universidade federal do sul e sudeste do parÁ … · prof. dr. manoel ribeiro filho faculdade de...

i

UNIVERSIDADE FEDERAL DO SUL E SUDESTE DO PARÁ

INSTITUTO DE GEOCIÊNCIAS E ENGENHARIAS

FACULDADE DE COMPUTAÇÃO E ENGENHARIA ELÉTRICA

ASPECTOS DE SEGURANÇA EM CLOUD COMPUTING: Uma análise de

cláusulas contratuais com base no Projeto de Lei nº 5344/2013

LUCAS GUIMARÃES LEITE

Marabá

2015

ii




Trabalho de Conclusão de

Curso como pré-requisito para

obtenção do título de Bacharelado em

Sistemas de Informação da

Universidade Federal do Sul e Sudeste

do Pará.

Orientador: Hirohito Diego Athayde

Arakawa

Marabá

2015

iii




Trabalho de conclusão de

curso apresentado como pré-requisito

para obtenção do título de Bacharel em

Sistemas de Informação da

Universidade Federal do Sul e Sudeste

do Pará, submetido à aprovação da

banca examinadora composta pelos

seguintes membros:

Marabá, 09deDezembro de 2015.

____________________________________________________

Prof. MsC. Hirohito Diego Athayde Arakawa

Faculdade de Computação/UNIFESSPA - Orientador

____________________________________________________

Prof. Esp. Antônio Henrique da Mata Correa

Faculdade de Direito/ Faculdade Carajás - Examinador

____________________________________________________

Prof. Dr. Manoel Ribeiro Filho

Faculdade de Computação/UNIFESSPA - Examinador

Marabá

2015

iv

DEDICATÓRIA

Dedico este trabalho a minha família, foram eles que sempre me apoiaram

e incentivaram a estudar, e acompanharam no longo período de realização deste

curso, em especial meu irmão, meu pai e minha mãe Eliete Rodrigues, que foi

pessoa fundamental na minha formação tanto pessoal como acadêmica. Aos

amigos de forma direta e indiretamente que participaram na minha formação, e

também a minha namorada Núbia Montenegro, esta que sempre cobrou e me

incentivou a chegar até aqui.

Dedico também a ZSL, ou somente galera do fundão, que esteve comigo

durante estes longos 4 anos de curso.

v

AGRADECIMENTOS

Em primeiro lugar, agradeço ao professor orientador Hirohito, por ministrar

com excelência a disciplina de Legislação em informática no curso de Sistemas

de informação e principalmente por disponibilizar parte do seu tempo

semanalmente e me orientar para a realização deste trabalho, agradeço também

aos diversos professores que tive durante o curso, os quais tiveram papel

essencial na formação acadêmica e na passagem do conhecimento, por fim, aos

analistas do CTIC Regivaldo, Hugo, Marcelo e Vitor, que me deram a

oportunidade de um ótimo estágio dentro da instituição e sempre compartilharam

o conhecimento. Agradeço a todos.

vi

RESUMO

A computação em nuvem tem se tornado cada vez mais importante na vida

dos cidadãos e das empresas, os benefícios providos por esta tecnologia são

grandiosos, principalmente no setor empresarial, porém, ainda nota-se uma

grande imaturidade no que se refere a regulamentação do direito e muitas

dúvidas com relação a privacidade das informações. O presente estudo aborda a

segurança das informações armazenadas na Internet, por meio da computação

em nuvem, com foco no modelo Software como Serviço - SaaS, modelo no qual

atuam os serviços de armazenamento de informações em nuvem. Os aspectos

fundamentais de segurança em computação em nuvem serão apresentados de

forma classificada, dando ênfase especifica aos aspectos jurídico-contratuais, o

qual é foco deste estudo. Quanto a questões contratuais, apresenta definições e

conceitos sobre contrato e relacionando-as a cloud computing, expõe também a

classificação adequada de um contrato em “nuvem”, e analisa cláusulas

contratuais especificas como; disponibilidade, integridade, privacidade e

segurança dos dados por meio de uma breve análise do Projeto de Lei n

º5344/2013,

Palavras-Chave: Computação em Nuvem; Internet; Segurança de

Dados;Cláusulas Contratuais.

vii

ABSTRACT

Cloud computing has become increasingly important in the lives of citizens

and businesses, the benefits provided by this technology are great, especially in

the business sector, however, also notes a great immaturity as regards the

regulation of on legal aspects and many questions regarding the privacy of

information. This study addresses the security of information stored on the

Internet, through cloud computing, focused on SaaS - Software as a Service

model in which they operate cloud information storage services. The fundamental

aspects of cloud computing security will be presented in a classified form, giving

specific emphasis on contractual legal aspects, which is the focus of this study.

Regarding contractual issues, provides definitions and concepts of contract and

relating them to cloud computing, also exposes the proper classification of a cloud

contract, and its specific clauses like; availability, integrity, privacy, data security

through a brief analysis of a Brazilian Federal Billnº5344/2013.

Keywords: Cloud Computing; Internet; Data Security; Contractual Clauses.

