Cloud empresarial: migrar para a nuvem sempre reduz custos e aumenta a segurança?

Migrar servidores e sistemas sem compreender as necessidades da operação pode apenas transferir problemas existentes para outro ambiente. Em alguns casos, a empresa passa a pagar por recursos mal dimensionados, mantém acessos inseguros ou descobre que determinados sistemas não funcionam adequadamente fora da infraestrutura local.

A pergunta correta, portanto, não é apenas:

“Nossa empresa deve ir para a nuvem?”

A pergunta mais responsável é:

“Quais recursos devem ser migrados, com qual arquitetura, sob quais responsabilidades e para atender a quais objetivos do negócio?”

O que é computação em nuvem?

O National Institute of Standards and Technology — NIST — define computação em nuvem como um modelo que permite acesso, sob demanda e pela rede, a um conjunto compartilhado de recursos computacionais configuráveis, como servidores, armazenamento, aplicações e serviços. Esses recursos podem ser disponibilizados e liberados rapidamente, com esforço reduzido de gerenciamento ou interação com o provedor.

Em termos empresariais, isso significa que parte da capacidade tecnológica pode ser contratada como serviço, em vez de depender exclusivamente de equipamentos instalados nas dependências da empresa.

A nuvem pode ser utilizada para:

• hospedar servidores;

• executar sistemas;

• armazenar arquivos;

• disponibilizar ambientes remotos;

• manter sites e aplicações;

• ampliar capacidade computacional;

• integrar unidades;

• apoiar trabalho híbrido;

• proteger ou replicar dados;

• reduzir a dependência de determinadas estruturas físicas.

Isso não significa, porém, que tudo deve ser migrado ou que a infraestrutura local se torna automaticamente desnecessária.

Cloud não é apenas “um servidor em outro lugar”

Quando a nuvem é entendida somente como a transferência de um servidor físico para um datacenter externo, parte importante da decisão é perdida.

A adoção de cloud envolve questões como:

• arquitetura;

• modelo de serviço;

• capacidade;

• desempenho;

• disponibilidade;

• segurança;

• conectividade;

• identidade e acessos;

• backup;

• monitoramento;

• licenciamento;

• custos de utilização;

• responsabilidades contratuais;

• recuperação;

• dependência do fornecedor.

A CISA recomenda que a adoção de serviços em nuvem ocorra de maneira coordenada e deliberada, considerando implantação segura, integração, operação, proteção de dados e riscos inerentes ao ambiente. A arquitetura de referência da entidade foi produzida para o governo federal dos Estados Unidos, portanto seu contexto não deve ser transposto automaticamente para todas as empresas. Ainda assim, seus princípios reforçam que migração e segurança precisam ser planejadas em conjunto.

Quais problemas empresariais a nuvem pode ajudar a resolver?

A migração deve começar por uma necessidade concreta, e não apenas pela intenção de acompanhar uma tendência.

Entre os problemas que podem justificar uma avaliação estão:

• servidor local próximo do limite de capacidade;

• equipamentos antigos ou sem suporte;

• necessidade de acesso remoto;

• abertura de novas unidades;

• dificuldade para ampliar recursos rapidamente;

• dependência de uma estrutura física vulnerável;

• indisponibilidade recorrente;

• dificuldade de manter equipe especializada;

• crescimento imprevisível da demanda;

• necessidade de hospedar novos sistemas;

• recuperação lenta em caso de falha;

• custos elevados para renovar infraestrutura.

Em algumas situações, a nuvem pode reduzir a necessidade de aquisição imediata de equipamentos e facilitar a expansão de recursos. Em outras, o ambiente local ou híbrido pode continuar sendo mais adequado.

A decisão deve considerar o conjunto da operação.

A nuvem sempre reduz custos?

Não.

A nuvem muda a forma como os recursos tecnológicos são contratados e consumidos, mas não garante economia automática.

Um ambiente pode ficar mais caro quando:

• os recursos são superdimensionados;

• servidores permanecem ligados sem necessidade;

• existe armazenamento sem política de revisão;

• a transferência de dados gera cobranças não previstas;

• não há acompanhamento do consumo;

• licenças são contratadas de forma inadequada;

• ambientes de teste permanecem ativos;

• a arquitetura replica ineficiências do ambiente local;

• serviços são contratados sem critérios de encerramento;

• não existem limites, alertas ou responsabilidades orçamentárias.

