A AWS reafirma conformidade com os padrões europeus de segurança C5
A AWS completou com sucesso o ciclo de auditoria de 2025 do Catálogo de Critérios de Conformidade em Computação em Nuvem (C5), com 183 serviços cobertos pelo escopo de conformidade. Este resultado reforça o alinhamento contínuo da empresa com os requisitos de segurança estabelecidos para provedores de nuvem, oferecendo aos clientes europeus maior confiança ao executar aplicações em suas regiões.
O programa C5 é um esquema de certificação respaldado pelo governo alemão, desenvolvido pelo C5. Desde sua introdução em 2016, a AWS tem mantido conformidade com seus requisitos. O C5 auxilia organizações a demonstrar segurança operacional contra ameaças cibernéticas comuns ao utilizar serviços em nuvem.
Escopo da auditoria e novos serviços incorporados
Auditores independentes de terceiros avaliaram a AWS no período entre 1º de outubro de 2024 e 30 de setembro de 2025. O relatório de conformidade C5 detalha o status de alinhamento tanto para critérios básicos quanto adicionais do programa.
Cinco novos serviços foram adicionados ao escopo C5 da AWS neste ciclo:
O relatório de 2025 abrange as seguintes regiões da AWS: Europa (Frankfurt), Europa (Irlanda), Europa (Londres), Europa (Milão), Europa (Paris), Europa (Estocolmo), Europa (Espanha), Europa (Zurique) e Ásia-Pacífico (Singapura).
Acessando o relatório de conformidade
Os clientes podem fazer download do relatório C5 completo através do AWS Artifact no Console de Gerenciamento da AWS, um portal de autoatendimento que oferece acesso sob demanda a relatórios de conformidade. Para quem está começando, a AWS disponibiliza um guia de início com AWS Artifact.
A segurança e conformidade na nuvem funcionam sob um modelo de responsabilidade compartilhada entre a AWS e seus clientes. Quando organizações transferem seus sistemas e dados para a nuvem, as responsabilidades de segurança são divididas entre o cliente e o provedor de nuvem. Compreender este modelo é essencial para implementar estratégias eficazes de proteção. Mais detalhes estão disponíveis no Modelo de Responsabilidade Compartilhada de Segurança da AWS.
Clientes com dúvidas ou feedback sobre o relatório C5 podem entrar em contato com seu time de contas da AWS. A equipe de conformidade da AWS também está disponível através da página de contato para consultas adicionais.
A Amazon Web Services (AWS) expandiu sua certificação GSMA Scheme de Acreditação de Segurança para Gerenciamento de Assinaturas (SAS-SM) para quatro novas regiões globais. Simultaneamente, duas regiões que já possuíam essa certificação passaram pelo processo de renovação.
As quatro regiões que receberam a certificação GSMA SAS-SM pela primeira vez são: US West (Oregon), Europe (Frankfurt), Asia Pacific (Tokyo) e Asia Pacific (Singapore). Além disso, a AWS renovou as certificações das regiões US East (Ohio) e Europe (Paris). Todas essas certificações têm escopo em Operações e Gerenciamento de Data Center (DCOM) e foram validadas por auditores independentes selecionados pela GSM Association (GSMA), com validade até outubro de 2026.
O Significado da Certificação SAS-SM para o Mercado
Rastreabilidade e Conformidade
A certificação GSMA SAS-SM representa um marco importante na conformidade de segurança para provedores de nuvem. O escopo DCOM (Operações e Gerenciamento de Data Center) garante que os ambientes foram avaliados segundo critérios rigorosos de segurança estabelecidos globalmente. O certificado de conformidade, que comprova que a AWS atende aos padrões GSMA, está disponível nos sites tanto da GSMA quanto da AWS.
Herança de Controles para ISVs
Desde que o US East (Ohio) obteve a certificação GSMA em setembro de 2021 e o Europe (Paris) em outubro de 2021, diversos fornecedores independentes de software (ISVs) têm se beneficiado da herança dos controles de conformidade SAS-SM DCOM da AWS. Isso permite que essas empresas construam serviços de gerenciamento de assinaturas ou eSIM (módulo de identidade de assinante incorporado) compatíveis com GSMA.
Para líderes de mercado consolidados, essa abordagem reduz a dívida técnica enquanto mantém a escalabilidade e o desempenho esperados pelos clientes. Para startups que inovam com soluções de eSIM, a oportunidade é ainda mais valiosa: podem acelerar seu tempo de entrada no mercado em vários meses em comparação com modelos de implantação locais.
A Revolução do eSIM no Mercado de Telecomunicações
Evolução Tecnológica
Até 2023, a transição de módulos de identidade de assinante físicos (SIMs) para eSIMs (módulos incorporados) era impulsionada principalmente por fabricantes de automóveis, wearables conectados à rede celular e dispositivos complementares como tablets. No entanto, o cenário está mudando rapidamente.