viii

GLOSSÁRIO

API– Application Programming Interface

AWS – Amazon Web Service

CSP – Cloud Service Providers

DDOS – Distrubuted Denial of Service

EXT3 –Third Extended Filesystem

IAAS – Infrastructure as a Service

NIST – National Institute of Standards and Technology

NTFS – New Technology File System

PAAS – Platform as a Service

PL – Projeto de Lei

SLA – Service Level Agreement

SAAS – Software as a Service

TST –Tribunal Superior do Trabalho

UOL – Universo Online S.A

VPN – virtual private networks

TICS – Tecnologias de Informação e Comunicação

CC – Cloud Computing

TI – Tecnologia da Informação

ix

SUMÁRIO

INTRODUÇÃO ........................................................................................... 12

1. COMPUTAÇÃO EM NUVEM ............................................................ 14

1.1 Introdução ao capítulo ................................................................... 14

1.2 Aspectos conceituais da computação em nuvem .......................... 14

1.3 Características .............................................................................. 16

1.4 Modelos de Desenvolvimento ....................................................... 18

1.4.1 Nuvem Publica (Public cloud) .................................................. 18

1.4.2 Nuvem Privada (Private cloud) ................................................ 18

1.4.3 Nuvem Comunitária (Community Cloud) ................................. 19

1.4.4 Nuvem Hibrida (Hybrid Cloud) ................................................. 19

1.5 Modelos de Serviços ..................................................................... 19

1.5.1 Software como Serviço - SaaS ............................................... 19

1.5.2 Plataforma como Serviço- PaaS ............................................. 20

1.5.3 Infraestrutura como Serviço- IaaS ........................................... 20

1.6 Características de um Saas .......................................................... 20

1.6.1 Arquitetura multi-cliente ........................................................... 20

1.6.2 Aplicações configuráveis ......................................................... 21

1.6.3 Rápido desenvolvimento ......................................................... 21

1.6.4 Rápida atualização .................................................................. 22

1.6.5 Protocolos de integração abertos ............................................ 22

1.6.6 Funcionalidades Colaborativas ............................................... 22

1.6.7 Gerenciamento ........................................................................ 23

1.6.8 Disponibilidade ........................................................................ 23

1.7 Novos métodos de acesso a nuvem ............................................. 23

1.8 Armazenamento em Nuvem .......................................................... 24

x

2. SEGURANÇA EM CLOUD COMPUTING ......................................... 26


2.2 Aspectos gerais de segurança em cloud computing ..................... 26

2.2.1 Segurança da Rede................................................................. 28

2.2.2 Interfaces ................................................................................. 29

2.2.3 Segurança de dados ............................................................... 30

2.2.4 Virtualização ............................................................................ 30

2.2.5 Governança ............................................................................. 31

2.2.6 Conformidade .......................................................................... 32

2.2.7 Questões Legais ..................................................................... 32

3. ASPECTOS JURÍDICO-CONTRATUAIS .......................................... 35


3.2 Computação em nuvem no Brasil ................................................. 35

3.3 Contrato Jurídico ........................................................................... 36

3.3.1 Classificação dos Contratos em Cloud Computing ................. 37

3.3.2 Unilateral ................................................................................. 37

3.3.3 Bilateral ................................................................................... 38

3.3.4 Contrato Independente ............................................................ 38

3.3.5 Contrato de Adesão................................................................. 39

3.3.6 Contrato Paritário .................................................................... 39

3.3.7 Sacrifício patrimonial das partes. ............................................ 39

3.3.8 Solenidade dos Contratos ....................................................... 41

3.3.9 Aperfeiçoamento do contrato .................................................. 41

3.4 Contratos em clod computing com relação ao art. 3º, do PL Nº

5344/2013.............................................................................................. 41

3.4.1 Política de uso aceitável .......................................................... 42

3.4.2 Segurança do conteúdo armazenado ...................................... 43

xi

3.4.3 Dados cadastrais ..................................................................... 45

3.4.4 Solicitação de Terceiros e permissões .................................... 45

3.4.5 Privacidade dos dados ............................................................ 47

3.4.6 Obrigações do fornecedor ....................................................... 48

3.4.7 Responsabilidade das partes .................................................. 50

3.4.8 Contrato para modelo de serviço ............................................ 52

3.4.9 Rescisão contratual, devolução ou remoção do conteúdo ...... 53

4. CONCLUSÃO .................................................................................... 57

REFERENCIAS BIBLIOGRÁFICAS .......................................................... 61

12

INTRODUÇÃO

A informática vem se desenvolvendo graças a ampliação e constante avanço da

tecnologia. Cada dia mais as transações virtuais tornam-se importantes e essenciais

para a vida do cidadão e de empresas.

Na medida que o conhecimento tecnológico evolui, a ciência do direito também

deve evoluir e se adaptar as novas tendências da tecnologia, tendo assim o dever de

tentar resguardar e zelar pelo direito dos usuários e cidadãos que fazem uso de

diversos serviços. O que se deve observar é que diversas atividades tecnológicas

ainda encontram-se sem proteção legislativas, sendo amplamente utilizada por

usuários e empresários e pouco regulamentada pelo direito, resultando em

instabilidade e insegurança jurídica.

Uma destas tendências em ascensão é acloud computing ou computação em

nuvem, que é um tema atual e vem ganhando grande espaço no cenário

computacional no mundo inteiro, estando cada vez mais presente nas grandes, medias

e pequenas empresas, e também é bastante utilizada no dia a dia por muitos usuários

comuns.

A crescente utilização desta tecnologia muitas vezes passa despercebida pelo

cidadão,haja vista ser contratada especialmente pela pessoa jurídica a fim de diminuir

gastos. A computação em nuvem é uma alternativa mais barata ao empresário, na

medida em que não é necessário realizar altos investimentos em infraestrutura de

datacenters. Porém, o serviço requer cuidados especiais, tendo em vista a

necessidade deconfiar as informações a terceiros.

O que se deve observar acerca da cloud computing é que surge uma grande

problemática após a contratação deste tipo de serviço, a qual se trata da segurança da

informação dos clientes, estas informações serão armazenadas no provedor de

computação em nuvem, desta forma muitas vezes não se sabe a localização de

armazenamento e a legislação aplicável a manutenção do sigilo destas informações.

Estas questões no Brasil ainda não possuem regulamentação jurídica

especifica, apenas o Projeto de Lei n. 5.344/2013, que estabelece diretrizes gerais

para a promoção, desenvolvimento e exploração da atividade de computação em

nuvem no País, garantindo a possibilidade da adoção da computação em nuvem por

entidades de direito público ou privado de forma segura.

13

Deve-se observar que a computação em nuvem é uma tecnologia desfrutada

globalmente, que tem apresentado um enorme crescimento em sua utilização, e traz

consigo muitos benefícios para empresas e usuários.

Deste modo, a computação em nuvem veio para facilitar a vida dos usuários e

empresas que utilizam deste artificio, porém, seria seguro ao usuário utilizar serviços

de armazenamento de informações e dados pessoais comprometedores em um

ambiente, sendo que todos os ambientes computacionais são sujeitos a falhas? É

seguro confiar os dados e informações cruciais de uma empresa a terceiros? Os

usuários realmente aceitam esta inovação sem questionar sua segurança e

integridade? Ou as falhas se dão por despreparo do usuário para com a utilização

desta tecnologia.Desta feita, o presente estudo tem por objetivo analisar esta nova

tecnologia, e apresentar também questões jurídicas contratuais relacionadas a

segurança dos dados e informações armazenadas na cloud computing.

Desta feita, este trabalho é estruturado da seguinte forma:

O primeiro capitulo apresentará a fundamentação teórica do tema estudado,

descrevendo os diversos conceitos atribuídos para a computação em nuvem, modelos

de serviço, modelos de desenvolvimento e características de uma nuvem

computacional.

O segundo capítulo visa evidenciar os modelos nos quais os serviços de

armazenamento em nuvem trabalham,a classificação dos aspectos de segurança para

os modelos de serviço SaaS, PaaS e IaaS, e destacar os principais problemas de

segurança apresentados em um ambiente de computação em nuvem, especialmente

as características especificas do modelo de serviço SaaS.

O Capítulo terceiro apontará a situação da computação em nuvem no Brasil

atualmente, mostrando também definições sobre contrato, expondo a classificação dos

contratos utilizados em computação em nuvem, será também apresentada algumas

cláusulas importantesde diversos contratos, relacionando-ascom o art. 3º do PL nº

5344/2013, que dispõe sobre o contrato de armazenamento, guarda e depósito de

conteúdo.

14

1. COMPUTAÇÃO EM NUVEM

1.1 Introdução ao capítulo

O presente capítulo apresenta a computação em nuvem como nova tendência

tecnológica, como também define armazenamento de dados e expõe definições de

cloud computing apresentadas por diferentes autores. De um forma mais especifica,

este capítulo apresenta também as características de uma “nuvem”, assim como seus

modelos de desenvolvimento e modelos de serviço, por fim, em especial, evidencia o

modelo de serviço SaaS, modelo no qual atuam os serviços de armazenamento de

dados.

