurística das cinco perguntas

Quando uma opção for desconhecida, execute esta ordem de testes: ela resolve quase todo item da Tarefa 2.1:

5.3 Exemplo E6: classificando doze controles

Classifique os doze controles da Seção 3 na taxonomia e conte-os:

Quatro mais três mais cinco igualam doze, e cada uma das três afirmações "inclassificáveis" falha na tabela de armadilhas da Seção 8. Se você consegue classificar um controle em menos de dez segundos, consegue responder à pergunta.

5.4 Controles compartilhados em operação contínua

Um controle só é real se executa continuamente, então o exame também testa a forma contínua dos três controles compartilhados. Cada linha nomeia o que a AWS faz para sempre, o que você deve fazer para onde a evidência cai:

A orientação da AWS para serviços financeiros enquadra o lado cliente desse loop como três ações de programa repetidas: Validar (o controle está projetado corretamente?), Demonstrar (você consegue mostrar a evidência?), Monitorar (ainda está funcionando?). Isso é monitoramento contínuo na nuvem, e nada disso se transfere para a AWS, porque a AWS não pode validar uma decisão que você não tomou.

---

6. O que os clientes ainda possuem

A abstração remove tarefas de infraestrutura, nunca propriedade. Mesmo no serviço mais abstraído, seis deveres são permanentemente seus:

6.1 O dever de monitoramento do cliente

A AWS fornece as ferramentas de detecção; habilitá-las e agir com base nelas é seu. A própria orientação da AWS para segurança de contas coloca o caso mais agudo primeiro: "É crítico que você proteja sua conta root contra acesso não autorizado, começando pela autenticação multifator", e o root deve ser usado apenas em emergências.

6.2 Exemplo E7: a auditoria de exposição da conta root

Três achados em uma única conta (as contagens são do cenário, não métricas da AWS):

Exposição = 1 + 2 + 0 = 3 lacunas do lado do cliente, 0 lacunas do lado da AWS. Note o que a aritmética mostra: cada lacuna é uma decisão que ninguém tomou, e cada correção usa uma ferramenta que a AWS já fornece. Note também o controle de cadastro do lado da AWS que não é seu: na criação da conta a AWS retém 1 USD (ou equivalente) por 3 a 5 dias para verificar sua conta e prevenir fraude (em outubro de 2026).

6.3 Verifique-se: os deveres que nunca mudam

• 📚 Você sabia? Sua evidência de conformidade se divide pela mesma linha. Para uma carga de trabalho PCI você puxaria evidência do lado da AWS, segurança física, destruição de mídia, patch de infraestrutura, proteção de rede, treinamento de equipe, do AWS Artifact, um "portal de autoserviço sem custo, com acesso sob demanda aos relatórios de conformidade da AWS", enquanto fornece sua própria evidência de privilégio mínimo de IAM, regras de grupo de segurança, configurações de criptografia e retenção de logs. A AWS suporta 143 padrões de segurança e certificações de conformidade, incluindo PCI-DSS, HIPAA/HITECH, FedRAMP, GDPR, FIPS 140-3 e NIST 800-171, e oferece mais de 300 serviços e recursos de segurança, conformidade e governança (todos em outubro de 2026).

---

7. O que a AWS possui

Tudo a partir do sistema operacional host para baixo, além da maquinaria de executar o próprio serviço:

---

8. Armadilhas clássicas de atribuição incorreta

8.1 As nove respostas erradas, corrigidas

Estas são as atribuições incorretas que enchem os distratores. Leia a versão errada e diga a certa em voz alta:

8.2 Exemplo E8: reescrevendo três distratores

Tome um enunciado de prática: "Uma carga de trabalho regulamentada está implantada no Amazon RDS. Qual afirmação é correta?"

O padrão: cada opção errada pega uma linha verdadeira da tabela da Seção 3 e anexa a linha de outra pessoa a ela. Separe as linhas de volta e a opção desaba.

8.3 Onde o exame planta a armadilha

---

Casos Reais

A AWS publica como a responsabilidade compartilhada aparece em uma conta de produção regulamentada. Cada número abaixo é afirmado pelo cliente ou pela AWS e não auditado, com a fonte nomeada para que você possa verificar, o ponto examinável é a divisão (quais controles foram herdados, quais o cliente precisou construir), não o número de marketing.

Caso A, athenahealth: segurança de rede centralizada em 120 contas (Domínio 2)

Lição de exame: esta é uma história de configuração de rede do lado do cliente executando na infraestrutura do lado da AWS. A citação do cliente, "Por escalável, quero dizer que é mágica da AWS. Não precisamos pensar em escalabilidade alguma.", trata da metade herdada; as regras como código e a distribuição de política em 120 contas são a metade "na nuvem" que nenhum provedor pode fazer por você.