A GSMA promove as especificações SGP.31 e SGP.32, que padronizam protocolos e garantem compatibilidade e experiência de usuário consistente em todos os dispositivos eSIM. Com essas especificações, o escopo de aplicação do eSIM agora abrange smartphones, Internet das Coisas (IoT), casas inteligentes, IoT industrial e muito mais.
Demanda por Plataformas em Nuvem
Conforme mais fabricantes de dispositivos lançam modelos exclusivamente com eSIM, os clientes da AWS demandam soluções robustas e centradas em nuvem para gerenciamento de eSIM. Atualmente, mais de 400 operadoras de telecomunicações em todo o mundo oferecem suporte a serviços de eSIM para seus assinantes.
Hospedar plataformas de eSIM na nuvem permite que essas operadoras se integrem de forma eficiente com seus novos sistemas de suporte operacional (OSS) e sistemas de suporte comercial (BSS) baseados em nuvem. Essa integração é fundamental para modelos de operação modernos.
Cobertura Global e Resiliência
A expansão da AWS para certificar quatro novas regiões GSMA em novembro de 2025 demonstra seu compromisso contínuo com as expectativas elevadas estabelecidas para provedores de serviços em nuvem. Essa expansão também estende significativamente a cobertura global de infraestrutura certificada GSMA.
Com duas regiões certificadas GSMA em cada uma das três áreas geográficas principais — Estados Unidos, União Europeia e Ásia — os clientes podem agora construir soluções de eSIM com redundância geográfica. Essa abordagem melhora tanto a recuperação de desastres quanto a postura geral de resiliência dos sistemas.
A AWS mantém um canal aberto com sua comunidade de clientes e parceiros. Dúvidas técnicas ou feedback sobre conformidade GSMA podem ser direcionadas à equipe de conformidade por meio da página de contato.
Novas Camadas de Proteção para Grupos de Auto Scaling
A AWS anunciou em janeiro de 2026 a introdução de novos mecanismos de proteção para o EC2 Auto Scaling, focando na prevenção de exclusões acidentais. Essas funcionalidades reforçam a segurança operacional e ajudam a manter a disponibilidade das aplicações.
Chave de Condição IAM para Controle de Exclusão Forçada
O primeiro mecanismo é a nova chave de condição de política autoscaling:ForceDelete. Essa chave funciona em conjunto com a ação DeleteAutoScalingGroup e permite controlar se o parâmetro ForceDelete pode ser utilizado durante a exclusão. Em outras palavras, ela determina se um grupo de Auto Scaling (ASG) pode ser removido enquanto ainda possui instâncias em execução.
Por meio de políticas IAM (Identity and Access Management), é possível restringir as permissões de exclusão usando essa chave de condição. Isso funciona como uma medida de segurança importante, evitando que exclusões acidentais removam grupos de Auto Scaling que ainda contêm instâncias ativas.
Proteção a Nível de Grupo
Além da chave de condição IAM, o EC2 Auto Scaling agora oferece proteção contra exclusão diretamente no nível do grupo. A nova configuração de proteção contra exclusão pode ser estabelecida tanto no momento da criação do grupo quanto em atualizações posteriores.
Esse recurso permite definir controles aprimorados com base na criticidade da sua carga de trabalho, oferecendo múltiplos níveis de proteção. Assim, é possível salvaguardar grupos críticos contra exclusões acidentais e garantir a continuidade das aplicações.
Defesa em Camadas contra Exclusões Indesejadas
A combinação da chave de condição autoscaling:ForceDelete com a proteção a nível de grupo cria uma defesa em múltiplas camadas. Dessa forma, você pode tanto restringir permissões IAM para operações de exclusão forçada quanto estabelecer controles aprimorados de proteção diretamente nos grupos de Auto Scaling críticos.
Disponibilidade e Próximos Passos
Os novos mecanismos estão disponíveis em todas as regiões da AWS Regions e em todas as regiões AWS GovCloud (US).
A AWS anunciou o lançamento de 13 novas regras gerenciadas para o serviço AWS Config, ampliando as capacidades de conformidade e governança para ambientes em nuvem. Essas regras cobrem diferentes cenários de uso, desde validação de segurança até verificações operacionais e de durabilidade dos recursos.
Com essa expansão, os usuários agora conseguem pesquisar, descobrir, ativar e gerenciar essas novas regras diretamente pela interface do AWS Config. O grande diferencial é a possibilidade de implantar esses controles em toda a conta ou até mesmo em múltiplas contas da organização, facilitando a governança centralizada.
Principais capacidades das novas regras
Validação de conformidade em diferentes serviços
As 13 novas regras permitem avaliar a postura de segurança em diversos recursos AWS. Alguns exemplos incluem validações em Amazon Cognito User Pools, Amazon EBS Snapshots, AWS CloudFormation Stacks e outros serviços críticos da plataforma.