1.2 Aspectos conceituais da computação em nuvem

O termo computação em nuvem é relativamente recente, porém sua utilização

não é necessariamente nova, serviços de e-mail Gmail e Yahoo são exemplos de

serviços de armazenamento de informações em nuvem que são usados desde antes

do surgimento deste termo. Segundo Silva (2014, p. 12)atualmente o maior exemplo

de computação em nuvem é o Dropbox, que é um serviço de armazenamento e

compartilhamento dados, além do GoogleApps; Amazon; icloud; dentre outros.

Segundo Taurion (2009, p. 2), o termo computação em nuvem surgiu em 2006

em uma palestra de Eric Schmidt, da Google, empresa que gerencia datacenters. O

autor define computação em nuvem como “um conjunto de recursos como capacidade

de processamento, armazenamento, conectividade, plataforma, aplicações e serviços

disponibilizados na Internet”.

A computação na nuvem ou cloud computing é um novo modelo de computação

que permite ao usuário final acessar uma grande quantidade de aplicações e serviços

em qualquer lugar e independente da plataforma, bastando para isso ter um terminal

conectado à internet.

A cloud computing é um método de proporcionar um conjunto compartilhado de

recursos de computação que inclui aplicativos, plataformas de armazenamento, redes,

desenvolvimento e implantação bem como os processos de negócios

15

Esta nova ambientação computacional utiliza a internet como forma de

comunicação do usuário final com o servidor remoto1 o usuário pode ter acesso às

seus dados e informações ou até mesmo serviços inteiros disponibilizados em nuvem,

não importando onde o mesmo esteja localizado ou qual dispositivo ele esteja

utilizando, necessitando apenas de um terminal com acesso à internet.

A computação em nuvem hoje é uma tecnologia bastante utilizada tanto por

usuários comuns quanto por grandes empresas, e tem modificado e se aprimorado

cada vez mais no cenário da TI, e proporcionando inúmeras vantagens dentre elas o

compartilhamento de arquivos, serviços, aplicativos, plataformas e até recursos

computacionais. De acordo com Alecrim (2015, p. 4) a principal vantagem com a cloud

computing é que, muitos aplicativos, assim como arquivos e outros dados

relacionados, não precisam mais estar instalados ou armazenados no computador do

usuário ou em um servidor. Todo esse conteúdo passara a ficar disponível nas nuvens,

isto é, na internet. Logo esse modelo de armazenamento em nuvem acaba

preservando o consumidor de impasses relacionados a atualização, backup,

escalonamento, manutenção e etc.

ONational Institute of Standards and Technology (NIST) define a computação

em nuvem como um modelo que permite que um conjunto de recursos computacionais

possam ser fornecidos sob demanda, de modo que estes sejam fornecidos e liberados

como o mínimo de esforço do gestão ou interação do fornecedor (Mell; Grance, 2009,

p. 2). Já Vaquero et al. (2008, p. 1) define computação em nuvem como um grande

conjunto de recursos virtualizados (hardware, plataformas de desenvolvimento e/ou

serviços) de fácil utilização e acessíveis. Para Taurion (2011, p. 3), uma definição

simples pode ser “um conjunto de recursos como capacidade de processamento,

armazenamento, conectividade, plataformas, aplicações e serviços disponibilizados na

internet”.

De acordo com Cloud Security Alliance (CSA, 2011, p. 13) define cloud

computing como um modelo para permitir um conveniente acesso ubíquo sob

demanda à rede de um pool compartilhado de recursos computacionais configuráveis

(por exemplo, redes, servidores, armazenamento, aplicações e serviços). Essa

tecnologia tem o potencial para melhorar a colaboração, agilidade, dimensionamento e

1Máquina que disponibiliza um serviço, e este é acessado de uma rede local para uma rede externa.

16

disponibilidade e também fornece a redução de custos através da computação

otimizada e eficiente. Para o Amazon Web Service (2015)a "computação em nuvem",

por definição, diz respeito à entrega sob demanda de recursos de TI e aplicativos pela

Internet, com modelo de definição de preço conforme a utilização.

1.3 Características

A computação em nuvem é uma tecnologia disruptiva2 que tem o potencial para

melhorar a colaboração, agilidade, dimensionamento e disponibilidade, e fornece as

oportunidades de redução de custos através da computação otimizada e eficiente. O

modelo de nuvem prevê um mundo onde os componentes podem ser rapidamente

adaptados, provisionados, implementados, desativadas e escalados para cima ou para

baixo para fornecer um modelo de alocação e consumo on-demand.(CLOUD

SECURITY ALLIANCE, 2011)

Alecrim (2015, p. 4) apresenta diversos benefícios a partir da implantação de

uma infraestrutura em nuvem, os quais são:

Acesso as aplicações independente do sistema operacional ou equipamento

utilizado.

O usuário não precisa preocupar-se com a estrutura para a execução da

aplicação

Compartilhamento de informações e trabalho se tornam mais fáceis, pois

todos os usuários acessam os dados e aplicações do mesmo lugar: a

nuvem.

Alta disponibilidade, dependendo do fornecedor um servidor pode parar no

entanto os demais que fazem parte da estrutura continuam a oferecer o

serviço.

Controle de gastos; muitas aplicações são gratuitas, e quando não são, o

consumidor só paga pelos recursos e o tempo que foram utilizadas da

utilização do mesmo.

2 É um termo que descreve a inovação tecnológica, produto ou serviço que utiliza uma estratégia

disruptiva, em vez de evolucionária ou revolucionária, para derrubar uma tecnologia existente dominante no mercado.

17

Dependendo da aplicação, o usuário pode precisar instalar um programa

cliente em seu computador ou dispositivo móvel. Mas, nesses casos, todo ou

a maior parte do processamento (e até mesmo do armazenamento de

dados) é feito pelo provedor de computação em nuvem por meio da internet.

De acordo com o National Institute of Standards and Technology define o

modelo atual de computação em nuvem é composto por cinco características

essenciais;

Sob Demanda – Auto-Serviço(On-demand self-service). Característica na qual

fornece ao consumidor capacidade de computação a sua disposição, conforme a

necessidade, sem a imprescindibilidade de uma interação humana com a operadora

do serviço;

Amplo Acesso à Rede (Broad network access). Permite que as grandes

quantidades de recursos em nuvem possam ser acessados por um amplo número de

clientes heterogêneos (por exemplo, celulares, tablets, laptops, e estações de

trabalho);

Pool de Recursos (Resource Pooling).A rede pode compartilhar o espaço de

armazenamento e também pode compartilhar a memória, largura de banda e poder de

processamento. As empresas muitas vezes preferem terceirizar um serviço de nuvem

que lhes poupa tempo e dinheiro do que construir a sua própria infraestrutura;

Rápida Elasticidade (Rapid elasticity). Uma rede em nuvem pode se estender

ou contrair, isto de acordo com a demanda solicitada pelo cliente, passando a visão

ao consumidor de que os recursos são ilimitados e que pode ser adquirido em

qualquer quantidade e qualquer momento;

Serviço medido (Measured servisse). Uma vez que o usuário tem a opção de

requisitar e utilizar somente a quantidade de recursos e serviços que ele julgar

necessário, os serviços devem ser precificados com base em um uso de baixa

duração, como por exemplo, medido em horas de uso. Por esta razão, as nuvens

devem implementar recursos que garantam um eficiente comércio de serviços, tais

como tarifação adequada, contabilidade, faturamento, monitoramento e otimização do

uso. Esta medição de uso dos recursos deve ser feita de forma automática e de acordo

com os diferentes tipos de serviços oferecidos (armazenamento, processamento e

largura de banda) e prontamente reportada, permitindo uma maior transparência

comercial.

