Governança, Auditoria e Conformidade na AWS

O Domínio 2 carrega 30% da nota do CLF-C02, e a tarefa 2.2 é sua metade de governança: "conceitos de conformidade e governança da AWS", "Onde capturar e localizar logs associados à segurança da nuvem", "identificar onde encontrar informações de conformidade da AWS (por exemplo, AWS Artifact)", e "Reconhecer serviços que auxiliam na governança e conformidade (por exemplo, monitoramento com o Amazon CloudWatch; auditoria com o AWS CloudTrail e o AWS Config; relatórios com relatórios de acesso)". Essa única frase nomeia quase toda ferramenta desta lição, e também planta a armadilha, porque monitoramento é CloudWatch enquanto auditoria é CloudTrail e Config. Alunos que borrão esses dois verbos perdem pontos fáceis em enunciados que de outra forma são puro decoreba.

Nesta lição você vai:

• decodificar o enunciado de uma frase que diz qual ferramenta de governança o exame quer;
• usar o AWS CloudTrail para quem fez o quê: incluindo histórico de eventos versus trilhas, trilhas de organização e validação de integridade de arquivo de log;
• resistir à armadilha do CloudWatch Logs (um pipeline de entrega para eventos, não o registro de auditoria em si);
• usar o AWS Config para histórico de configuração, regras, estado de conformidade, conformance packs e agregadores;
• encontrar os relatórios SOC / ISO / PCI da AWS e assinar um BAA no AWS Artifact: grátis e de autoserviço;
• mapear as seis categorias de verificação do Trusted Advisor ao que cada plano de suporte realmente desbloqueia;
• aplicar SCPs corretamente: somente-negação, um allow em cada nível, qualquer negação vence, conta de gerenciamento intocada;
• posicionar guardrails do AWS Control Tower (preventivo / detetivo / proativo) em uma zona de aterrissagem;
• ler os lotes de programas de conformidade (certificação vs lei vs alinhamento) por meio do modelo de responsabilidade compartilhada;
• projetar uma estratégia de tags que sobreviva a uma auditoria e divida a conta;
• separar residência de dados, soberania de dados e privacidade, e responder enunciados de seleção de Região;
• triar um evento de segurança com CloudWatch vs CloudTrail vs Config vs Trusted Advisor;
• estudar quatro casos reais de conformidade da AWS, depois fazer 12 questões em formato de exame mais verificações interativas;
• auditar o guia ao vivo do exame em outubro de 2026: listas de escopo reconstruídas, os novos nomes de planos de suporte e movimentos de console que não são examináveis.

---

1. Uma pergunta, uma ferramenta

1.1 O decodificador de enunciados

Toda pergunta de governança neste exame é uma pergunta disfarçada sobre qual ferramenta possui qual tipo de evidência. Leia o enunciado por seu verbo e seu substantivo: não pelo nome de serviço que um colega uma vez mencionou.

1.2 A própria divisão de trabalho do guia do exame

A AWS a formula de forma estreita, e a estreiteza é examinável: monitoramento = Amazon CloudWatch, auditoria = AWS CloudTrail e AWS Config, e (tarefa 2.4) identificar problemas de segurança = AWS Trusted Advisor. Então uma opção que diz "usar CloudWatch para identificar problemas de segurança" não é uma nuance: é o verbo errado. O CloudWatch lhe diz que o sistema está se comportando mal agora; o CloudTrail lhe diz o que foi chamado; o Config lhe diz como o recurso estava; o Trusted Advisor lhe diz onde está a lacuna contra as melhores práticas.

---

2. AWS CloudTrail: quem fez o quê

2.1 O que o CloudTrail registra

A definição da AWS é o serviço inteiro em uma linha: "Ações executadas por um usuário, função ou um serviço da AWS são registradas como eventos". Esses eventos são capturados quer a chamada tenha vindo do console, da CLI, de uma SDK/API ou de outro serviço da AWS, e a AWS nomeia o propósito diretamente: "auditoria operacional e de risco, governança e conformidade".