Cada regra foi desenhada para verificar configurações específicas que impactam a segurança, a disponibilidade e a conformidade regulatória dos ambientes.
Governança com Conformance Packs
Uma vantagem importante é a possibilidade de usar Conformance Packs — agrupamentos de regras que podem ser implantados em conta única ou em múltiplas contas da organização. Isso simplifica significativamente a governança multi-conta, permitindo padronização de políticas em toda a estrutura organizacional.
Lista de regras lançadas
As 13 novas regras gerenciadas disponibilizadas são:
Maior controle sobre criptografia em ambientes de análise de dados
A Amazon EMR Serverless recebeu uma atualização importante em suas capacidades de segurança. O serviço agora oferece suporte a chaves gerenciadas pelo cliente do Serviço de Gerenciamento de Chaves da AWS (AWS KMS – Key Management Service) para criptografar discos locais. Essa mudança é particularmente significativa para organizações que enfrentam requisitos regulatórios e de conformidade rigorosos, pois amplia as opções de encriptação além das chaves padrão pertencentes à AWS.
O que é o EMR Serverless
O Amazon EMR Serverless é uma modalidade de implantação dentro do Amazon EMR que simplifica o trabalho de engenheiros de dados e cientistas de dados. Com essa abordagem, é possível executar frameworks de análise de dados de código aberto sem precisar configurar, gerenciar ou dimensionar clusters e servidores manualmente. A solução abstrai grande parte da complexidade operacional, permitindo que os profissionais concentrem-se na análise em si.
Criptografia padrão e novas possibilidades
Anteriormente, os discos locais nos workers do EMR Serverless eram criptografados por padrão utilizando chaves de propriedade da AWS. Com esse novo recurso, clientes com necessidades estritas de regulamentação e conformidade podem agora criptografar discos locais com suas próprias chaves gerenciadas pelo KMS. Essas chaves podem residir na mesma conta ou em conta diferente da organização.
Flexibilidade na aplicação das chaves
A integração oferece dois níveis de granularidade para especificação da chave KMS gerenciada pelo cliente:
Nível de aplicação: você pode definir a chave no nível da aplicação EMR Serverless, onde ela se aplica a todas as cargas de trabalho submetidas naquela aplicação
Nível de execução: alternativamente, é possível especificar a chave para uma execução de job específica ou sessão interativa individual
Esse design flexível permite que organizações adaptem sua estratégia de criptografia conforme necessário, equilibrando centralização e controle granular.
Disponibilidade e compatibilidade
O novo recurso está disponível em todas as versões de EMR suportadas e em todas as regiões da AWS onde o Amazon EMR Serverless opera, incluindo AWS GovCloud (US) e regiões da China. Funciona tanto em aplicações EMR Serverless novas quanto em aplicações existentes, oferecendo compatibilidade retroativa.
Próximos passos
Para quem deseja implementar esse recurso, a AWS disponibiliza documentação específica sobre Criptografia de Discos Locais com Chaves KMS do Cliente no Guia do Usuário do Amazon EMR Serverless. A documentação contém detalhes técnicos, exemplos de configuração e orientações para diferentes cenários de uso.
A Amazon Web Services (AWS) disponibilizou os relatórios de Controles e Conformidade do Sistema e da Organização (SOC) 1, 2 e 3 referentes ao período Fall 2025. Esses relatórios cobrem 185 serviços diferentes ao longo de um período de 12 meses, compreendendo o intervalo de 1º de outubro de 2024 a 30 de setembro de 2025, oferecendo aos clientes um ano completo de garantia de conformidade.
A publicação desses relatórios reafirma o compromisso contínuo da AWS em atender às expectativas cada vez mais rigorosas impostas aos provedores de serviços em nuvem. Para as organizações brasileiras que utilizam plataforma, isso significa ter acesso a documentação técnica que atesta o cumprimento de padrões internacionais de segurança e governança.
Como Acessar os Relatórios
Relatórios SOC 1 e 2
Os relatórios SOC 1 e 2 do Fall 2025 podem ser baixados através do AWS Artifact no AWS Management Console. O AWS Artifact funciona como um portal de autoatendimento que oferece acesso sob demanda aos relatórios de conformidade da AWS. Para aprofundar-se no uso dessa ferramenta, você pode consultar o guia de introdução ao AWS Artifact.
Relatório SOC 3
O relatório SOC 3 encontra-se disponível na página de conformidade SOC da AWS. Diferentemente dos relatórios SOC 1 e 2, que são restritos, o SOC 3 é um relatório público que pode ser compartilhado amplamente dentro de uma organização.
Expansão Contínua de Serviços em Conformidade
A AWS mantém um esforço constante para incorporar novos serviços ao escopo de seus programas de conformidade, facilitando que os clientes atendam aos seus requisitos arquiteturais e regulatórios. É possível consultar a lista atualizada de todos os serviços cobertos pelos relatórios na página de serviços em conformidade.
