Política de responsabilidade compartilhada
Objetivo
Este documento define as responsabilidades entre o RCS e os Clientes, garantindo clareza sobre as obrigações relacionadas à segurança, conformidade e operação dos serviços.
Escopo
Esta política aplica-se a todo o portfólio de serviços disponibilizados pelo RCS, abrangendo todas as ofertas de nuvem, independentemente do tipo de serviço contratado.
Caso algum serviço apresente especificidades que alterem ou complementem as responsabilidades padrão, essas particularidades serão explicitamente destacadas neste documento.
Princípios
Transparência
Todas as responsabilidades entre o RCS e o Cliente são claramente definidas, evitando ambiguidades e garantindo entendimento mútuo.
Segurança como Prioridade Compartilhada
A proteção dos dados e da infraestrutura é uma responsabilidade conjunta. O RCS assegura a segurança da nuvem, enquanto o Cliente garante a segurança na nuvem.
Responsabilidade Proporcional ao Controle
Cada parte é responsável pelos elementos que controla. O RCS gerencia a infraestrutura física e lógica da nuvem; o Cliente gerencia configurações, dados e acessos.
Flexibilidade para Serviços Específicos
Embora exista um padrão geral, serviços com características únicas podem ter responsabilidades adicionais ou diferenciadas, que serão explicitamente destacadas nesta política.
Conformidade e Governança
Ambas as partes devem cumprir normas regulatórias aplicáveis e adotar boas práticas de governança para reduzir riscos e garantir integridade.
Diferença entre “da nuvem” e “na nuvem”
Para reforçar o entendimento dos princípios a seguir detalhamos um pouco mais os termos “da nuvem” e “na nuvem”.
Segurança da Nuvem (Responsabilidade do RCS)
Refere-se à proteção e gestão da infraestrutura física e lógica que compõe a nuvem. É tudo aquilo que o cliente não controla diretamente, mas que garante que os serviços funcionem de forma segura e disponível.
Exemplos:
- Segurança física dos datacenters
- Infraestrutura de rede e hardware
- Camada de virtualização e hipervisores
- Continuidade operacional e redundância
Segurança na Nuvem (Responsabilidade do Cliente)
Refere-se à proteção e gestão dos recursos que o cliente cria, configura e utiliza dentro da nuvem. É tudo aquilo que depende das escolhas e práticas do cliente para manter seus dados e aplicações seguros.
Exemplos:
- Configuração de redes virtuais
- Gestão de identidade e acesso
- Proteção de dados
- Segurança das aplicações e do sistema operacional
Proteção de dados
A proteção de dados é um ponto importante e compartilhado, o que nos leva a detalhar um pouco mais especificamente sobre esse assunto.
RCS (Segurança da Nuvem)
- Deve garantir que os mecanismos de criptografia estejam disponíveis e funcionem corretamente (por exemplo, volumes com criptografia, chaves gerenciadas, HSMs …).
- É responsável por proteger as chaves gerenciadas pelo RCS e manter a infraestrutura segura para que a criptografia não seja comprometida.
- Deve garantir que os dados em trânsito entre serviços do RCS possam ser criptografados (TLS, HTTPS).
Cliente (Segurança na Nuvem)
- É responsável por ativar e configurar a criptografia nos recursos que utiliza (ex.: habilitar criptografia em volumes, bancos de dados).
- Deve gerenciar chaves próprias (quando usa serviços não gerenciados pelo RCS) e definir políticas de acesso.
- É responsável por classificar os dados e aplicar controles adicionais (ex.: mascaramento, tokenização).