• 📚 Você sabia? O histórico de eventos do CloudTrail é grátis e automático: a AWS o descreve como um "registro visível, pesquisável, baixável e imutável dos últimos 90 dias de eventos de gerenciamento em uma Região da AWS". Você não o cria, não pode desligá-lo, e ele é por Região e apenas eventos de gerenciamento: que é exatamente por que não é um substituto para uma trilha (em outubro de 2026).

2.2 O histórico de eventos não é uma trilha

(Cobranças em outubro de 2026; verifique o estado atual antes do uso.)

O enunciado que entrega isso é um enunciado de retenção: "reter logs de API por cinco anos em todas as contas" ou "entregar eventos de gerenciamento contínuos a um bucket": ambos exigem uma trilha (ou CloudTrail Lake), porque o histórico de eventos para em 90 dias, apenas eventos de gerenciamento, em uma Região.

2.3 Trilhas de organização: um log para cada conta

Uma trilha de organização escreve "a conta de gerenciamento e todas as contas membro" em um bucket S3, um grupo do CloudWatch Logs e um destino do EventBridge. As regras ao redor dela são material clássico de exame:

• apenas a conta de gerenciamento ou um administrador delegado pode criá-la;

• o CloudTrail cria a função vinculada ao serviço AWSServiceRoleForCloudTrail em cada conta membro;

• contas membro podem ver a trilha mas não podem modificá-la ou excluí-la: esse é o ponto de governança: um admin membro comprometido não consegue silenciar o log de auditoria;

• a política do bucket deve admitir apenas aquela função de serviço e o ID da organização.

• 📚 Você sabia? A validação de integridade de arquivo de log do CloudTrail usa "SHA-256 para hashing e SHA-256 com RSA para assinatura digital" e escreve um arquivo de digest horário encadeado ao digest anterior, tornando "comprovadamente inviável modificar, excluir ou forjar arquivos de log do CloudTrail sem detecção". A AWS diz que o recurso está habilitado por padrão para trilhas novas, então "provar que o log não foi editado" é respondido pela validação, não por uma política de bucket (em outubro de 2026).

2.4 Exemplo E1: a conta do CloudTrail

Um mês de atividade: 5.000.000 de eventos de gerenciamento (uma cópia para o S3), 15.000.000 de eventos de dados, 5.000.000 de eventos de atividade de rede, mais uma segunda cópia de 2.500.000 eventos de gerenciamento encaminhada a um segundo bucket para o SIEM.

O ponto didático não é a aritmética, é a primeira cópia grátis: "Você pode entregar uma cópia dos seus eventos de gerenciamento contínuos ao seu bucket S3 sem cobrança." Eventos de dados nunca são grátis, e Insights está desligado por padrão e cobrado separadamente (todas as taxas em outubro de 2026; verifique o estado atual antes do uso).

2.5 Exemplo E2: uma trilha para 40 contas

Um líder de governança precisa provar "registramos toda atividade da conta" para 40 contas membro. O padrão documentado:

1. A conta de gerenciamento cria uma trilha de organização multi-Região.
2. Um bucket S3 recebe tudo, com uma pasta por ID de conta membro; um grupo do CloudWatch Logs; roteamento opcional do EventBridge para automação.
3. A validação de arquivo de log permanece ligada, e a política do bucket admite apenas AWSServiceRoleForCloudTrail mais o ID da organização.
4. Admins membro podem ver a trilha, não podem parar ou editá-la.
5. Athena sobre o bucket (ou uma consulta lookup-events) responde "toda chamada de API que excluiu um bucket S3 no último trimestre, com principal e IP de origem."

Resultado: logging uniforme, uma fonte de evidência para o auditor, e nenhum desvio de configuração por conta, o padrão exato que o exame quer que você prefira a 40 trilhas construídas à mão.

