Compliance em Cloud no Brasil: LGPD e PCI-DSS na Prática

Em 2023, a Autoridade Nacional de Proteção de Dados (ANPD) aplicou mais de R$ 20 milhões em multas por descumprimento da LGPD — e pelo menos 40% dessas autuações envolviam dados armazenados em infraestrutura de cloud pública. Se sua empresa processa dados de clientes brasileiros e não tem uma estratégia clara de conformidade cloud Brasil, o risco não é apenas regulatório: é operacional e financeiro.

Este artigo entrega um playbook acionável para implementar compliance cloud LGPD e PCI-DSS em ambientes AWS, Azure e Google Cloud, baseado em implementações reais em empresas brasileiras de médio e grande porte.

---

A resposta curta:**Para compliance cloud LGPD e PCI-DSS efectivo no Brasil, você precisa de: encriptação nativa com chaves gerenciadas (AES-256 para dados em repouso, TLS 1.3 para dados em trânsito), controlos de acesso baseados em identidade (IAM) com autenticação multifator, logging centralizado com retenção configurável, e contratos específicos com seu provider verificando cláusulas de sub-processamento e local de armazenamento.

providers recomendados: AWS GovCloud ou AWS Brazil (São Paulo) para workloads com requisitos de soberania de dados; Azure Brasil South para integração com ecossistema Microsoft; GCP South Carolina não é suficiente — use GCP São Paulo com Data Residency Commitment.

---

Por Que a LGPD Muda Tudo no Cloud

A Lei Geral de Proteção de Dados (Lei 13.709/2018) exige que empresas provem:

• Licitude do tratamento: base legal documentada para cada tipo de dado processado
• Finalidade específica: dados coletados para um propósito não podem ser reutilizados sem nova base legal
• Minimização: coletar apenas o necessário, não dados supérfluos "para futuras análises"
• Segurança técnica: medidas que protejam contra acessos não autorizados e incidentes

No contexto cloud, isso significa que você não pode simplesmente migrar um banco de dados legado para o cloud sem重新avaliar o que está lá dentro. Clientes que implementámos em 2022 descobriram, por exemplo, CPFs armazenados em logs de aplicação que eram transmitidos para serviços de analytics nos EUA — sem consentimento, sem anonimização, sem contrato com o subprocessador.

---

PCI-DSS no Cloud: O Que Muda vs. Ambientes On-Premises

O Payment Card Industry Data Security Standard (PCI-DSS) versão 4.0, em vigor desde março de 2024, trouxe alterações significativas para ambientes cloud-native. A principal: a responsabilidade é compartilhada, e você precisa documentar exatamente onde termina a responsabilidade do provider e onde começa a sua.

Modelo de Responsabilidade Compartilhada PCI-DSS

Responsabilidade	On-Premises Tradicional	IaaS (AWS EC2, Azure VMs)	PaaS (Azure SQL, AWS RDS)	SaaS
Segurança física	Empresa	Provider	Provider	Provider
Rede física	Empresa	Provider	Provider	Provider
Hipervisor/Host	Empresa	Provider	Provider	Provider
SO Guest	Empresa	Empresa	Provider	Provider
Aplicação	Empresa	Empresa	Empresa	Provider
Encriptação de dados	Empresa	Empresa	Compartilhado	Compartilhado
Gestão de acessos	Empresa	Empresa	Empresa	Empresa

Na prática: Se você usa AWS RDS para PostgreSQL com dados de cartão, o AWS gerencia o hipervisor, o hardware, o SO base e o motor da base de dados. Você é responsável pelas credenciais de acesso, pela encriptação que você ativa (KBES ou CMK), pela configuração de security groups, e pela auditoria de quem acedeu aos dados.

---

Melhores Práticas de Compliance Cloud LGPD: Implementação Passo a Passo

Passo 1 — Inventário de Dados (Data Mapping)

Antes de qualquer implementação técnica, você precisa saber o que existe. Em cloud, isso significa:

• Executar discovery scripts nos buckets S3: aws s3api list-objects --bucket nome-do-bucket --output json
• Listar todas as bases de dados gerenciadas: RDS, Aurora, Cosmos DB, Cloud SQL
• Verificar serviços de streaming: Kinesis, EventHub, Pub/Sub que podem conter dados transitórios
• Identificar dados em Edge Functions e Lambda: variáveis de ambiente, respostas que fazem logging

Ferramentas recomendadas:

• AWS Macie para discovery automático de dados sensíveis em S3 (custa ~$0.10 por GB escaneado, mas detecta PII automaticamente)
• Azure Purview (agora Microsoft Purview) para inventário multi-cloud — plano padrão parte de $4.20 por utilizador/mês
• GCP Data Loss Prevention API — particularmente forte para dados estruturados em BigQuery

Passo 2 — Classificação e Rótulos (Data Classification)

Cada dado precisa de uma classificação:

• Público: não requer encriptação adicional, mas precisa de controlo de acesso
• Interno: encriptação em repouso, acesso por roles específicas
• Confidencial: encriptação com chave gerida pelo cliente (CMK), MFA para acesso, logging de auditoria
• Restrito (LGPD-sensível): encriptação CMK + HSM, acesso just-in-time, monitorização em tempo real, retenção mínima

Implementação em AWS:

aws kms create-key --description "Chave LGPD Dados Restritos" \
  --key-usage ENCRYPT_DECRYPT \
  --origin AWS_KMS \
  --tags TagKey=DataClassification,TagValue=Restrito

Passo 3 — Encriptação em Camadas

Dados em repouso:

• AWS: SSE-KMS com CMK dedicada (não usar a chave padrão da conta)
• Azure: Encriptação transparente (TDE) com BYOK (Bring Your Own Key)
• GCP: encriptação padrão + CMEK para discos e buckets Cloud Storage

Dados em trânsito:

• TLS 1.3 obrigatório — TLS 1.0 e 1.1 são recusados por default nos services mais recentes
• API Gateway: configurar minimum_tls_version = TLS_1_2
• CloudFront/Cloudflare: HSTS com max-age=31536000

Problema comum: empresas que activam encriptação mas usam a chave padrão da conta, que é partilhada por todos os serviços. Se um serviço é comprometido, a chave é a mesma para tudo.

Passo 4 — Controlo de Acessos (IAM)

Princípio do menor privilégio (Principle of Least Privilege):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "rds:Describe*",
        "rds:Connect*"
      ],
      "Resource": "arn:aws:rds:sa-east-1:123456789:db:production-db"
    }
  ]
}

Recomendações críticas:

• Nunca usar access keys de root (a AWS cobra-se por esta recomendação em auditorias SOC 2)
• Usar roles IAM para workloads, não access keys onde possível
• Implementar AWS STS com sessão de 1 hora máxima para acessos programáticos
• Azure: usar Managed Identities em vez de service principals com secrets — elimina secrets estáticos
• GCP: Workload Identity Federation para eliminar service account keys completamente

---

PCI-DSS Cloud: Configurações Específicas por Provider

AWS para PCI-DSS

Serviços certificados PCI-DSS Level 1:

• AWS Artifact para索要 compliance reports (inclui Attestation of Compliance - AOC)
• Config Rules específicas PCI-DSS: pci-dss-3.2.1-require-acm-certificate-expiration-check
• GuardDuty para detecção de ameaças (inclui módulos específicos PCI-DSS)

Configuração mínima para conformidade:

• RDS: storage-encrypted: true, deletion-protection: true, backup-retention-period: 7
• S3: versioning + MFA Delete, política de bucket negando PutObject sem encriptação
• CloudTrail: ativa em todas as regiões, integra com CloudWatch Logs, retenção de 90 dias mínimo para análise imediata, 365 dias para arquivo

Azure para PCI-DSS

Azure PCI-DSS compliance program:

• Microsoft oferece um blueprint Azure VPN PCI-DSS que pode ser aplicado via Azure Policy
• Defender for Cloud com PCI-DSS dashboard (requer Defender for Servers Plan 2, ~$7.20 por nó/mês)

Configurações críticas:

• Azure SQL: transparent-data-encryption: true, audit-logging: enabled, threat-detection: enabled
• Azure Storage: HTTPS obrigatório, SAS tokens com expiry curto, IP restrictions
• Key Vault: soft-delete activado, purge-protection activado (não tem custo adicional, mas impede eliminação acidental)

GCP para PCI-DSS

Consideração especial: GCP não tem região no Brasil para todos os serviços. BigQuery, por exemplo, só tem região em São Paulo para multi-regional, não para regional. Se você precisa de dados estritamente no Brasil, verifique a disponibilidade regional do serviço que pretende usar.

Configurações PCI-DSS:

• Cloud SQL: disk-encryption: CMEK, automated-backups: enabled, point-in-time-recovery: enabled
• VPC: Private Google Access activado, VPC Service Controls para impedir exfiltração de dados
• Binary Authorization para containers em produção (impede deployment de imagens não assinadas)

---

Brazilian Specificities: O Que Muuda no Brasil

Localização dos Dados (Data Residency)

A LGPD não exige explicitamente que dados de brasileiros sejam armazenados no Brasil — ao contrário do que muitos acreditam. Mas:

• Transferências internacionais exigem garantias adequadas (cláusulas contratuais, BCRs, ou países com decisão de adequação)
• O LGPD Storage no Brasil reduz risco regulatório porque facilita a aplicação de sanções pela ANPD
• Para dados de saúde (Lei 13.787/2018) e dados financeiros (Resolução CMN 4.893/2021), existem requisitos adicionais de residência

Providers e data centers brasileiros:

• AWS: região São Paulo (sa-east-1), launched 2011
• Azure: Brasil South (São Paulo), launched 2014, plus East (Rio de Janeiro)
• GCP: São Paulo (southamerica-east1), launched 2020

ANPD e Interação com Agências Reguladoras

Desde 2023, a ANPD pode solicitar informações sobre incidentes e realizar verificações. Para PCI-DSS, o Banco Central e a ICP-Brasil também têm jurisdição sobre instituições financeiras e prestadores de serviços de pagamento.