Também podem existir custos de:

• diagnóstico;

• migração;

• adequação dos sistemas;

• conectividade;

• segurança;

• backup;

• monitoramento;

• suporte;

• treinamento;

• integração;

• retorno ou saída do fornecedor.

Por isso, uma comparação responsável deve avaliar o custo total da alternativa, e não apenas a mensalidade da nuvem ou o preço de um novo servidor.

O que comparar entre infraestrutura local e cloud?

A análise pode considerar:

Infraestrutura local

• aquisição dos equipamentos;

• instalação;

• energia;

• climatização;

• espaço físico;

• manutenção;

• peças e substituições;

• licenciamento;

• atualização;

• segurança física;

• monitoramento;

• equipe técnica;

• garantia;

• renovação futura;

• capacidade ociosa;

• recuperação após falhas.

Infraestrutura em nuvem

• recursos computacionais;

• armazenamento;

• tráfego de dados;

• licenciamento;

• conectividade;

• implantação;

• migração;

• administração;

• segurança;

• monitoramento;

• backup;

• suporte;

• crescimento do consumo;

• encerramento;

• portabilidade;

• recuperação;

• dependência contratual.

A conclusão pode variar conforme o período analisado, o sistema, o volume de dados, a necessidade de disponibilidade e a capacidade interna da organização.

Não é responsável afirmar que cloud é sempre mais barata ou sempre mais cara.

IaaS, PaaS e SaaS: qual é a diferença?

O NIST organiza os serviços de nuvem em três modelos principais: infraestrutura como serviço, plataforma como serviço e software como serviço.

IaaS — Infraestrutura como Serviço

A empresa contrata recursos como processamento, armazenamento e redes, mantendo maior responsabilidade sobre sistemas operacionais, aplicações, configurações e segurança do ambiente implantado.

Pode ser utilizada para:

• servidores virtuais;

• sistemas empresariais;

• bancos de dados;

• ambientes remotos;

• aplicações desenvolvidas ou administradas pela empresa.

É o modelo mais relacionado ao serviço de servidores cloud apresentado no portfólio da Glautec.

PaaS — Plataforma como Serviço

O provedor administra parte maior da infraestrutura e da plataforma, permitindo que a empresa concentre esforços no desenvolvimento ou na execução de aplicações.

A responsabilidade do cliente diminui em algumas camadas, mas não desaparece.

SaaS — Software como Serviço

A empresa utiliza uma aplicação pronta, normalmente acessada pela internet.

São exemplos conceituais:

• sistemas de colaboração;

• plataformas empresariais;

• serviços de e-mail;

• softwares disponibilizados por assinatura.

Mesmo em SaaS, a empresa continua responsável por aspectos como usuários, acessos, dados, configurações e utilização adequada.

Cloud pública, privada ou híbrida?

O NIST também diferencia modelos de implantação, entre eles nuvem pública, privada, comunitária e híbrida.

Para empresas, três modelos aparecem com maior frequência.

Nuvem pública

A infraestrutura é operada por um provedor e compartilhada de forma lógica entre diferentes clientes.

Pode oferecer:

• ampla capacidade;

• expansão rápida;

• variedade de serviços;

• contratação sob demanda.

Seu uso exige atenção a arquitetura, custos, configurações, acessos e responsabilidades.

Nuvem privada

A infraestrutura é destinada a uma única organização.

Pode ser indicada quando existem requisitos específicos de:

• controle;

• integração;

• desempenho;

• isolamento;

• arquitetura;

• governança.

O fato de ser privada não significa que seja automaticamente mais segura. A segurança depende da implantação, da operação e dos controles aplicados.

Nuvem híbrida

Combina recursos locais, privados ou públicos.

Pode ser utilizada quando:

• parte dos sistemas precisa permanecer local;

• alguns serviços podem ser migrados;

• existem dependências técnicas;

• a empresa deseja realizar a transição por etapas;

• há requisitos diferentes entre aplicações;

• determinada carga precisa de maior flexibilidade.

O modelo híbrido não deve ser tratado apenas como solução temporária. Em muitos casos, pode representar a arquitetura mais adequada ao negócio.

A nuvem é mais segura do que o servidor local?

Não existe uma resposta universal.

Grandes provedores de cloud mantêm infraestrutura física, redes, recursos de segurança e equipes especializadas. Entretanto, parte relevante da proteção continua sob responsabilidade do cliente.