2.6 A armadilha do CloudWatch Logs

3. AWS Config: histórico de configuração e estado de conformidade

3.1 O gravador e os itens de configuração

O AWS Config oferece "uma visão detalhada da configuração dos recursos da AWS" incluindo "como eles foram configurados no passado". Mecanicamente: você escolhe quais tipos de recurso registrar, o gravador escreve itens de configuração (CIs) no Amazon S3 e notifica por meio do Amazon SNS (o gravador assume uma função do IAM para fazê-lo), e você obtém estado atual mais histórico de mudanças: uma série de instantâneos, não um fluxo de eventos.

3.2 Regras, estado de conformidade e remediação

Uma regra do Config codifica "suas configurações ideais". O motor de regras avalia seus recursos e carimba cada um como em conformidade ou não em conformidade, sinaliza o recurso, notifica você e pode remediar por meio de um documento do AWS Systems Manager.

Dois objetos de nível superior se apoiam acima, e o exame os distingue com precisão:

• Conformance pack = "uma coleção de regras do AWS Config e ações de remediação … implantada como uma única entidade": escrito em YAML, implantável em uma organização;
• Agregador = uma visão entre contas, entre Regiões de configuração e conformidade;
• Consulta avançada = consulte o histórico de configuração por schema no agregador.

3.3 Exemplo E3: gravação contínua versus periódica

Uma conta registra 100 instâncias EC2 que cada uma muda 10 vezes por dia.

A gravação contínua custa 2,5× mais aqui mas lhe dá histórico em nível de hora; a periódica custa menos e descarta silenciosamente o detalhe intra-dia. Escolha pela pergunta: "quando mudou?" significa contínuo; "está em conformidade agora?" torna a periódica defensável (taxas em outubro de 2026; verifique o estado atual antes do uso).

3.4 Exemplo E4: precificando um pacote de conformidade

O próprio pacote resolvido da AWS: 10.000 itens de configuração + 50.000 avaliações de regra + 15.000 avaliações de conformance pack por mês.

Observe para onde o dinheiro vai: avaliação, não armazenamento. Adicionar regras é barato; registrar tudo continuamente é o que move a conta (em outubro de 2026; verifique o estado atual antes do uso).

3.5 CloudTrail registra ações; Config registra estado

Esta é a distinção de maior rendimento da lição:

Habilite ambos. Um examinador que escreve "o grupo de segurança estava aberto por seis horas" está testando se você sabe que nenhum log de eventos, em qualquer nuvem, pode reconstruir uma duração sem um histórico de configuração.

• 📚 Você sabia? Algumas verificações do Trusted Advisor são alimentadas pelo AWS Config, razão pela qual desligar o Config pode degradar silenciosamente os conselhos que você recebe, e razão pela qual conformance packs (regras mais remediação como um único artefato YAML) são o jeito mais rápido de entregar a um auditor uma declaração de conformidade repetível em toda a organização em vez de uma captura de tela (em outubro de 2026).

---

4. AWS Artifact: onde as próprias informações de conformidade da AWS vivem

4.1 Relatórios, sob demanda e grátis

O AWS Artifact é "downloads sob demanda de documentos de segurança e conformidade da AWS": relatórios ISO, Payment Card Industry (PCI) e System and Organization Controls (SOC), certificações emitidas por organismos de acreditação e documentos de Marketplace/ISV. Ele é gratuito, de autoserviço, e é a resposta literal do exame à habilidade da tarefa 2.2: "identificar onde encontrar informações de conformidade da AWS (por exemplo, AWS Artifact)".

4.2 Acordos: o BAA e o NDA

O Artifact também é onde você "revisa, aceita e rastreia o status dos seus acordos com a AWS para sua conta da AWS e para várias contas da AWS na sua organização". O FAQ de conformidade nomeia o Business Associate Agreement (BAA) e o NDA. Então o enunciado "assinar um BAA para minha conta e 20 contas membro" tem uma única resposta: AWS Artifact.