Suporte e Recursos Adicionais
Clientes da AWS que possuam dúvidas ou feedback relacionados à conformidade SOC podem entrar em contato com seu time de contas AWS. Para explorar mais sobre os programas de conformidade e segurança oferecidos pela plataforma, recomenda-se consultar a seção dedicada aos programas de conformidade da AWS.
A AWS valoriza feedback e questões da comunidade. Dúvidas adicionais podem ser direcionadas à equipe de conformidade através da página de contato.
A AWS anunciou a adição de duas capacidades importantes ao SageMaker Unified Studio: suporte a subscrições entre regiões e acesso baseado em funções IAM (Gerenciamento de Identidade e Acesso). Essas funcionalidades reforçam a proposta da plataforma de facilitar acesso a dados e melhorar a governança entre equipes distribuídas.
Subscrições entre Regiões
O SageMaker Unified Studio agora permite que você se inscreva em tabelas e visões do AWS Glue e Amazon Redshift publicadas em uma região diferente daquela onde seu projeto está localizado. Essa funcionalidade é especialmente valiosa para organizações com infraestrutura distribuída em múltiplas regiões da AWS.
A principal vantagem dessa capacidade é a quebra de silos de dados. Equipes espalhadas geograficamente ou divididas por linha de negócio conseguem acessar ativos de dados curados sem precisar replicar informações manualmente. Isso acelera fluxos de análise e reduz redundância operacional.
Subscrições Baseadas em Funções IAM
A segunda novidade elimina um intermediário importante no fluxo de acesso a dados. Você pode agora descobrir e solicitar acesso a dados através de subscrições baseadas em funções IAM, sem necessidade de um projeto do SageMaker Unified Studio. Isso simplifica o processo removendo uma camada administrativa e permitindo acesso direto aos dados através de papéis (roles) IAM.
Essa abordagem oferece maior flexibilidade: colaboradores conseguem solicitar acesso aos dados que precisam sem depender de estrutura de projeto, tornando o processo mais ágil e alinhado com práticas modernas de governança de identidade.
Como Começar
Para utilizar subscrições entre regiões, você pode acessar o SageMaker Unified Studio diretamente ou usar a Amazon DataZone API, SDK ou AWS CLI (Interface de Linha de Comando). As subscrições baseadas em funções IAM estão disponíveis via Amazon DataZone API e SDK.
Essas atualizações reforçam a abordagem da AWS em facilitar colaboração intra-organizacional mantendo controle granular de acesso. Organizações brasileiras que trabalham com múltiplas equipes em diferentes regiões encontram nessas funcionalidades uma forma de centralizar ativos de dados sem sacrificar autonomia de acesso.
Cargas de trabalho envolvendo inteligência artificial generativa e aprendizado de máquina geram volumes massivos de dados. Para organizações brasileiras e globais, gerenciar esse crescimento exponencial enquanto mantém conformidade regulatória é um desafio complexo e cada vez mais urgente.
Embora o conceito de governança de dados não seja novo, pesquisas recentes revelam uma lacuna preocupante. Um estudo da Gartner com 300 executivos de TI mostrou que apenas 60% das organizações implementaram uma estratégia formal de governança de dados, deixando 40% ainda em fase de planejamento ou incertos por onde começar. Complementando esse cenário, uma pesquisa do MIT CDOIQ de 2024 com 250 diretores de dados revelou que apenas 45% identificam governança de dados como prioridade máxima.
Mesmo que a maioria das empresas reconheça a importância de estratégias de governança de dados, revisões regulares são essenciais para garantir que essas estratégias evoluam conforme as necessidades empresariais mudam, novos requisitos regulatórios surgem e tecnologias emergentes se consolidam.
Uma abordagem prática e automatizada
A Amazon Web Services (AWS) apresenta uma perspectiva estratégica e pragmática para implementar governança de dados, seja você começando do zero ou aprimorando uma estrutura existente. Este guia funciona em duas partes: a primeira (que você está lendo agora) aborda estratégia, framework de classificação e governança de marcação. A segunda parte explora arquitetura técnica e padrões de implementação com exemplos conceituais de código.
A abordagem da AWS se alinha em torno de três benefícios principais de governança de dados:
Classificar dados consistentemente e automatizar controles para melhorar qualidade
Conceder às equipes acesso seguro aos dados que realmente precisam
Monitorar conformidade automaticamente e identificar problemas rapidamente
Se você ainda não possui uma estratégia de governança estruturada, este artigo oferece um panorama dos serviços e ferramentas disponibilizados pela AWS para começar. Se já tem uma estratégia implementada, o conteúdo ajuda a avaliar sua efetividade e entender como a governança evolui com novas tecnologias.