18

1.4 Modelos de Desenvolvimento

Quando se fala em computação em nuvem obtém-se a idéia de uma

abrangência global, porém essa abrangência não ocorre em todos os ambientes de

computação em nuvem. E cada ambiente é desenvolvido para atender um

determinado público, e apresenta características especificas e suas particularidades

em relação a restrição de acesso ao conteúdo, assim tornando alguns dos ambientes

mais restritos que outros que segundo (MELL; GRANCE, 2009) são divididas em

quatro modelos:

1.4.1 Nuvem Publica (Public cloud)

Neste modelo de implantação a infraestrutura de nuvens é disponibilizada para

o público em geral ou para grupos de indústrias (NIST,2009), o método de acesso da

nuvem é livre para os usuários, podendo ser acessado por qualquer um que conheça o

endereço. Desta forma não podem ser aplicadas restrições de acesso quanto ao

gerenciamento da rede, e muito menos, aplica técnicas de autenticação e

autorização.(CASTRO; SOUSA 2010).

Segundo (Taurion, 2009), a característica que diferencia as nuvens privadas é o

fato da restrição de acesso, pois a mesma se encontra atrás do firewall da empresa,

sendo uma forma de aderir à tecnologia, beneficiando-se das suas vantagens, porém

mantendo o controle do nível de serviço e aderência às regras de segurança da

instituição.

1.4.2 Nuvem Privada (Private cloud)

Modelo desenvolvido exclusivamente para uma única organização que

compreende vários consumidores. A implantação de uma nuvem privada permite que

esta seja administrada pela própria empresa ou por terceiros (CASTRO; SOUSA 2010,

p. 5). Neste modelo de implantação são empregadas políticas de acesso aos serviços.

As técnicas utilizadas para prover tais características podem ser em nível de

gerenciamento de redes, configurações dos provedores de serviços e a utilização de

tecnologias de autenticação e autorização (MELL; GRACE, 2009, p. 2).

19

1.4.3 Nuvem Comunitária (Community Cloud)

Os recursos neste modelo estão disponíveis dentro de um grupo de usuários

com finalidades comuns (e.g. grupo de universidades), e podendo ser gerenciado

internamente (por algum membro do conjunto) ou então por terceiros. As questões de

segurança aqui não são tão relevantes quanto no modelo privado, porém, como o

número de usuários é maior e estes podem não estar próximos uns dos outros, é

importante adotar uma solução de segurança de nível intermediário, ou seja,

mecanismos que sejam eficientes e consigam prover um nível de segurança

satisfatório.

1.4.4 Nuvem Hibrida (Hybrid Cloud)

A infraestrutura de nuvem é composta por duas ou mais infraestruturas distintas.

Estas continuam sendo entidades únicas, mas estão atreladas por características

padronizadas ou tecnologias proprietárias que permitem a portabilidade de dados e

aplicações. A complexidade da segurança necessária aqui é nivelada ao modelo de

desenvolvimento menos restrito (NIST,2009).

1.5 Modelos de Serviços

No interior da computação em nuvem, existem modelos que classificam os

serviço de acordo com a forma que é fornecido. Existem três modelos de acordo com

National Institute of Standards and Technology que são descritos por Mell; Grance

(2009, p. 2).

1.5.1 Software como Serviço - SaaS

O presente modelo oferece ao consumidor a capacidade de utilizar serviços

executados em uma infraestrutura em nuvem, não sendo necessário instalar o

software no computador do usuário, basta acessá-lo por meio da internet. Essas

serviços são acessadas a partir de uma interface3 desenvolvida para o cliente, como

um navegador.Assim, o objetivo é substituir as aplicações que rodam no computador,

por aplicações fornecidas por nuvem através da internet. Alguns exemplos de

3 Elemento que proporciona uma ligação física ou lógica entre dois sistemas ou partes de um sistema que não poderiam ser conectados diretamente.

20

software como serviço são as ferramentas de armazenamento de informações, ex:

DropBox, Google Drive e Icloud.

1.5.2 Plataforma como Serviço- PaaS

Esse modelo de serviço caracteriza-se pela entrega de uma plataforma para

desenvolvimento, teste e disponibilização de aplicativos web com a finalidade de

facilitar a implantação de aplicações sem os custos e complexidade de gerenciamento

do hardware. Um exemplo de PaaS é a plataforma Microsoft Azure.

1.5.3 Infraestrutura como Serviço- IaaS

Este modelo oferece infraestrutura computacional, como capacidade de

processamento, armazenamento e conectividade (geralmente em ambientes

virtualizados) como um serviço. O serviço IaaS possui algumas características básicas

como, fornecer uma interface única para administração da infraestrutura;

provisionamento dinâmico de serviços;alta-disponibilidade; e balanceamento de carga

de maquinas virtuais. É uma proposta de recursos de rede e infraestrutura totalmente

terceirizado. Um exemplo de IaaS é o Amazon EC2.

Além dos modelos já citados, Alecrim (2015), destaca outros serviços que são

utilizados no mercado para diferenciar os seus serviços. São eles:

Banco de Dados como Serviço (Database as Service) - O nome já deixa claro

que essa modalidade é direcionada ao fornecimento de serviços para armazenamento

e acesso de volumes de dados. A vantagem aqui é que o detentor da aplicação conta

com maior flexibilidade para expandir o banco de dados, compartilhar as informações

com outros sistemas, facilitar o acesso remoto por usuários autorizados, entre outros;

Ensaio como Serviço (Testing as a Service) - Oferece um ambiente apropriado

para que o usuário possa testar aplicações e sistemas de maneira remota, simulando o

comportamento destes em nível de execução.

1.6 Características de um Saas

1.6.1 Arquitetura multi-cliente

De acordo com Borges (et al, 2011), nesta arquitetura, todas as partes

compartilham uma estrutura comum e uma base de código que é mantida centralizada.

21

Desta forma, estando na mesma infraestrutura os fornecedores podem inovar

mais rapidamente, liberando novas versões mais corretas e com maiores

funcionalidades, e com isto economizar um valioso tempo de desenvolvimento que

anteriormente era gasto com a manutenção de inúmeras versões com código

desatualizado.