Matriz de responsabilidade
| ID | Atividade/Responsabilidade | Descrição | RTM | Cliente |
|---|---|---|---|---|
| 1 | Infraestrutura Física e Virtualização | |||
| 1.1 | Segurança Física e Ambiental do Data Center | Energia, refrigeração, controle de acesso físico e proteção contra incêndio. | R/A | I |
| 1.2 | Gestão de Hardware (Servidores, Storage, Rede Física) | Ciclo de vida, manutenção e substituição de peças físicas. | R/A | I |
| 1.3 | Manutenção da Camada de Virtualização (Compute/Hypervisor) | Atualização e patching do software OpenStack e KVM. | R/A | I |
| 1.4 | Disponibilidade do Storage de Bloco e Objeto | Garantia de funcionamento do backend de armazenamento para crescimento. | R/A | I |
| 1.5 | Gestão do Control Plane do OpenShift | Manutenção da API e controladores principais. | R/A | I |
| 1.6 | Gestão de Worker Nodes Openshift | Provisionamento e saúde das máquinas que rodam os containers. | R/A | I |
| 1.7 | Monitoramento de Operadores | Garantia de saúde dos operadores base do OpenShift. | R/A | I |
| 1.8 | Atualização de Versão do OpenShift (Upgrades) | Planejamento e execução de updates de versão do cluster. | R/A | I |
| 1.9 | Gestão de Capacidade da Nuvem (Capacity Planning) | Garantir que há recursos físicos livres para crescimento. | R/A | I |
| 2 | Gestão Geral e Contratual | |||
| 2.1 | Definição e atualização dos Termos de Serviço | Estabelecimento e revisão periódica das cláusulas contratuais, anexos técnicos e condições gerais de uso da plataforma. | R/A | I |
| 2.2 | Pagamento dos serviços contratados | Quitação financeira das faturas emitidas referentes ao consumo de recursos ou mensalidades fixas. | C | R/A |
| 2.3 | Manutenção dos dados cadastrais | Atualização constante dos contatos administrativos, financeiros e técnicos responsáveis pela conta da empresa. | I | R/A |
| 2.4 | Cancelamento ou modificação dos serviços | Formalização de solicitações de upgrade, downgrade, alteração de plano ou rescisão contratual. | I | R/A |
| 2.5 | Cumprimento das políticas de uso dos serviços | Adesão estrita ao termo de serviço do RCS, garantindo que os serviços não sejam utilizados para fins ilícitos ou abusivos. | C | R/A |
| 3 | Sistema Operacional e Aplicação | |||
| 3.1 | Provisionamento de Instâncias (VMs) | Criação e dimensionamento inicial das máquinas virtuais. | I | R/A |
| 3.2 | Gerenciamento e Patching do S.O. (Guest OS) | Atualização do Linux/Windows dentro da VM (Kernel, segurança). | I | R/A |
| 3.3 | Instalação/Gerenciamento de banco de dados | Instalação, atualização e suporte de bancod de dados hospedados no RCS. | I | R/A |
| 3.4 | Deployment da Aplicação | Processo de CI/CD e publicação do código da aplicação. | I | R/A |
| 3.5 | Instalação/Gerenciamento de aplicações de terceiros | Instalação, atualização e suporte de softwares de mercado. | I | R/A |
| 3.6 | Arquitetura e Design da Solução | Desenho de alta disponibilidade e escolha dos componentes. | I | R/A |
| 4 | Rede e Conectividade | |||
| 4.1 | Gestão da Rede SDN (Software Defined Networking) | Garantia de funcionamento do Neutron/Open vSwitch. | I | R/A |
| 4.2 | Configuração de Rotas e Subnets (VPC/Project) | Definição de endereçamento IP e segmentação de rede lógica. | I | R/A |
| 4.3 | Configuração de Load Balancers | Criação de VIPs, regras de balanceamento e health checks. | I | R/A |
| 4.4 | Gestão de Interconexão Privada/VPN | Configuração de túneis ou links dedicados para o ambiente on-premise do cliente. | R | A/C |
| 5 | Gestão Geral do serviço – ITSM | |||
| 5.1 | Classificação e reclassificação de chamados | Triagem inicial dos tickets, definição de severidade (N1/N2/N3) e direcionamento para a fila técnica correta. | R/A | I |