Fundações necessárias antes de começar
Alicerces técnicos
Implementar governança de dados exige uma base técnica robusta. Comece com uma estrutura bem organizada do AWS Organizations para gerenciamento centralizado. Certifique-se de que o AWS CloudTrail e o AWS Config estão habilitados em todas as contas—você vai precisar deles para monitoramento e auditoria. Seu framework de AWS Identity and Access Management (IAM) deve já definir claramente funções e permissões.
Além desses serviços fundamentais, diversos serviços específicos da AWS suportam automação e imposição de controles, que serão explorados detalhadamente ao longo deste guia.
Prontidão organizacional
A implementação bem-sucedida de governança de dados vai além da tecnologia. Requer alinhamento claro e preparação organizacional em múltiplas dimensões:
Defina papéis e responsabilidades. Proprietários de dados classificam dados e aprovam solicitações de acesso. Equipes de plataforma gerenciam infraestrutura AWS e constroem automações, enquanto equipes de segurança estabelecem controles e monitoram conformidade. Equipes de aplicação então implementam esses padrões em seus fluxos diários.
Documente requisitos de conformidade. Liste as regulamentações que sua organização deve seguir—GDPR, PCI-DSS, SOX, HIPAA ou outras. Crie um framework de classificação de dados que se alinhe com riscos empresariais. Documente seus padrões de marcação e convenções de nomenclatura para que todos trabalhem de forma consistente.
Planeje a gestão de mudanças. Obtenha apoio executivo de líderes que entendem por que governança importa. Comece com projetos piloto para demonstrar valor antes de expandir para toda a organização. Invista em treinamento baseado em papéis e mantenha playbooks de governança atualizados. Estabeleça mecanismos de feedback para que equipes reportem problemas e sugiram melhorias.
Indicadores-chave de desempenho para monitorar
Para medir a efetividade de sua implementação de governança de dados, acompanhe as seguintes métricas essenciais:
Conformidade de marcação de recursos: Meta de 95%, medida por regras do AWS Config com monitoramento semanal, focando em recursos críticos e dados sensíveis
Tempo médio de resposta para problemas de conformidade: Menos de 24 horas para questões críticas, rastreado com métricas do CloudWatch e alertas automatizados
Redução de tarefas manuais de governança: Meta de 40% de redução no primeiro ano, medida pela adoção de workflows automatizados
Otimização de custos de armazenamento por classificação: Redução de 15–20% através de camadas inteligentes e políticas de ciclo de vida, monitoradas mensalmente
Fundação: Framework de classificação de dados
A classificação de dados é um passo fundamental na gestão de riscos de cibersegurança e em estratégias de governança. As organizações devem usar classificação de dados para determinar quais salvaguardas são apropriadas com base nos requisitos de proteção de cada categoria de informação.
Impacto Alto: Efeito adverso severo ou catastrófico nas operações, ativos ou indivíduos da organização
Impacto Moderado: Efeito adverso sério nas operações, ativos ou indivíduos da organização
Impacto Baixo: Efeito adverso limitado nas operações, ativos ou indivíduos da organização
Antes de implementar controles, estabelecer um framework claro de classificação é essencial. Esse framework funciona como a espinha dorsal de seus controles de segurança, políticas de acesso e estratégias de automação. Como exemplo prático, considere como uma empresa sujeita ao Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI-DSS) poderia classificar dados:
Nível 1 – Dados mais sensíveis: Registros de transações financeiras, dados PCI de clientes, propriedade intelectual. Controles: Criptografia em repouso e em trânsito, controles de acesso rigorosos, auditoria abrangente
Nível 2 – Dados para uso interno: Documentação interna, informações de negócios proprietárias, código de desenvolvimento. Controles: Criptografia padrão, controle de acesso baseado em papéis
Nível 3 – Dados públicos: Materiais de marketing, documentação pública, comunicados de imprensa. Controles: Verificações de integridade, controle de versão
Estruturando uma estratégia de marcação eficaz
Para auxiliar com classificação de dados e marcação, a AWS oferece o AWS Resource Groups, um serviço que permite organizar recursos AWS em grupos usando critérios que você define como tags. Se sua organização usa múltiplas contas AWS, o AWS Organizations suporta políticas de tags, que padronizam as marcas vinculadas aos recursos da organização.
Uma estratégia de marcação bem-projetada é fundamental para governança automatizada. Tags não apenas organizam recursos, mas também habilitam controles de segurança automatizados, alocação de custos e monitoramento de conformidade. A estratégia a seguir estrutura a automação:
Embora as políticas de tags do AWS Organizations forneçam uma base para marcação consistente, governança abrangente exige mecanismos adicionais de imposição, que serão explorados em detalhes na Parte 2.
Fluxo de trabalho de governança com tags
O processo de governança de tags segue um fluxo estruturado: a AWS valida tags quando você cria recursos. Recursos não conformes acionam remediação automática, enquanto recursos conformes são implantados normalmente. O monitoramento contínuo identifica variações em relação às suas políticas.