1.6.2 Aplicações configuráveis

Segundo Borges (et al, 2011, p. 2.), como aplicativos SaaS são dirigidos a uma

arquitetura multi-cliente, normalmente não suporta customização, de forma que, ao

contrário do modelo tradicional, não é possível um cliente alterar o código fonte4da

aplicação, o esquema do banco de dados ou as interfaces gráficas.

Porém, aplicações SaaS são projetadas para suportar configurações, que são

um conjunto de opções, parâmetros, que afetam as funcionalidade e aparência da

aplicação. Cada cliente pode ter seus próprios parâmetros para as opções de

configuração.

As aplicações que seguem os modelos de serviço Saas podem permitir que o

usuário forneça através de uma interface seu logotipo e ainda permite um conjunto de

cores embora não seja permitido alterar o layout das páginas diferente do que foi

projetado, essas especificidades são preservadas quando ocorrem uma atualização

(BORGES, et al 2011, p. 3)

1.6.3 Rápido desenvolvimento

Considerando que seguindo o padrão multi-cliente, de acordo com Borges

(2011, p. 4), como não há necessidade de configuração e manutenção do ambiente de

desenvolvimento, os desenvolvedores podem preocupar-se apenas com os detalhes

das regras de negócios, desta forma diminui-se o tempo de para o desenvolvimento e

como consequência, aumentar sua produtividade.

4É o conjunto de palavras ou símbolos escritos de forma ordenada, contendo instruções em uma das linguagens de programação existentes, de maneira lógica.

22

1.6.4 Rápida atualização

A rápida atualização acontece porque a hospedagem é centralizada, desta

forma, qualquer atividade de atualização realizada no servidor tornam-se visíveis,

porem de forma transparente a todos os clientes sem haver a necessidade da

reinstalação especifica no cliente.

Como a configuração é única, os testes do desenvolvimento também são mais

rápidos. Além disto, o provedor da solução pode ter acesso ao comportamento do

usuário dentro da aplicação, através de uma web analítica5, o que torna mais fácil

identificar áreas com necessidade de melhorias.

1.6.5 Protocolos de integração abertos

Visto que aplicações SaaS não podem acessar os sistemas internos de uma

empresa, elas precisam oferecer protocolos de integração bem como APIs6 que

possibilitem conexões através da rede.

A ubiquidade de aplicações SaaS e de outros serviços da internet, além da

padronização de APIs, aumentou o desenvolvimento de mashups, que são aplicações

que combinam dados, apresentação e funcionalidades de múltiplosserviços criando

então um serviço composto, fato este que aumenta a diferença para os softwares

licenciados visto que estes não são facilmente integrados fora do firewall7 da empresa.

1.6.6 Funcionalidades Colaborativas

Certamente inspirado no sucesso das redes sociais, aplicações SaaS podem

prover características que permitam os usuários colaborarem e compartilharem

informações.

Estas funcionalidades também podem ser utilizadas para identificar novas idéias

para melhorar o software. Uma colaboração, implícita ou explícita, entre usuário de

clientes distintos só é possível a partir de um software com hospedagem centralizada.

5É o processo de medição, coleta, análise e a produção de relatórios de dados de navegação e interação com o objetivo de entender e otimizar o uso dos sites e páginas na Internet. 6Conjunto de rotinas e padrões de programação para acesso a uma aplicativo de software ou plataforma baseada na web. 7 Software ou hardware que verifica informações provenientes da internet ou da rede, e as bloqueia ou permite que elas cheguem ao computador.

23

1.6.7 Gerenciamento

As aplicações SaaS são completamente gerenciadas pelo fornecedor, e acordos

SLA8, regem a qualidade, disponibilidade e suporte que o provedor deve prover para o

cliente.Algumas formas de gerenciamento essências para SaaS incluem o

provisionamento, funções de configuração, controle de pagamento, monitoração e

suporte.

1.6.8 Disponibilidade

Software como serviço permite o acesso e utilização dos softwares disponíveis

no mercado através de uma rede remota ou conexão à Internet.

Isso significa que o software não está instalado no computador do

assinante,mas sim no servidor do provedor de SaaS. Isso também faz com que o

software esteja disponível para o assinante a qualquer tempo e independentemente de

sua localização.

O SaaS ainda deve ser acessível por qualquer tipo de dispositivo

computacional, garantindo que todos possam ver as informações ao mesmo

tempo,sendo um desafio melhorar o acesso aos dados, de forma a tornar mais fácil o

gerenciamento de privilégios e o controle da utilização dos dados.

1.7 Novos métodos de acesso a nuvem

A computação em nuvem não é algo recente, já se tinha alguns serviços que se

aproximavam de computação em nuvem, porém não era algo que na época chamava

muito a atenção dos usuários, tudo por conta da tecnologia da época, já que não se

possuía poder computacional e nem tecnologias de redes avançadas como se tem

hoje, desta forma, o uso de serviços como de e-mail, se restringiam a computadores

desktops9.

A facilidade e mobilidade de compartilhamento e armazenamento de

informações proporcionadas pela computação em nuvem, emerge a necessidade que

os dispositivos também acompanhem este desenvolvimento para que possam acessar

8 Acordo firmado entre um fornecedor de serviços de TI e um cliente. 9 É frequentemente utilizado para designar um computador de mesa que não possui uma fácil mobilidade.

24

os aplicativos e ferramentas disponíveis. O que se destaca hoje em dia em relação a

mobilidade são os dispositivos moveis (Smartphones), que permitem grande

armazenamento de dados não importando o espaço geográfico, necessitando apenas

de acesso à internet.

O crescimento da utilização de smartphones e tablets é bem expressivo, devido

à grande facilidade de manuseio, transporte, capacidade de hardware e inúmeras

aplicativos disponíveis para auxílio do usuário. Estes dispositivos disponibilizam o

acesso à internet por meio de rede wireless e também rede de dados moveis, rede na

qual permite o acesso à internet em qualquer lugar de cobertura da operadora.

A variedade de dispositivos disponíveis de hardwares medianos à hardwares de

altos níveis no mercado é demasiada, mas além disso o que diferencia um aparelho de

outro, é também o sistema operacional utilizado, os mais utilizados no Brasil são

Android, iOS e WindowsPhone, cada um destes sistemas operacionais possui um

serviço próprio de armazenamento de dados em nuvem, com o objetivo de facilitar o

acesso e o armazenamento de fotos, arquivos de texto, documentos pessoais, entre

outros.

1.8 Armazenamento em Nuvem

A Internet tem se tornado cada vez mais acessível a todo tipo de público, e

ainda com o crescimento do uso de dispositivos moveis o crescimento de usuários da

internet aumentou exponencialmente. E este desenvolvimento fez com que as

empresas fornecedoras de serviços que até então era desenvolvido somente para

desktops, se viram inseridas em um novo mercado, sendo obrigadas a aderir esta

nova ambientação computacional. As empresas que disponibilizavam serviços online

na web foram obrigados a adaptarem seus serviços e adentrar no novo mercado de

desenvolvimento de aplicações para dispositivos moveis.