• 📚 Você sabia? O SOC 3 é público, você não precisa de uma requisição específica de conta para lê-lo, enquanto a AWS publica SOC 1 trimestralmente e SOC 2 e SOC 3 a cada seis meses sobre períodos de 12 meses (desde 30 de setembro de 2023), com relatórios novos prontos "em ~6 semanas". Todos chegam por meio do AWS Artifact, e nenhum deles é um certificado HIPAA, porque um não existe (em outubro de 2026).

---

5. AWS Trusted Advisor: verificações de melhores práticas e o que seu plano desbloqueia

5.1 As seis categorias de verificação

As recomendações do Trusted Advisor existem "para economizar dinheiro, melhorar a disponibilidade e o desempenho do sistema, ou ajudar a fechar lacunas de segurança". A lista de categorias é fixa em seis: rejeite qualquer opção que invente um sétimo:

As páginas de marketing da AWS às vezes dizem "resiliência" onde a documentação diz "tolerância a falhas": mesma categoria, e "conformidade" não é uma das seis.

5.2 Disponibilidade por plano de suporte

Em outubro de 2026 a AWS anuncia 56 verificações grátis para todos os planos e 482 no total assim que Business ou superior adiciona 426 a mais, mas no dia do exame cite a regra qualitativa (planos grátis recebem um subconjunto, planos pagos recebem todas), porque as contagens de verificações mudam (verifique o estado atual antes do uso).

5.3 Exemplo E5, o que cada plano desbloqueia

O Trusted Advisor é consultivo. A imposição vem de regras do Config e remediação, SCPs (preventivos) e guardrails do Control Tower, e a Visão Organizacional agrega o conselho em toda a organização.

6. AWS Organizations e SCPs: o teto somente-negação

6.1 Estrutura e conjuntos de recursos

O AWS Organizations lhe dá uma raiz → unidades organizacionais (UPs), que se aninham e podem ir cinco níveis de profundidade → contas membro. A conta de gerenciamento é a pagadora e a "proprietária final … controle final sobre políticas de segurança, infraestrutura e finanças"; uma conta membro "pode pertencer a apenas uma organização por vez".

6.2 SCPs nunca concedem

A redação da AWS é absoluta, e opções do exame rotineiramente a invertem;

• SCPs dão "controle central sobre as permissões máximas disponíveis para os usuários do IAM e funções do IAM na sua organização";
• "SCPs não concedem permissões … Nenhuma permissão é concedida por um SCP";
• permissões efetivas são a interseção lógica do SCP com políticas baseadas em identidade e em recurso;
• "SCPs não afetam usuários ou funções na conta de gerenciamento", apenas contas membro, incluindo seu usuário root, e não afetam funções vinculadas ao serviço.

6.3 Como a avaliação realmente roda

Duas regras caem daquela imagem: um Allow deve existir em cada nível (raiz → UP → conta), então o SCP gerenciado pela AWS FullAWSAccess é a rede de segurança de negar-por-padrão, nunca o remova sem substituí-lo por uma política de allow, e um Deny em qualquer nível vence, razão pela qual uma política somente-negação é tudo de que você precisa para bloquear uma Região ou um serviço.

6.4 Exemplo E6: um SCP negar-por-padrão

A raiz mantém FullAWSAccess. A UP Prod adiciona uma política que nega ec2:* e rds:* fora de eu-central-1, e nega iam:CreateUser e iam:CreateAccessKey em todo lugar.

Aquela última linha é um distrator favorito: SCPs não têm efeito nos usuários e funções da conta de gerenciamento.

6.5 Exemplo E7: faturamento consolidado agrupa uso

"A AWS trata todas as contas da organização como uma conta", então uso combinado atinge níveis de volume, descontos de Reserved Instance e Savings Plans mais rápido, e o desconto é alocado de volta. Duas contas puxando 8 TB e 4 TB:

O AWS Organizations é oferecido sem custo adicional, e o faturamento consolidado não carrega taxa extra, mas note a pegadinha que o exame testa: a conta não espelha a árvore de UPs. Dividir gastos por projeto é um trabalho de tag de alocação de custo, não de UP (preços em outubro de 2026; verifique o estado atual antes do uso).