AWS CloudTrail: Registra cada chamada de API feita em suas contas AWS, criando um rastro completo de auditoria de quem fez o quê, quando e de onde
AWS Config: Monitora continuamente configurações de recursos e as avalia contra regras que você define. Quando encontra recursos não conformes, os marca para correção manual ou automática
Amazon CloudWatch: Agrega métricas, logs e eventos de todo o AWS para monitoramento em tempo real, dashboards e alertas automatizados em não conformidades
Automação e imposição
Amazon EventBridge: Sistema central de notificações que observa eventos específicos no ambiente AWS (como criação de um bucket S3) e dispara ações em resposta (como executar uma função Lambda para validar tags). Funciona como um mecanismo de automação “se isto acontecer, então faça aquilo”
AWS Lambda: Executa código de governança (validação de tags, controles de segurança, remediação) em resposta a eventos sem necessidade de gerenciar servidores
AWS Systems Manager: Automatiza tarefas operacionais em seus recursos AWS. Na governança, é usado primariamente para corrigir automaticamente recursos não conformes—por exemplo, se o AWS Config detecta um banco de dados não criptografado, o Systems Manager pode executar um script pré-definido para habilitar criptografia sem intervenção manual
Proteção de dados
Amazon Macie: Usa aprendizado de máquina para descobrir, classificar e proteger automaticamente dados sensíveis como informações de identificação pessoal (PII) em seus buckets S3
AWS Key Management Service (AWS KMS): Gerencia chaves de criptografia para proteger dados em repouso, essencial para classificações de dados com alto impacto
Análise e insights
Amazon Athena: Serviço de query serverless que analisa dados no Amazon S3 usando SQL—perfeito para consultar logs do CloudTrail e entender padrões de acesso
Padronização e ML
AWS Service Catalog: Cria catálogos de recursos pré-aprovados e conformes com governança que equipes podem implantar por autoatendimento
Amazon SageMaker: Oferece ferramentas especializadas para governança de operações de aprendizado de máquina, incluindo monitoramento de modelo, documentação e controle de acesso
Próximas etapas
Este primeiro artigo da série em duas partes estabeleceu os elementos fundacionais para implementar governança de dados na AWS, cobrindo frameworks de classificação de dados, estratégias efetivas de marcação e requisitos de alinhamento organizacional. Esses fundamentos servem como blocos construtivos para abordagens de governança escaláveis e automatizadas.
A Parte 2 focará em implementação técnica e padrões arquiteturais, incluindo fundações de monitoramento, controles preventivos e remediação automatizada. A discussão se estende a controles de segurança baseados em tags, automação de monitoramento de conformidade e integração de governança com estratégias de recuperação de desastres. Tópicos adicionais incluem controles de soberania de dados e governança de modelos de aprendizado de máquina com o Amazon SageMaker, suportados por exemplos de implementação da AWS.
Este artigo complementa a primeira parte sobre governança de dados na AWS, que abordou fundações estratégicas, frameworks de classificação e abordagens de marcação. Agora, veremos como implementar tecnicamente um framework de governança robusto através de padrões arquiteturais bem estabelecidos.
A governança de dados efetiva exige múltiplas camadas de controle trabalhando em conjunto. O processo começa com monitoramento, evolui para controles preventivos, passa por remediação automatizada e culmina em recursos avançados que garantem conformidade em ambientes complexos.
Os quatro pilares da implementação
A AWS apresenta uma abordagem progressiva que permite implementação incremental. Cada nível constrói sobre o anterior, permitindo validação contínua:
Fundação de monitoramento
O primeiro passo consiste em estabelecer uma linha de base sólida. Use AWS Config para rastrear conformidade de marcações em seus recursos, e configure painéis do Amazon CloudWatch para visibilidade em tempo real de sua postura de governança. Essa fundação permite compreender seu estado atual antes de implementar controles de força maior.
Controles preventivos
Depois da visibilidade inicial, implemente aplicação proativa. Implante funções AWS Lambda que validam marcações no momento da criação de recursos. Configure regras do Amazon EventBridge para disparar ações de conformidade em tempo real e estabeleça políticas de controle de serviço (Service Control Policies — SCPs) que criam barreiras de proteção em toda a organização, prevenindo implantação de recursos não conformes.
Remediação automatizada
Reduza intervenção manual configurando documentos de automação do AWS Systems Manager que respondem a violações de conformidade. Implante respostas automatizadas que corrigem problemas comuns como marcações faltantes ou criptografia inadequada. Estabeleça controles de segurança baseados em classificação que aplicam proteções apropriadas automaticamente conforme a sensibilidade dos dados.
Recursos avançados
Estenda o framework com recursos sofisticados. Implante controles de soberania de dados para garantir conformidade regulatória entre regiões, implemente gerenciamento de ciclo de vida inteligente para otimizar custos mantendo conformidade, e estabeleça sistemas abrangentes de monitoramento e relatório que ofereçam visibilidade clara aos stakeholders sobre a efetividade da governança.