O modelo de responsabilidade compartilhada diferencia, em linhas gerais:

• a segurança da infraestrutura da nuvem, administrada pelo provedor;

• a segurança dos dados, acessos, configurações e recursos utilizados na nuvem, que pode permanecer sob responsabilidade do cliente.

A Microsoft informa que, independentemente do modelo adotado, o cliente continua responsável por seus dados, contas, acessos e dispositivos que utilizam os serviços. Em IaaS, o cliente também mantém responsabilidades sobre máquinas virtuais, sistemas operacionais, aplicações e controles de rede.

A AWS apresenta distinção semelhante: o provedor protege a infraestrutura que executa os serviços, enquanto o cliente precisa administrar as configurações e controles correspondentes aos recursos contratados. As responsabilidades variam conforme o serviço utilizado.

Portanto:

Migrar para a nuvem não transfere automaticamente toda a responsabilidade pela segurança ao fornecedor.

Quais responsabilidades normalmente permanecem com a empresa?

Conforme o serviço contratado, podem permanecer sob responsabilidade da organização:

• classificação dos dados;

• criação e exclusão de usuários;

• autenticação multifator;

• definição de permissões;

• proteção das credenciais;

• configuração de aplicações;

• atualização de sistemas em IaaS;

• proteção dos dispositivos dos usuários;

• backup;

• monitoramento;

• resposta a incidentes;

• conformidade;

• revisão de acessos;

• integração segura;

• gestão de fornecedores.

A divisão precisa estar definida na arquitetura, na proposta, no contrato e nos procedimentos operacionais.

Presumir que “o provedor cuida de tudo” pode gerar exposições importantes.

Quais são os principais riscos de uma migração mal planejada?

Sistemas incompatíveis

Aplicações antigas podem depender de:

• equipamentos específicos;

• versões antigas de sistemas operacionais;

• licenças vinculadas;

• baixa latência;

• acesso local;

• integrações não documentadas;

• componentes sem suporte.

Antes da migração, é necessário verificar se o sistema funciona adequadamente no ambiente pretendido.

Dependência de conectividade

Quando sistemas e arquivos ficam na nuvem, a conectividade torna-se ainda mais importante.

Devem ser avaliados:

• capacidade do link;

• estabilidade;

• redundância;

• contingência;

• tempo de resposta;

• operação durante falhas;

• comunicação entre unidades.

Uma arquitetura de cloud não corrige uma conectividade inadequada.

Configurações inseguras

Recursos podem ser expostos por:

• permissões excessivas;

• credenciais compartilhadas;

• ausência de autenticação multifator;

• portas desnecessárias;

• armazenamento público;

• falhas de segmentação;

• contas administrativas sem controle;

• serviços não monitorados.

Custos imprevisíveis

A facilidade para criar recursos pode levar ao crescimento descontrolado do consumo.

Sem acompanhamento, a empresa pode desconhecer:

• quem contratou determinado recurso;

• por que ele permanece ativo;

• qual área consome o serviço;

• se a capacidade ainda é necessária;

• se existe opção mais adequada.

Ausência de plano de retorno

A migração deve prever o que ocorrerá quando:

• o sistema não funcionar como esperado;

• o desempenho for insuficiente;

• houver falha durante a transferência;

• dados precisarem ser restaurados;

• a empresa decidir trocar de fornecedor;

• o contrato for encerrado.

Como planejar uma migração para a nuvem?

Uma migração responsável pode ser organizada em etapas.

1. Definir o objetivo empresarial

A empresa precisa esclarecer o que pretende alcançar.

Exemplos:

• ampliar disponibilidade;

• permitir trabalho remoto;

• substituir servidor antigo;

• reduzir risco físico;

• expandir capacidade;

• integrar unidades;

• hospedar um novo sistema;

• melhorar a recuperação;

• evitar investimento imediato em hardware.

Sem um objetivo definido, torna-se difícil avaliar se a migração foi bem-sucedida.

2. Levantar o ambiente atual

O diagnóstico deve identificar:

• servidores;

• sistemas;

• bancos de dados;

• armazenamento;

• usuários;

• integrações;

• licenças;

• acessos;

• dependências;

• volume de dados;

• conectividade;

• criticidade;

• responsáveis;

• requisitos de desempenho.

Não se deve migrar um ambiente que a empresa ainda não compreendeu.