6.6 Limites que valem memorizar (verifique o estado atual antes do uso)

---

7. AWS Control Tower: guardrails em uma zona de aterrissagem

7.1 O que ele constrói

O Control Tower governa um ambiente multi-conta da AWS, orquestrando AWS Organizations, AWS Service Catalog e AWS IAM Identity Center para construir uma zona de aterrissagem "em menos de uma hora". Seu vocabulário é deliberadamente simples: um controle = guardrail = "uma regra de alto nível … expressa em linguagem simples", com orientação graduada obrigatório / fortemente recomendado / eletivo, além da Account Factory para vender contas e um Dashboard que mostra desvio por conta e UP.

7.2 Os três tipos de guardrail

7.3 Guardrails de residência de dados

Em novembro de 2021 a AWS anunciou 17 guardrails novos para que "[dados do cliente] não sejam armazenados ou processados fora de uma ou mais Regiões da AWS específicas"; exemplos preventivos incluem "Desabilitar acesso à internet para uma instância do Amazon VPC" e "Desabilitar conexões do Amazon Virtual Private Network (VPN)". O artefato de cada controle preventivo é um SCP, razão pela qual Control Tower, Organizations e SCPs são sempre ensinados juntos.

• 📚 Você sabia? A divisão de trabalho vale memorizar como três frases: AWS Organizations é o encanamento de contas e políticas, o SCP é o teto de permissão, e o AWS Control Tower é a camada de zona de aterrissagem opinativa acima que vende contas com guardrails e reporta desvio. A AWS também afirma que "Controles obrigatórios são sempre aplicados e não podem ser mudados." (em outubro de 2026)

---

8. Programas de conformidade e o modelo de responsabilidade compartilhada

8.1 Os três lotes

A AWS afirma que "suporta 143 padrões de segurança e certificações de conformidade, incluindo PCI-DSS, HIPAA/HITECH, FedRAMP, GDPR, FIPS 140-3 e NIST 800-171", e os separa em três lotes muito diferentes (em outubro de 2026; verifique o estado atual antes do uso):

8.2 As três perguntas que os alunos erram

8.3 Responsabilidade compartilhada, reformulada para auditores

A linha de auditoria é a mesma da lição 5: a AWS é auditada pela segurança da nuvem, os clientes pela segurança nela. Três consequências aparecem repetidamente como opções:

• herdar os controles da AWS nunca remove sua metade do modelo;

• a conformidade varia por serviço: verifique a lista AWS Services in Scope em vez de assumir uma cobertura de Região inteira;

• "AWS Compliance Center" não é uma resposta-chave para a tarefa 2.2; a própria declaração de habilidade nomeia o AWS Artifact.

• 📚 Você sabia? O site de conformidade da AWS publica pesquisas abrangendo mais de 60 países, e sua página de programas separa certificações de leis por um motivo: um provedor de serviços de nuvem não pode ser "certificado HIPAA", porque tal certificação não existe para distribuir: razão pela qual a resposta HIPAA correta no exame é sempre o trio BAA via Artifact + serviços elegíveis para HIPAA + responsabilidade do cliente (em outubro de 2026).

9. Estratégia de tags como governança

9.1 O que é uma tag e por que a governança se importa

Uma tag é "um rótulo simples formado por uma chave e um valor opcional", e chaves e valores são sensíveis a maiúsculas/minúsculas. A própria lista de motivos da AWS é a resposta do exame: a tagagem consistente permite "filtrar e pesquisar recursos, monitorar custo e uso, e gerenciar seu ambiente da AWS". Na prática, uma taxonomia de tags limpa é o CMDB da nuvem, o índice que um auditor consulta em vez de uma planilha.

9.2 A pilha de quatro camadas

---

10. Soberania e residência de dados

10.1 Três palavras, três significados

Para o CLF-C02, o ângulo examinável é um motivo de seleção de Região: a AWS observa que os clientes "mantêm controle completo sobre quais Regiões da AWS seus dados são fisicamente armazenados", e Regiões opt-in devem ser habilitadas explicitamente antes que qualquer coisa rode lá.