Familiaridade com AWS CloudFormation ou Terraform, pois os exemplos usarão CloudFormation
Implementação de controles de marcação
Controles preventivos com funções Lambda
A validação de marcações no momento da criação de recursos previne implantação de recursos não conformes. Funções Lambda disparadas por eventos do AWS CloudTrail verificam marcações antes que recursos sejam criados:
def enforce_resource_tags(event, context):
required_tags = ['DataClassification', 'DataOwner', 'Environment']
# Extract resource details from the event
resource_tags = event['detail']['requestParameters'].get('Tags', {})
# Validate required tags are present
missing_tags = [tag for tag in required_tags if tag not in resource_tags]
if missing_tags:
# Send alert to security team
# Log non-compliance for compliance reporting
raise Exception(f"Missing required tags: {missing_tags}")
return {'status': 'compliant'}
As políticas de marcação do AWS Organizations estabelecem a base para consistência. Essas políticas definem formatos e valores padrão, garantindo consistência entre contas:
O controle de acesso baseado em marcações permite permissões detalhadas usando controle de acesso baseado em atributos (ABAC — Attribute-Based Access Control). Essa abordagem define permissões conforme atributos de recursos em vez de criar políticas IAM individuais:
Enquanto a implementação de governança em uma única conta é direta, a maioria das organizações opera em ambientes multi-conta. Implementar governança consistente em toda a organização exige controles adicionais:
Muitas organizações mantêm frameworks de governança para infraestrutura local. Estender esses frameworks para a AWS exige integração cuidadosa. Use o AWS Service Catalog para criar um portfólio de recursos que se alinhem com seus padrões de governança existentes, mantendo convenções de nomenclatura e controles compatíveis.
Automação de controles de segurança baseada em classificação
Após classificar dados, use essas classificações para automatizar controles de segurança. Use AWS Config para rastrear e validar que recursos estejam devidamente marcados através de regras definidas que avaliam configurações de recursos AWS. Para recursos não conformes, use AWS Systems Manager para automatizar o processo de remediação.
Com marcação adequada, implemente controles de segurança automatizados usando EventBridge e Lambda. Essa combinação cria infraestrutura eficiente em custos e escalável para aplicação de políticas de segurança baseadas em classificação de dados:
Requisitos de soberania e residência de dados ajudam na conformidade com regulações como GDPR. Implemente controles que restrinjam armazenamento e processamento de dados a regiões específicas da AWS:
AWSConfig:
ConfigRule:
Type: AWS::Config::ConfigRule
Properties:
ConfigRuleName: s3-bucket-region-check
Description: Checks if S3 buckets are in allowed regions
Source:
Owner: AWS
SourceIdentifier: S3_BUCKET_REGION
InputParameters:
allowedRegions:
- eu-west-1
- eu-central-1
Combine AWS Config para conformidade de recursos, CloudWatch para métricas e alertas, e Amazon Macie para descoberta de dados sensíveis, criando um framework robusto que detecta e responde automaticamente a questões de conformidade:
Figura 1: Arquitetura de monitoramento de conformidade — Imagem original — fonte: Aws
Essa arquitetura demonstra como os serviços da AWS trabalham em conjunto para monitoramento de conformidade. O AWS Config, CloudTrail e Macie monitoram recursos, o CloudWatch agrega dados de monitoramento, e alertas e painéis oferecem visibilidade em tempo real.
Implementação com CloudFormation
O seguinte template CloudFormation implementa esses controles:
Estratégias modernas de governança frequentemente utilizam data lakes para controle centralizado. A AWS oferece solução abrangente através do Modern Data Architecture Accelerator (MDAA), que permite implantar rapidamente arquiteturas de plataforma de dados com controles de segurança e governança integrados.
Figura 2: Arquitetura de referência do MDAA — Imagem original — fonte: Aws
Compreender e gerenciar padrões de acesso é essencial para governança efetiva. Use CloudTrail e Amazon Athena para analisar padrões de acesso:
SELECT useridentity.arn, eventname, requestparameters.bucketname,
requestparameters.key, COUNT(*) as access_count
FROM cloudtrail_logs
WHERE eventname IN ('GetObject', 'PutObject')
GROUP BY 1, 2, 3, 4
ORDER BY access_count DESC
LIMIT 100;
Essa consulta identifica dados acessados com frequência e padrões incomuns de comportamento, permitindo otimizar camadas de armazenamento, refinar estratégias de recuperação de desastres, identificar riscos de segurança e ajustar políticas de ciclo de vida conforme padrões de uso.
Governança de modelos de aprendizado de máquina
Conforme organizações avançam sua jornada de governança, muitas implantam modelos de machine learning em produção, necessitando frameworks que se estendam a operações de ML. O Amazon SageMaker oferece ferramentas avançadas para manter governança sobre ativos de ML sem impedir inovação.