Caso B, Avalon Healthcare Solutions: acesso Zero Trust a PHI (Domínio 2)

Lição de exame: a identidade é sempre responsabilidade do cliente, e a Avalon mostra o padrão que o exame quer: compre o serviço de acesso (lado da AWS), possua o quem e a evidência (lado do cliente). Exemplo relacionado publicado pela AWS: a Socure relata ter "herdado mais de 46 controles de segurança exigidos pelo FedRAMP do AWS GovCloud (US)" (AWS Public Sector Blog, 14 de novembro de 2024): uma contagem limpa de controles herdados, com tudo o resto ainda sendo dela.

O que os dois casos compartilham

Dois casos a mais do Domínio 2: o par de autorização

Os casos A e B são construções de segurança operacionais. Os próximos dois são histórias de autorização: mesmo modelo, evidência diferente: a metade da AWS chega pré-auditada dentro de uma Região em conformidade, e a metade do cliente é a implementação do controle e a própria autorização. Ambos são publicados pela AWS, ambos são afirmados pelo cliente, e ambos estão aqui porque o exame ama a palavra herdado.

Caso C, Socure: contando os 46+ controles FedRAMP que você herda (Domínio 2)

Lição de exame: a herança reduz sua evidência; ela nunca substitui sua autorização. Os 46 controles são herdados (infraestrutura e camada física da AWS, já auditadas): tudo acima da linha, mais o pacote de autorização, permanece responsabilidade do cliente. A frase examinável é a que já está na Seção 7: FedRAMP é uma autorização governamental, não um produto da AWS.

Caso D, Smartsheet Gov: FedRAMP-ready em menos de 90 dias (Domínio 2)

Lição de exame: a velocidade vem da herança, a obrigação não. Aproximadamente 4 to 6× mais rápido que o caminho típico de 12 to 18 meses (90 dias vs 360 to 540 dias: $360 \div 90 = 4$ a $540 \div 90 = 6$), mas o cliente ainda obtém a autorização. Uma opção que diga "o AWS GovCloud torna uma carga de trabalho autorizada pelo FedRAMP" é o mesmo erro de categoria de "a AWS é certificada, então estamos em conformidade."

O que o par de autorização acrescenta

• 📚 Você sabia? O ATO on AWS é o mecanismo por trás da história dos 90 dias: a AWS empacota seus próprios artefatos para que o avaliador do cliente não precise reauditar a metade da infraestrutura, a mesma razão de o AWS Artifact existir como um "portal de autoserviço sem custo, com acesso sob demanda aos relatórios de conformidade da AWS". A herança é real (a Socure conta 46+, a Smartsheet conta semanas), mas em ambos os casos o número publicado pela AWS descreve quanto menos o cliente precisou construir, nunca quem é legalmente responsável. Datas importam também: o número da Smartsheet é de 29 de agosto de 2019 e o da Socure de 14 de novembro de 2024, números antigos nunca devem ser apresentados como atuais, e ambos são resultados afirmados pelo cliente, não auditados.

---

O que Mudou para o Exame de 2026

Atualizações de 2026 (em outubro de 2026)

O guia do exame é um documento em movimento: o PDF atual imprime apenas "Copyright © 2026" com número de versão, sendo o único artefato carimbado o guia da era de lançamento Version 1.0 CLF-C02. Então o método defensável é diferenciar essa linha de base contra as páginas que a AWS publica hoje, e cada item abaixo está carimbado com data em outubro de 2026 com sua fonte nomeada. Verifique o estado atual antes do uso.

Duas consequências específicas para esta lição: os nomes de serviço sobre os quais você pode ser testado mudaram (quatro serviços de rede entraram, o AWS Network Firewall saiu), mas o modelo não se moveu nada: DA/NA, herdados/compartilhados/específicos do cliente, as âncoras fixas e os exemplos de mudança (Amazon EC2, Amazon RDS, AWS Lambda) são idênticos. Carimbe com data cada contagem que você memorizar e reconfirme a lista ao vivo antes do dia do exame.

• 📚 Você sabia? A rotatividade do guia é aritmética mensurável: as entradas no escopo caíram 128 → 111 (−17, −13,3%) enquanto a lista negativa explícita cresceu 11 → 55 (+44), então o par se moveu por $111 + 55 = 166$ entradas documentadas versus $128 + 11 = 139$ antes, uma expansão de 27 entradas de orientação explícita, quase toda nomeando o que está fora do escopo. É por isso que material de preparação de 2024 diz com confiança que AWS Data Exchange, Amazon MSK, AWS Local Zones, AWS Wavelength, AWS Snow Family, AWS Audit Manager e AWS Network Firewall estão no escopo, e é por isso que a lista atual diz o contrário (todos verificados em outubro de 2026, verifique o estado atual antes do uso). A meta-habilidade que o exame recompensa: o guia que você baixa hoje é o exame que você faz, não o PDF de onde você revisou.

---

Perguntas de Prática (Practice Questions)