10.2 A pilha de controles de residência

O material de proteção de dados da AWS afirma claramente que "você controla seus dados … para determinar onde seus dados são armazenados, como eles são protegidos" e que "o AWS Control Tower fornece governança e controles para residência de dados": enquanto os clientes "mantêm controle completo sobre quais Regiões da AWS seus dados são fisicamente armazenados".

• 📚 Você sabia? Carimbe a data em seus números de infraestrutura ou eles apodrecem: a AWS Cloud abrange 39 Regiões Geográficas e 124 Zonas de Disponibilidade, com 7 AZs a mais e 2 Regiões a mais (Reino da Arábia Saudita e Chile) anunciadas mas ainda não abertas, enquanto a Região AWS European Sovereign Cloud eusc-de-east-1 foi anunciada como disponibilidade geral em 14 de janeiro de 2026 mas não aparece no mapa público de Regiões. Cite os números 39 / 124 e a data do eusc separadamente, e rotule ambos "em outubro de 2026, verifique o estado atual antes de usar".

---

11. Identificação de eventos de segurança: qual ferramenta responde qual pergunta

11.1 A tabela de triagem

11.2 Exemplo E8: as quatro perguntas do auditor

Nenhuma das quatro exige uma nova compra; as quatro exigem previsão: a trilha, o gravador e o esquema de tags devem existir antes de o auditor chegar.

11.3 Confira seu vocabulário

11.4 Pedido de evidência → ferramenta e recurso

A mesma triagem, rodada para trás: o auditor declara a evidência, você nomeia a ferramenta e o recurso exato que a produz. Essa é a forma que os enunciados tomam quando escondem o nome do serviço atrás de um requisito.

---

12. O guia ao vivo do exame: o que mudou até 2026

Atualizações de 2026 (em outubro de 2026)

O exame testa o guia que você baixa hoje, não o PDF que alguém revisou em 2023. Cada item abaixo foi conferido contra as próprias páginas da AWS em outubro de 2026, e cada um muda como você deve ler um enunciado de governança, suporte ou escopo.

• As listas de serviços foram reconstruídas, e o escopo agora é examinável por si só. As entradas no escopo caíram de 128 no guia da época do lançamento Version 1.0 CLF-C02 para 111 em 19 categorias (lista oficial no escopo, verificada em 2026-10), enquanto a lista fora do escopo cresceu de 11 entradas no lançamento para mais de 50. Para esta lição: AWS Network Firewall está explicitamente fora do escopo (é detalhe da história da athenahealth, nunca uma resposta-chave), AWS Audit Manager e AWS Resource Groups and Tag Editor aparecem em nenhuma das listas, removidos do escopo, então trate-os como distratores, exatamente como avisa a §1.2, e Service Quotas é um serviço de Gerenciamento e Governança recém-listado ao lado de CloudTrail, CloudWatch, AWS Config, Control Tower, Organizations e Trusted Advisor.

• ⚠️ Correção de escopo (substitui qualquer afirmação anterior): AWS Outposts está na lista no escopo atual sob Computação (verificado em 2026-10), então ignore qualquer material que o chame de fora do escopo; AWS Local Zones aparece em nenhuma das listas e AWS Wavelength está explicitamente fora do escopo. Os três são não-respostas em um enunciado de governança de qualquer modo: escolha CloudTrail, AWS Config, AWS Artifact, Trusted Advisor, Organizations/SCP, Control Tower, CloudWatch ou Security Hub.

• A tarefa de suporte do Domínio 4 foi reescrita depois da reforma de suporte de dezembro de 2025. O guia atual diz "Identificar opções de Suporte da AWS para clientes da AWS (por exemplo, customer service and communities, Basic Support, AWS Business Support+, AWS Enterprise Support, AWS Unified Operations)": a redação mais antiga "AWS Developer Support … AWS Enterprise On-Ramp Support" sumiu. Developer, Business clássico e Enterprise On-Ramp pararam de aceitar novas assinaturas após 2 de dezembro de 2025 (existentes rodam até 1 de janeiro de 2027) e Basic continua grátis (AWS News Blog, 2 de dezembro de 2025). A regra do Trusted Advisor da §5 está intocada: planos grátis recebem um subconjunto de verificações, Business ou superior recebe todas.