| 5.2 | Cumprimento do SLA de atendimento | Garantia de tempos de primeira resposta e resolução conforme os prazos contratuais estabelecidos. | R/A | I |
| 5.3 | Solicitação de créditos por quebra de SLA | Processo formal de apuração de indisponibilidade e aplicação de descontos na fatura conforme contrato. | C | R/A |
| 5.4 | Manutenção da disponibilidade dos serviços (SLA) | Monitoramento contínuo e execução de ações proativas para garantir os SLAs dos serviços. | R/A | I |
| 5.5 | Envio de faturas e relatórios financeiros | Processamento, emissão e envio dos relatórios de consumo de recursos e notas fiscais mensais. | R/A | I |
| 6 | Operações e Suporte | |||
| 6.1 | Monitoramento da Disponibilidade da Infraestrutura na nuvem | “O servidor está ligado?” (Ping, CPU Host, RAM Host). | I | R/A |
| 6.2 | Monitoramento da Aplicação | “O sistema está lento? Deu erro 500?” | I | R/A |
| 6.3 | Execução e Gestão de Backups | Snapshots de disco e backup das configurações do ambiente. | I | R/A |
| 6.4 | Restore de Dados | Processo de recuperação de dados solicitados. | I | R/A |
| 6.5 | Resposta a Incidentes (Troubleshooting) | Investigação de causa raiz quando algo quebra. | I | R/A |
| 6.6 | Fornecimento de atendimento especializado | Alocação de arquitetos ou engenheiros seniores para consultoria, troubleshooting complexo ou apoio a projetos. | I | R/A |
| 6.7 | Realização de manutenções programadas na plataforma | Execução de janelas de manutenção para atualizações da infraestrutura RTM, com comunicação prévia. | I | R/A |
| 7 | Segurança e compliance | |||
| 7.1 | Gestão de Identidade e Acesso (IAM) – Plataforma | Criação de usuários, tenancies e atribuição de permissões no painel RTM. | I | R/A |
| 7.2 | Proteção de Endpoint (Antivírus/EDR) nas VMs* | Instalação, configuração e monitoramento de agentes de segurança dentro do Sistema Operacional da VM. | I | R/A |
| 7.3 | Configuração de Security Groups / Network Policies | Regras de firewall (portas, IPs de origem/destino) na borda da VM ou Pod. | I | R/A |
| 7.4 | Criptografia de Dados em Repouso e em Trânsito | Gestão de chaves e certificados SSL/TLS. | I | R/A |
| 7.5 | Monitoramento de Ameaças e Vulnerabilidades (App)* | Scan de vulnerabilidades no código e bibliotecas do cliente. | I | R/A |
| 8 | Auditoria e Conformidade | |||
| 8.1 | Acompanhamento de auditorias externas (escopo RTM) | Suporte e fornecimento de evidências sobre a infraestrutura da RTM para auditores contratados pelo cliente. | R | A/C |
| 8.2 | Autorização para auditorias no ambiente | Processo de validação e aprovação formal para realização de Pentests ou scans solicitados pelo cliente. | C | R/A |
| 8.3 | Responsabilidade pelo conteúdo hospedado | Garantia da legalidade, integridade e propriedade intelectual dos dados e aplicações armazenados na nuvem. | I | R/A |
| 8.4 | Retenção de Logs de Auditoria | Armazenamento seguro e inalterável de trilhas de auditoria (logs) pelo período regulatório exigido (ex: 5 anos). | C | R/A |
Significado das siglas:
- R – Responsible: Quem executa a tarefa ou atividade. É o responsável direto pela entrega.
- A – Accountable: Quem responde pelo resultado final. É o dono da entrega e garante que ela seja concluída com qualidade.
- C – Consulted: Quem é consultado para fornecer informações ou expertise durante a execução.
- I – Informed: Quem deve ser informado sobre o andamento ou conclusão da atividade.
Planos de suporte
O RCS oferece planos de suporte que podem alterar as responsabilidades descritas neste documento, para mais detalhes sugerimos a leitura da Política de responsabilidade dos planos de suporte.