3. Classificar os sistemas

Cada aplicação pode receber uma decisão diferente:

• migrar;

• manter local;

• substituir;

• atualizar;

• descontinuar;

• integrar;

• reavaliar.

Nem todo sistema precisa seguir o mesmo caminho.

4. Definir a arquitetura

A arquitetura deve estabelecer:

• modelo de serviço;

• modelo de implantação;

• capacidade;

• rede;

• acessos;

• segurança;

• backup;

• monitoramento;

• disponibilidade;

• integração;

• responsabilidades;

• recuperação.

5. Estimar os custos

A estimativa deve considerar:

• situação atual;

• migração;

• operação futura;

• crescimento esperado;

• serviços complementares;

• suporte;

• custos de saída.

6. Preparar a segurança

Antes da entrada em produção, devem ser avaliados:

• usuários;

• autenticação;

• permissões;

• privilégios;

• segmentação;

• atualizações;

• registros;

• alertas;

• backup;

• proteção de dados;

• resposta a incidentes.

A CISA reforça que segurança e proteção de dados devem integrar a transição, a implantação e a operação dos serviços em nuvem.

7. Executar testes

Os testes podem avaliar:

• desempenho;

• acesso;

• integrações;

• segurança;

• backup;

• restauração;

• conectividade;

• experiência dos usuários;

• compatibilidade;

• procedimento de retorno.

8. Migrar por etapas

Quando tecnicamente possível, a migração gradual pode reduzir riscos e facilitar ajustes.

9. Validar e documentar

Após a implantação, deve-se registrar:

• recursos criados;

• configurações;

• acessos;

• responsabilidades;

• custos;

• procedimentos;

• evidências de teste;

• pendências;

• critérios de monitoramento.

O que deve ser monitorado depois da migração?

A implantação não encerra o trabalho.

O ambiente pode exigir acompanhamento de:

• disponibilidade;

• desempenho;

• capacidade;

• armazenamento;

• consumo;

• custos;

• acessos;

• eventos;

• atualizações;

• falhas;

• backups;

• alterações;

• recursos sem utilização;

• incidentes de segurança.

A nuvem facilita a criação e a alteração de recursos. Essa característica também aumenta a necessidade de governança.

Como evitar gastos desnecessários?

A gestão de custos deve começar no projeto.

Algumas medidas que podem ser avaliadas são:

• dimensionar recursos conforme a necessidade;

• definir responsáveis por contratação e alteração;

• utilizar alertas orçamentários;

• acompanhar consumo por serviço ou área;

• desligar recursos desnecessários;

• revisar armazenamento;

• eliminar ambientes abandonados;

• documentar justificativas;

• comparar capacidade contratada e utilizada;

• reavaliar periodicamente a arquitetura.

Reduzir custos não significa apenas contratar o menor ambiente possível. Um recurso insuficiente pode comprometer desempenho e disponibilidade.

O objetivo deve ser buscar equilíbrio entre:

custo, capacidade, segurança, desempenho e continuidade.

Cloud elimina a necessidade de backup?

Não.

Disponibilidade da infraestrutura, redundância do provedor, sincronização e backup são conceitos diferentes.

Mesmo em nuvem, podem ocorrer:

• exclusão acidental;

• alteração indevida;

• comprometimento de conta;

• corrupção de dados;

• ransomware;

• falha de configuração;

• retenção insuficiente;

• perda causada por ação do usuário.

A estratégia de backup deve considerar:

• quais dados precisam ser copiados;

• frequência;

• retenção;

• separação;

• criptografia;

• forma de restauração;

• teste;

• responsabilidades.

O portfólio da Glautec apresenta backup como solução própria e complementar aos serviços de cloud, o que reforça que hospedagem e proteção de dados não devem ser presumidas como equivalentes.

Como escolher um provedor ou parceiro de cloud?

A escolha não deve se limitar ao preço mensal.

É recomendável avaliar:

• diagnóstico anterior à proposta;

• arquitetura apresentada;

• responsabilidades;

• disponibilidade contratada;

• localização e tratamento dos dados;

• segurança;

• acessos administrativos;

• backup;

• monitoramento;

• suporte;

• escalonamento;

• recuperação;

• portabilidade;

• reajustes;

• encerramento;

• exclusão ou devolução dos dados;

• dependências de terceiros;

• documentação;

• critérios de medição.

Também é necessário verificar se a proposta diferencia claramente:

• implantação;

• migração;

• infraestrutura;

• licenças;

• sustentação;

• monitoramento;

• backup;

• suporte;

• serviços fora do escopo.