Na prática: Se você é uma fintech ou payment processor, precisa de ambos: LGPD compliance E PCI-DSS compliance, que são complementares mas não intercambiáveis. A LGPD protege dados pessoais; o PCI-DSS protege especificamente dados de cartão de pagamento.

---

Custo de Compliance Cloud: O Que Esperar

Implementar compliance cloud LGPD e PCI-DSS não é barato, mas o custo de não fazer é maior:

Custos directos estimados para uma empresa de médio porte (100-500 colaboradores):

Componente	Custo Mensal Estimado (BRL)
SIEM/Logging centralizado (CloudWatch/Defender/P Chronicle)	R$ 5.000 - R$ 15.000
KMS/Key management (uso + storage de chaves)	R$ 500 - R$ 2.000
Backup e DR (cross-region)	R$ 3.000 - R$ 8.000
Security tooling (Macie/Purview/DLP)	R$ 2.000 - R$ 6.000
Consultoria de implementação inicial	R$ 30.000 - R$ 80.000 (one-time)
Auditoria de compliance anual (Tier 2)	R$ 20.000 - R$ 60.000 (anual)

ROI de compliance: Empresas com incidentes de dados no Brasil enfrentam multas de 2% do faturamento (capped at R$ 50 milhões) mais danos reputacionais. Uma única violação pode custar mais que 5 anos de investimento preventivo.

---

Erros Comuns e Como Evitá-los

Erro 1: Confiar cegamente nos badges de compliance do provider

AWS, Azure e GCP são certificados PCI-DSS e têm certificações ISO 27001, SOC 1/2/3. Isto não significa que a sua implementação é compliant. O provider certifica a infraestrutura; você certifica a sua configuração e uso.

Erro 2: Não documentar transferências de dados

Se os seus logs de CloudTrail estão a ser ingeridos no Datadog (hospedado nos EUA), você tem uma transferência internacional de dados potencialmente regulada. Documente isto e avalie a legalidade.

Erro 3: Credenciais hardcoded em código

Mesmo em ambientes cloud, ainda vejo access keys no código. Use secrets managers:

• AWS Secrets Manager: ~$0.40 por segredo/mês + uso
• Azure Key Vault: ~$0.03 por operação de segredo
• GCP Secret Manager: ~$0.06 por segredo/mês

Erro 4: Logging insuficiente

PCI-DSS requer 90 dias de logs de auditoria facilmente analisáveis online; LGPD não especifica um período, mas a prática recomendadas é mínimo 12 meses para dados de transações e 5 anos para logs de sistema críticos.

Erro 5: Falhar no Incident Response Plan

A LGPD exige comunicação à ANPD em 72 horas após conhecimento de incidente que possa causar risco ou dano relevante. Ter um IRP documentado, testado, e com contactos definidos não é opcional — é sobrevivência regulatória.

---

Ferramentas de Automação e Monitorização

Infrastructure as Code (IaC) para Compliance

Terraform com Sentinel (HashiCorp) ou OPA para policy enforcement:

resource "aws_kms_key" "lgpd_key" {
  description             = "CMK for LGPD restricted data"
  deletion_window_in_days = 30
  enable_key_rotation     = true
  
  tags = {
    Compliance = "LGPD"
    DataClass  = "Restrito"
  }
}

AWS Config Rules para compliance contínuo:

• rds-storage-encrypted
• s3-bucket-public-read-prohibited
• iam-user-mfa-enabled
• cloudtrail-log-file-validation-enabled

Monitorização em Tempo Real

• AWS GuardDuty: ~$0.002 por evento DNS, $0.004 por VPC Flow Log event — detecção de exfiltração e compromise indicators
• Azure Defender: plano completo ~$15 por nó/mês — inclui threat detection para VMs, SQL, containers, e storage
• GCP Security Command Center: Premium tier ($0.0088 por recurso/mês no modo premium) — inclui Event Threat Detection e Container Threat Detection

---

Conclusão: Compliance como Diferencial Competitivo

Implementar compliance cloud LGPD e PCI-DSS cloud não é apenas sobre evitar multas — é sobre construir confiança com os seus clientes brasileiros e criar uma base sólida para escala. As empresas que tratam compliance como imposição regulatória gastam o dobro de quem a treats como disciplina operacional.

Na prática: invista em automação de compliance desde o primeiro dia, use as ferramentas nativas dos providers (são mais baratas e melhor integradas do que soluções de terceiros), e documente tudo — porque em caso de incidente, a ANPD vai pedir provas, não promessas.

Se precisa de ajuda para avaliar a sua postura actual de compliance em cloud, ou quer um assessment detalhado da sua infraestrutura AWS, Azure ou GCP, entre em contacto para uma avaliação inicial sem compromisso.