• O console continua se movendo mesmo quando o guia não move. Cost Optimization Hub (AWS News Blog, 26 de novembro de 2023) reúne toda ação recomendada de economia em um só lugar; Target Coverage chegou ao Savings Plans Purchase Analyzer (9 de junho de 2026); compartilhamento de grupo de RI/SP entrou em disponibilidade geral (19 de novembro de 2025). Nenhum desses nomes está em nenhuma das listas de escopo (verificado em 2026-10), e a tarefa de custo do guia ainda nomeia apenas AWS Budgets e AWS Cost Explorer, então uma opção oferecendo o Cost Optimization Hub para um enunciado de governança ou auditoria é um distrator, não a resposta.

• O Well-Architected Agent é real, e ainda não examinável pelo nome. A AWS o anunciou em preview em 1 de outubro de 2026 e o descreve como "a evolução de próxima geração do AWS Trusted Advisor e da AWS Well-Architected Tool": ainda assim a lista no escopo continua dizendo AWS Trusted Advisor e AWS Well-Architected Tool. Escolha os nomes do guia, não a manchete.

• Duas renomeações para memorizar. A categoria Customer Engagement agora é Customer Enablement, que contém apenas AWS Support (AWS Activate, AWS IQ e AWS Managed Services mudaram para a lista fora do escopo), e o guia escreve AWS IAM Identity Center sem o parêntese "(AWS Single Sign-On)" (listas oficiais de escopo, verificadas em 2026-10).

• 📚 Você sabia? O guia do exame é um documento em movimento sem número de versão: o PDF atual imprime apenas "Copyright © 2026", o único artefato carimbado é o guia da época do lançamento "Version 1.0 CLF-C02", e o Apêndice B daquele guia, as datas do CLF-C01 e os antigos pesos 26 / 25 / 33 / 16, foi excluído do documento ao vivo. O uiVersion=2024.10 da página inicial da documentação é a versão do template de UI da AWS Docs, não uma data de revisão do guia, e os próprios pesos não se moveram absolutamente nada: 24 / 30 / 34 / 12 em outubro de 2026.

Regra de leitura: as listas oficiais no escopo e fora do escopo são o árbitro. Um serviço ausente da lista no escopo pode aparecer dentro de um estudo de caso como detalhe da história, mas nunca pode ser a resposta-chave, e qualquer afirmação de que o guia traz um número de versão, ou de que um peso mudou silenciosamente, é inverificável e não deve ser ensinada como fato.

---

Casos Reais

Quatro histórias publicadas pela AWS mostram como a governança parece quando ela é projetada em vez de remendada. Todo número abaixo é afirmação do cliente ou da AWS, não auditado, o ponto examinável é o padrão (qual alavanca de governança foi puxada, quais serviços fizeram o trabalho), nunca o número de marketing.

Caso A, athenahealth: governança como código em 120 contas

Desafio. Uma empresa de software de saúde (workloads sensíveis à HIPAA) precisava de monitoramento de saída por um vasto parque de VPCs enquanto os custos de inspeção subiam e a equipe de segurança permanecia pequena.

Serviços. AWS Network Firewall implantado centralmente, AWS Transit Gateway, AWS RAM para dispersar a política até as contas membro, CloudFormation regras como código, AWS Direct Connect, com AWS Shield no roadmap.

Resultado (afirmação do cliente). Custos de inspeção −95%; centenas de VPCs em 120 contas erguidas "em apenas alguns dias"; oito pessoas projetaram e implantaram o novo design de segurança "sem interrupções"; logs de firewall centralizados.