As ferramentas de governança do SageMaker trabalham juntas fornecendo supervisão completa de ML: o Role Manager oferece controle de acesso detalhado, Model Cards centralizam documentação e linhagem, o Model Dashboard oferece visibilidade em toda a organização, e o Model Monitor automatiza detecção de desvio e controle de qualidade.
# Basic/High-level ML governance setup with role and monitoring
SageMakerRole:
Type: AWS::IAM::Role
Properties:
AssumeRolePolicyDocument:
Statement:
- Effect: Allow
Principal:
Service: sagemaker.amazonaws.com
Action: sts:AssumeRole
ManagedPolicyArns:
- arn:aws:iam::aws:policy/AmazonSageMakerFullAccess
ModelMonitor:
Type: AWS::SageMaker::MonitoringSchedule
Properties:
MonitoringScheduleName: hourly-model-monitor
ScheduleConfig:
ScheduleExpression: 'cron(0 * * * ? *)'
Otimização de custos através de gerenciamento de ciclo de vida automatizado
Governança de dados efetiva não trata apenas de segurança — também gerencia custos. Implemente gerenciamento inteligente de ciclo de vida de dados baseado em classificação e padrões de uso:
Implementação bem-sucedida de governança de dados na AWS exige abordagem estruturada e adesão a melhores práticas:
Comece com escopo focado e expanda gradualmente. Inicie com projeto piloto que aborde casos de uso de alto impacto e baixa complexidade, demonstrando ganhos rápidos enquanto constrói experiência.
Faça automação sua fundação. Aplique serviços como EventBridge para respostas dirigidas por eventos, implemente remediação automatizada e crie capacidades de auto-atendimento que equilibrem eficiência e conformidade.
Mantenha visibilidade e melhoria contínuas. Monitoramento regular, verificações de conformidade e atualizações de framework são essenciais. Use feedback de suas operações para refinar políticas conforme necessidades da organização evoluem.
Desafios comuns a considerar
Resistência inicial de equipes acostumadas a processos manuais
Complexidade ao lidar com sistemas e dados legados
Equilíbrio entre controles de segurança e eficiência operacional
Manutenção de governança consistente em múltiplas contas e regiões AWS
Recursos adicionais
Para mais informações, suporte de implementação e orientação, consulte:
Construir um framework de governança de dados robusto e escalável na AWS que cresça com sua organização enquanto mantém segurança, conformidade e operações de dados eficientes é totalmente viável. O caminho começa com monitoramento fundamental, progride através de controles preventivos, passa por automação de remediação e culmina em recursos avançados que garantem conformidade em ambientes complexos.
Ao seguir essa abordagem progressiva, validando continuamente e permanecendo atento aos desafios potenciais, sua organização pode implementar governança que não apenas atende aos requisitos regulatórios, mas também habilita inovação e otimização de custos.
Novidade: Parâmetros em Templates PySpark no AWS Clean Rooms
A AWS anunciou o suporte a parâmetros em templates de análise PySpark, ampliando as possibilidades de colaboração segura entre organizações e seus parceiros. Com este lançamento, torna-se possível criar um único template PySpark que aceita diferentes valores fornecidos pelo colaborador no momento da execução, eliminando a necessidade de modificar o código do template.
Como Funciona: Fluxo de Parâmetros
O processo segue uma lógica clara: o autor do código prepara um template PySpark com suporte a parâmetros, e após aprovação para execução, quem rodar o job pode enviar os valores diretamente para a tarefa PySpark. Essa abordagem cria um cenário onde o mesmo template reutilizável funciona para múltiplos cenários e análises, sem precisar duplicar ou ajustar manualmente o código para cada situação.
Aplicação Prática: Campanha de Publicidade
Um exemplo tangível é a atuação de empresas de medição no setor de publicidade: com os parâmetros dinâmicos, elas podem inserir períodos de tempo e regiões geográficas diferentes diretamente durante o envio do job. Essa flexibilidade acelera a geração de insights sobre atribuição de campanhas publicitárias, permitindo otimizações de campanha e planejamento de mídia em prazos muito mais curtos.
O Escopo Maior do Clean Rooms
O AWS Clean Rooms oferece a capacidade de criar salas de dados seguras em poucos minutos e colaborar com qualquer empresa na AWS ou Snowflake. Esse ambiente permite gerar insights únicos sobre campanhas publicitárias, decisões de investimento e pesquisa e desenvolvimento, mantendo a privacidade dos dados durante todo o processo colaborativo.
Disponibilidade e Próximos Passos
Para conhecer em quais regiões da AWS o Clean Rooms está disponível, consulte a tabela de regiões oficial. Mais informações sobre como colaborar usando o AWS Clean Rooms estão disponíveis na documentação do serviço.