O mercado de aplicativos é demasiado, e estes existem para todos os gostos e

finalidades distintas, porém dentre esta variedade existem os que mais são utilizados

pelo público. Os aplicativos que dão acesso a sistemas de armazenamento de dados

em nuvem são muito apreciados por usuários de dispositivos moveis, devida a

facilidade de manuseio para salvar e recuperar arquivos na nuvem, necessitando

apenas de um terminal conectado à internet, e cada dia surgem mais destas

aplicações, que oferecem armazenamento de dados de forma distribuída com alta taxa

25

de disponibilidade, o que impulsiona cada vez mais os seus usuários a migrarem seus

dados para a nuvem.

De acordo Jobstraibizer (2014, p. 3)a popularização de pequenos dispositivos

móveis, como smartphones e tablets, e com o exponencial crescimento da quantidade

de pessoas que passaram a utilizar computadores virtualizados, sistemas

compartilhados e outros tantos recursos que a computação moderna nos proporciona,

aumenta-se também a preocupação dos usuários com itens como a segurança e o

armazenamento de dados. Tema este que será melhor analisado no próximo capítulo.

26

2. SEGURANÇA EM CLOUD COMPUTING


Este capítulo apresenta a fundamentação teórica do presente trabalho,

apresentando conceitos e definições relacionados à segurança, que é dividida,

classificada e agrupada em categorias e subcategorias, e ressalta os maiores

problemas existentes em uma nuvem computacional em relação à segurança física,

logica e legal.

2.2 Aspectos gerais de segurança em cloud computing

A computação em nuvem e seus modelos tem se destacado como uma solução

para as demandas crescentes dos usuários dos serviços de tecnologia da informação:

serviços que estão cada vez mais confiáveis e de melhor desempenho, disponíveis

sempre que necessário,acessíveis de diferentes lugares via Internet e de diferentes

dispositivos, tais como computadores,celulares e tablets. Por este motivo, muitas

organizações tem optado por utilizar esta tecnologia, sendo que, em alguns casos

esses benefícios são obtidos por um custo inferior aos métodos tradicionais.

Porém a computação em nuvem no que diz respeito à segurança, traz consigo

uma série de desafios que necessitam ser analisados e endereçados por todos que

estão envolvidos no modelo (usuários e provedores de serviços). E em relação ao

provedor, a falta de entendimento e distração com as questões de segurança, podem

trazer reflexos negativos tanto para o usuário quanto para os mesmos. Como ocorreu

com o provedor de computação em nuvem AWS (Amazon Web Services) em abril de

2011,apresentou constantes falhas no serviço de computação em nuvem que afetou

grande maioria dos sites que utilizavam da sua infraestrutura, a empresa teve que

pedir desculpas publicamente aos clientes.(Gonzalez, et al, 2012, p. 29).

Outro exemplo de problema de segurança associado à computação em nuvem

foi o vazamento das senhas do Evernote em fevereiro de 2013, cujo impacto foi

percebido pelos 50 milhões de usuários registrados no serviço, que tiveram que trocar

suas senhas (CLULEY, 2013).

Porém, não se pode considerar que o modelo de computação em nuvem é

inteiramente inseguro. As ameaças à segurança estão diretamente relacionadas ao

27

ambiente online, independente ou não da adoção de um modelo de computação em

nuvem.

Mesmo que a computação em nuvem seja uma terceirização dos serviços de TI

(Tecnologia da Informação) e o provedor de cloud seja responsável pela segurança

dos dados, estas também devem ser responsabilidade do usuário contratante do

serviço, como Gonzales et. al. (2012, p. 30) afirma que, há responsabilidade tanto por

parte do usuário como do provedor e desse modo, nenhuma das partes é desprovida

totalmente de responsabilidades no âmbito de segurança.

Em relação aos modelos de serviço, Gonzales et. al. (2012, p. 30) afirma que as

responsabilidades pela segurança dos serviços executados em nuvens

computacionais mudam de acordo com o tipo de serviço e recursos oferecidos,ou seja,

para cada modelo de serviço, o cloud provider10 terá uma responsabilidade maior no

controle dos recursos de um determinado serviço. A figura 1 apresenta uma de forma

detalhada a quem diz respeito o controle dos recursos dependendo do modelo de

serviço, e disponibiliza também como se organiza o modelo tradicional sem a utilização

da computação em nuvem.

Figura 1 - Delimitação usual do controle dos recursos por modelo de serviço. Fonte: Segurança das nuvens computacionais: Uma visão dos principais problemas e soluções.

Pag. 31.

As perspectivas mostradas na figura 1 permitem identificar, de um modo geral,

as responsabilidades pelos recursos e, por consequência, pela sua segurança.Para

10 Provedor que oferece serviços de computação em nuvem.

28

(Jansen & Grance, 2011, p. 3), existe um frequente discussão sobre segurança da

nuvem em comparação com o modelo tradicional, e também sea empresa tem o

mesmo nível de segurança do cloud provider ou vice e versa.

Existem diversas instituições de pesquisa como a Cloud Security Alliance – CSA

(Simmonds, Rezek & Reed, 2011, p. 24) e a EuropeanNetwork and Information

Security Agency - Enisa (Catteddu & Hogben, 2009, p. 14) estas destacam diversos

problemas de segurança que precisam ser tratados no contexto de computação em

nuvem, não apenas para tornar as soluções mais seguras como também para

aumentar o grau de adoção da tecnologia tanto por parte do ambiente acadêmico

como também pelo mercado.

Com o objetivo de facilitar o estudo sobre a segurança em computação em

nuvem, se faz necessário classificá-los. A classificação empregada para esse fim

possibilita uma rápida identificação dos aspectos fundamentais de segurança e permite

identificar de maneira mais clara os esforços de pesquisa realizados em cada

categoria. A classificação apresentada está dividida em sete categorias (segurança de

rede, interfaces, segurança de dados, virtualização, governança, conformidade e

questões legais), que se subdividem em categorias menores (Gonzalez et al., 2012).

2.2.1 Segurança da Rede

Esta primeira categoria refere-se a problemas de segurança relacionados as

redes de comunicação e a interação entre os elementos, subdividindo-se em:

a. Transferências: arquiteturas distribuídas, compartilhamento de recursos

em larga escala e sincronização de máquinas virtuais implicam maior

fluxo de dados dentro da nuvem, o que requer a utilização de

mecanismos de proteção dessas informações (por exemplo, através de

VPN11) contra ataques que exploram vulnerabilidades nos meios de

comunicação;

b. Firewalls: oferecem proteção da infraestrutura do provedor da nuvem

contra ataques externos e também internos. Esses mecanismos de

controle de acesso também permitem isolamento, filtragem de endereços

11 Trate-se de uma rede privada construída sobre a infraestrutura de uma rede pública, é uma forma de conectar dois computadores utilizando uma rede pública.

29

e portas de acesso, prevenção de ataques de negação de serviço

(DDoS12) e detecção de procedimentos de análise de segurança;

c. Configurações de segurança: incluem configurações de protocolos13,

sistemas e tecnologias, de modo a oferecer diferentes níveis de

segurança e privacidade tanto para o provedor como para os seus

usuários.