Mapeamento no domínio. Domínio 2: defesa em profundidade, governança através de infraestrutura como código e reutilização consistente de políticas em vez de 120 contas configuradas à mão. A lição de governança: o controle foi expresso uma vez, depois compartilhado (AWS RAM) e codificado (CloudFormation), então a evidência de auditoria é o template.

Caso B, Smartsheet Gov: pronta para FedRAMP em menos de 90 dias

Desafio. Um fornecedor de SaaS do setor público sem presença no AWS GovCloud (US) precisava de uma autorização de nível de governo dos EUA; a AWS descreve o prazo típico dessa jornada como 12 to 18 meses.

Serviços. AWS GovCloud (US) mais ATO on AWS: a AWS publica o material do programa subjacente e os controles herdados, o cliente constrói por cima.

Resultado (publicado pela AWS, 29 de agosto de 2019). De nenhuma presença no GovCloud para pronta para FedRAMP em menos de 90 dias, contra prazos típicos "de até 12-18 meses": cerca de uma compressão de 4 to 6×.

Mapeamento no domínio. Domínio 2: programas de conformidade e responsabilidade compartilhada. A distinção examinável: FedRAMP é uma autorização governamental, não um produto da AWS; a AWS fornece a Região e os controles herdados, e o cliente obtém a autorização. Herdar controles encurta o trabalho, mas não transfere responsabilidade.

Caso C, Avalon Healthcare Solutions: mais de 700 controles de auditoria sem VPN

Desafio. Uma empresa de insights laboratoriais de saúde que processa PHI e é auditada contra mais de 700 controles precisava de acesso via navegador a relatórios e dados de pacientes sem VPN espalhada por sua equipe.

Serviços. AWS Verified Access para acesso baseado em identidade, apenas via navegador (federação OpenID Connect através do Okta), atrás de um firewall: nenhum endpoint de VPN em todo o design.

Resultado (publicado pela AWS). Configuração de rede de perímetro comprimida de dias para cerca de uma hora; 50 usuários de negócios incorporados até fevereiro de 2024; os mais de 700 controles continuaram sendo atendidos; a AWS também relata muito menos tentativas de violação após a mudança.

Mapeamento no domínio. Domínio 2, acesso baseado em identidade, Zero Trust e o modelo de responsabilidade compartilhada. A lição de governança é que um conjunto fixo de controles é satisfeito mudando quem pode alcançar o quê, não abaixando a barra: a superfície de auditoria encolheu enquanto os controles permaneceram em 700+. Note o ângulo do exame: o AWS Verified Access aparece nem na lista no escopo nem na fora do escopo (verificado em 2026-10), então é apenas detalhe da história, uma resposta-chave para perguntas de acesso ainda vem do IAM, do IAM Identity Center ou do AWS WAF.

Caso D, Socure: herdar controles, não responsabilidade

Desafio. Um fornecedor de identidade contra fraude construindo um ambiente em conformidade com o FedRAMP para clientes governamentais no AWS GovCloud (US), onde a AWS descreve a jornada de autorização como levando até 12 to 18 meses (o prazo típico citado na história do Smartsheet acima).

Serviços. AWS GovCloud (US) mais ferramentas complementares, o ponto da história é o que a AWS já carrega antes de o cliente escrever uma única declaração de controle.

Resultado (AWS Public Sector Blog, 14 de novembro de 2024, afirmação do cliente). A Socure afirma que "herdou mais de 46 controles de segurança exigidos pelo FedRAMP do AWS GovCloud": mais de 46 controles chegaram já satisfeitos pela nuvem subjacente.

Mapeamento no domínio. Domínio 2: responsabilidade compartilhada, colocada em números. A herança encolhe sua matriz de controles, mas a autorização continua sendo sua e também configuração, identidade e segurança de aplicativos. Duas armadilhas de exame para arquivar aqui: nunca leia "46 herdados" como "46 no total" (o conjunto de controles do FedRAMP é muito maior), e lembre-se do Caso B de que FedRAMP é uma autorização governamental, não um produto da AWS que você pode comprar.

---

Perguntas de Prática (Practice Questions)

---