Oito sinais de que a empresa deve avaliar cloud

A adoção merece análise quando:

1. O servidor atual está obsoleto ou próximo do limite.

2. A expansão exige aquisição frequente de equipamentos.

3. Os usuários precisam acessar sistemas fora da empresa.

4. A infraestrutura física representa risco relevante.

5. A abertura de novas unidades depende de implantação tecnológica complexa.

6. A recuperação após falhas é lenta ou incerta.

7. O ambiente exige capacidade variável.

8. A empresa não possui estrutura interna suficiente para administrar determinados recursos.

Esses sinais não significam que a migração seja obrigatória. Indicam a necessidade de comparar alternativas.

Quando a nuvem pode não ser a melhor escolha?

A manutenção total ou parcial do ambiente local pode ser adequada quando:

• existe dependência de equipamento físico específico;

• a aplicação não é compatível;

• a conectividade não atende;

• requisitos de latência são rigorosos;

• o custo projetado é desfavorável;

• o fornecedor do sistema não oferece suporte ao modelo;

• existem restrições contratuais ou regulatórias;

• o risco da migração supera o benefício esperado.

Também pode ser recomendável adotar um ambiente híbrido.

A decisão deve resultar de análise técnica e empresarial, não de uma preferência prévia por cloud ou infraestrutura local.

Como a Glautec atua em soluções de cloud

O portfólio oficial apresenta o Glautec Cloud como uma solução voltada a empresas que buscam acesso remoto, disponibilidade, flexibilidade, segurança e capacidade de crescimento.

Conforme o material, a oferta pode abranger:

• servidores cloud em modelo IaaS;

• hospedagem de sistemas;

• ambientes remotos;

• cloud privada;

• virtualização;

• projeto personalizado;

• implantação especializada;

• monitoramento contínuo;

• suporte técnico especializado.

A revista institucional também apresenta soluções para hospedagem de sites e e-mails, backup em nuvem e ambientes remotos de trabalho. Como esse material utiliza nomenclaturas comerciais anteriores ou adicionais, a validade, o escopo e a disponibilidade atual dessas ofertas devem ser confirmados antes da publicação.

A atuação deve começar pelo entendimento de:

• objetivos do negócio;

• sistemas existentes;

• criticidade;

• volume de dados;

• usuários;

• conectividade;

• segurança;

• disponibilidade;

• custos;

• capacidade de recuperação.

A partir desse diagnóstico, pode-se definir quais recursos devem permanecer locais, quais podem ser migrados e qual modelo atende melhor à operação.

A nuvem deve sustentar a estratégia, não apenas substituir equipamentos

Uma migração bem planejada pode permitir que a empresa:

• amplie recursos conforme cresce;

• reduza dependências de determinados equipamentos;

• facilite o acesso aos sistemas;

• prepare ambientes remotos;

• melhore a disponibilidade;

• organize a renovação tecnológica;

• adapte sua infraestrutura a novas demandas.

Contudo, esses benefícios não surgem automaticamente.

Cloud exige:

planejamento + arquitetura + segurança + conectividade + monitoramento + gestão

Quando esses elementos não estão presentes, a empresa pode apenas transferir riscos e ineficiências para outro ambiente.

A pergunta decisiva

Antes de migrar, a direção deve conseguir responder:

Qual problema empresarial a nuvem resolverá e como será comprovado que o resultado foi alcançado?

Se a resposta for apenas “modernizar a empresa” ou “reduzir custos”, o objetivo ainda precisa ser detalhado.

Uma decisão consistente deve definir:

• o que será migrado;

• por que será migrado;

• qual benefício é esperado;

• quais riscos serão tratados;

• quais custos serão assumidos;

• quem será responsável;

• como o ambiente será protegido;

• como a operação será recuperada;

• como o resultado será medido.

Próximo passo

Antes de contratar recursos ou iniciar uma migração, é necessário avaliar o ambiente atual, os sistemas, as dependências, os custos e os requisitos de segurança e continuidade.

Converse com a Glautec para avaliar quais recursos da sua empresa podem ser migrados para a nuvem e qual arquitetura é compatível com sua operação, seus riscos e seu crescimento.

Leve sua empresa para a nuvem com planejamento. Deixa que a gente resolve.

Alexandre Ramos | Glautec Tecnologia