2.2.2 Interfaces

As interfaces de acesso as nuvens são os meios pelo qual os usuários utilizam

para ter acesso ao serviço:

a. API: interfaces de programação (application programming interfaces) que

permitem a integração de sistemas e programas em termos de código.

Constituem um elemento fundamental para PaaS e IaaS, pois permitem o

acesso aos recursos virtualizados e aos sistemas oferecidos na nuvem e

que devem ser protegidos contra o uso malicioso ou indevido

b. Interface de administração: interfaces de acesso que permitem realizar a

administração/gerenciamento de recursos da nuvem. Isso representa o

gerenciamento de recursos de um IaaS, do desenvolvimento de

plataformas oferecidas por um PaaS, ou das aplicações e respectivas

configurações de um SaaS;

c. Interface de usuário: interfaces oferecidas ao usuário final para utilização

dos recursos e ferramentas oferecidos através da nuvem (o que

representa o serviço propriamente dito) e, que requerem, portanto, a

adoção de medidas de segurança adequadas.

d. Autenticação: interfaces de protocolos que possibilitam realizar a

autenticação para acesso à nuvem, por exemplo. A maioria dos serviços

utiliza métodos baseados em contas simples com usuário e senha e

estão mais suscetíveis a ataques cujas consequências são

12Constitui um ataque de negação de serviço distribuído, ou seja, um conjunto de computadores é utilizado para tirar de operação um ou mais serviços ou computadores conectados à internet. 13 Conjunto de regras sobre o modo como se dará a comunicação entre as partes envolvidas.

30

potencializadas pelo modelo de hospedagem múltipla (multi-tenant) e

pelo compartilhamento de recursos inerente ao modelo de nuvem.

2.2.3 Segurança de dados

Esta classificação está relacionada com a proteção dos dados, fazendo

referência com a confidencialidade, disponibilidade e integridade.Com base neste

conceito é possível destacar as seguintes subcategorias de mecanismos de segurança

de dados:

a. Criptografia: trata-se de um mecanismo essencial para a proteção de

dados sigilosos através de técnicas de cifragem, largamente empregado

em serviços e requerido por padrões legais e de mercado

b. Redundância: corresponde a um mecanismo básico para evitar a perda

de dados e garantir a disponibilidade de serviços. Para esse fim, ao

menos as informações críticas do negócio devem ser protegidas em

termos de integridade e disponibilidade

c. Descarte ou remoção dos dados: deve ser completo e definitivo, ao

contrário da maioria das técnicas disponíveis (por exemplo, Ext314,

NTFS15), que apenas removem as entradas dos índices do arquivo na

tabela de alocação do sistema de arquivos. Resquícios de dados podem

constituir um sério problema de segurança caso as informações sejam

sigilosas.

2.2.4 Virtualização

As técnicas de virtualização são empregadas para dividir e organizar os

recursos físicos da infraestrutura da nuvem, permitindo separá-los e distribuí-los entre

vários clientes através de serviços e aplicações instalados em cada máquina virtual.

Esta categoria subdivide-se em:

a. Isolamento: apesar de existir uma divisão lógica entre os recursos de

cada recurso virtualizado (por exemplo, máquina virtual), o hardware é

14 Sistema de arquivos mais utilizado no sistema operacional Linux. 15 Sistema de arquivos preferencial do sistema operacional Windows

31

essencialmente o mesmo. Consequentemente, é possível explorar

brechas de segurança que burlem o isolamento entre as máquinas,

possibilitando capturar dados de outras máquinas da nuvem;

b. Hypervisor: é o elemento de software responsável pela virtualização da

infraestrutura. As falhas de isolamento exploradas normalmente incluem

falhas de segurança desse elemento, permitindo o acesso ao espaço de

disco e à memória de outras máquinas;

c. Vazamento de dados: ao se explorar vulnerabilidades do hypervisor, é

possível acessar dados de outros usuários e máquinas, afetando,

portanto, a integridade e a confidencialidade dos mesmos;

d. Identificação de máquinas virtuais: refere-se à falta de controles de

identificação e autorização de máquinas virtuais e outras entidades da

nuvem;

e. Ataques entre máquinas virtuais: também denominados cross-VM

attacks, são tentativas de estabelecer canais de comunicação entre

máquinas virtuais para facilitar a obtenção de dados por vias não

autorizadas.

2.2.5 Governança

Esta categoria inclui problemas relacionados à perda de controle administrativo

e de segurança sobre os recursos e os dados à medida que decisões dessa natureza

(administrativa/ segurança) são incumbidas ao provedor da nuvem

a. Controle de dados: mover os dados para a nuvem significa perder

autonomia sobre eles. Embora o usuário tenha certo nível de controle

sobre seus arquivos e informações pessoais, o controle nunca é tão

assertivo quanto no caso de utilização local;

b. Controle da segurança: outro ponto da utilização de soluções em nuvem

é a perda de controle sobre os níveis de segurança adotados e as

respectivas configurações, de modo que o usuário passa a depender

integralmente das políticas adotadas pelo provedor.

c. Lock-in: está relacionado ao potencial de dependência de um

cliente/usuário em relação a um serviço em particular. Ao adotar o

serviço de nuvem, todo um modelo de negócio passa a depender desse

32

serviço. Caso o serviço seja descontinuado ou migrado, diversas

consequências em relação aos dados e processos de uma empresa ou

usuário em geral podem ser observadas.

2.2.6 Conformidade

Esta seção apresenta requisitos de conformidade com diferentes níveis de

serviço, disponibilidade, transparência e ainda segundo Gonzales et. al., (2012, p. 34)

sua divisão consiste em:

a. Nível de serviço ou Service Level Agréments(SLA): estabelece políticas

relacionadas a requisitos de disponibilidade de serviço e dos dados,

procedimentos de segurança a serem adotados e possíveis relações com

requisitos legais;

b. Disponibilidade: interrupções no fornecimento do serviço não são

exclusivas de serviços da nuvem, porém a dependência entre serviços

torna esse problema ainda mais grave;

c. Auditoria: as análises de segurança e disponibilidade de serviço são

baseadas em políticas de auditoria pré-estabelecidas. Métodos

transparentes e eficazes são necessários para avaliar as condições de

serviço, e normalmente são requisitos contratuais básicos;

d. Conformidade de serviço: trata de problemas relacionados às obrigações

contratuais estabelecidas para um serviço e seus usuários

2.2.7 Questões Legais

Apresentam-se aspectos relacionados a requisitos legais em geral. Aqui é

importante ressaltar que nem sempre todos os aspectos legais de um país são

aplicáveis a uma nuvem, visto que algumas nuvens possuem abrangência

internacional. Esta categoria subdivide-se em:

a. Localização dos dados: a localização precisa dos dados na nuvem é

incerta, os dados podem estar distribuídos em diversos centros

33

computacionais (por exemplo, data centers16), em diferentes países e sob

diferentes jurisdições. Essa situação pode gerar conflitos ao se moverem

dados de uma localização geográfica para outra;

b. E-Discovery: como resultado de uma decisão judicial, os dispositivos de

armazenamento podem ser recolhidos para análise forense em uma

investigação. Contudo, todos os usuários do serviço cujos dados estão

armazenados nesses dispositivos terão seus dados expostos,

comprometendo a confidencialidade dos mesmos;

c. Privilégios do provedor: o provedor do serviço tem controle parcial ou

total sobre sua infraestrutura, além de acesso físico ao hardware17.

Usuários internos maliciosos podem conduzir atividades que

comprometam gravemente a integridade e a confiabilidade do serviço

como um todo;

d. Legislação: problemas legais relacionados aos novos conceitos e

paradigmas introduzidos pelas tecnologias de computação em nuvem.

Figura 2 - Problemas da segurança da computação em nuvem agrupados por categoria. Fonte: Segurança das nuvens computacionais: Uma visão dos principais problemas e soluções.

Pag. 36

A figura 2 apresenta quais são os principais problemas de segurança de uma

nuvem computacional, mostrando seu agrupamento por categoria. Pode-se observar

que a maior parte dos problemas em cloud computing são gerados por questões

16 Centro de processamento de dados, é um ambiente projetado para concentrar servidores, equipamentos, processamentos, armazenamento de dados e ativos de rede. 17 Hardware é a parte física de um computador, disco rígido, drive de CD, placa mãe e etc.

34

legais, ou por ausência delas. Neste sentido o próximo capítulo abordará

especificamente contratos e cláusulas, e a situação em que é vivenciado a

computação em nuvem no Brasil atualmente.

35

3. ASPECTOS JURÍDICO-CONTRATUAIS


O presente capítulo exibirá os conceitos e definições de contrato de forma

classificada, relacionando esta classificação com contratos recentes de cloud

computing. Além disso, será abordado as cláusulas essenciais com relação a

segurança das informações, constantes no art. 3º do PL Nº5344/2013 junto à análise

comparativa a diversos contratos de empresas do exterior e também brasileiras,

3.2 Computação em nuvem no Brasil

O país ainda vive em um atraso, a computação em nuvem já existe a algum

tempo, porém, o Brasil ainda não possui legislação adequada para regê-la, contando

apenas com o contrato, único artifício que garante obrigações entre as partes,

segurança jurídica e segurança informacional. Porém, mesmo ainda não possuindo

regulamentação, a computação em nuvem vem sendo bastante utilizada no Brasil.

No ponto de vista econômico, a cloud computing também não deixa a desejar, o

mercado de computação em nuvem no Brasil deve dar um bom salto dentro de alguns

anos, segundo uma pesquisa realizada pela empresa de consultoria Frost & Sullivan, a

expectativa é de que a receita vá de 328,8 milhões de dólares em 2013 para bons 1,1

bilhão de dólares até 2017. (GUSMÃO, 2014)

É importante que o Brasil regularize a computação em nuvem, de forma que

possa explorar economicamente e tecnologicamente esta nova tendência, isto é, não

somente no Brasil, mas como no mundo todo vem se expandindo e gerando lucros de

milhões com previsões de bilhões. Portanto,é fundamental um ambiente regulatório

adequado que não isole o Brasil, mas que garanta segurança jurídica aos cidadãos,

empresas e governo, de modo a promover a ampliação da nuvem computacional no

país e fazer do Brasil um espaço competitivo para acolher investimentos externos

neste domínio, sendo escolhido como país para a instalação de datacenters, assim

como estimular empresas brasileiras a se internacionalizarem por esta via. Isto é,

investir em computação em nuvem, é investir em tecnologia, o que com base no art.

218. Da Constituição Federal da Republica do Brasil de 1988, que dispõe sobre o

dever do estado em incentivar o desenvolvimento cientifico.

http://exame.abril.com.br/tags/tags/computacao-em-nuvem

36

Art. 218 da CF/88 -O Estado promoverá e incentivará o desenvolvimento

científico, a pesquisa, a capacitação científica e tecnológica e a inovação.

Já existe no Brasil um projeto de lei que destina-se a regulamentar o direto na

cloud computing no país, este foi elaborado pelo deputado Ruy Carneiro, o projeto de

lei Nº5344/2013, dispõe sobre diretrizes gerais e normas para a promoção,

desenvolvimento e exploração da atividade de computação em nuvem no país.

Contudo, o projeto ainda não foi aprovado, sendo apenas o contrato jurídico o meio

utilizado que pode garantir obrigações e segurança legal aos usuários e provedores.

Por fim, se torna necessário um estudo especifico de contrato, e também classificá-lo,

afim de descobrir sua natureza, para assim, realizar uma breve comparação do art. 3º

do PL nº 5344/2013 com contratos já existentes no exterior e também no Brasil.

3.3 Contrato Jurídico

O conceito de contrato é tão antigo quanto o próprio ser humano, e nasceu a

partir do momento em que as pessoas passaram a se relacionar e viver em sociedade.

A palavra sociedade já traz a idéia de contrato, composição entra partes em busca de

uma finalidade que atenda aos interesses da coletividade.

Para Roppo (2009, p. 12) o conceito jurídico de contrato está intrinsecamente

ligado ao conceito social-econômico que lhe é dado – como instrumento que

operacionaliza a circulação de riquezas, ou seja, contrato é sinônimo de operação

econômica, mas como uma acepção mais ampla.

De acordo com Tartuce (2013. p. 518), “o contrato é um ato jurídico bilateral,

dependente de pelo menos duas declarações de vontade, cujo o objetivo é a criação, a

alteração ou até mesmo a extinção de direitos e deveres”.Segundo Rohrmann e

Machado e Campos (2009, p. 28)

O contrato é um ato jurídico, ou mais especificamente, um negócio jurídico, que se forma pelo acordo de duas ou mais vontades, com a finalidade de produzir efeitos jurídicos permitidos pelo ordenamento jurídico e desejados e perseguidos pelas partes”.

Em relação a validação dos contratos Tartuce (2013. p. 518) afirma que para

existir o contrato, seu objeto ou conteúdo deve ser lícito, não podendo contrariar o

ordenamento jurídico, a boa-fé, a sua função social e econômica e os bons costumes.

37

Dentro da computação em nuvem, se torna extremamente importante a

utilização de contrato para firmar-se uma relação entre ambas as partes. A relação

entre provedores de cloud computing e seus clientes pode acarretar conflitos,

principalmente por envolver serviços de tecnologia de ponta e segurança das

informações, principalmente nos contratos voltados a grandes empresas que devem

ser claros e bem redigidos. É importante ressaltar que os contratos de computação em

nuvem não estão previsto na legislação brasileira, desta forma, trata-se de um contrato

atípico que conforme Falci Cunha (2014, p. 30),

“O contrato de cloud computing não está previsto na legislação brasileira. Trata-se de um contrato atípico, desenvolvido de acordo com o entendimento realizado entre as partes, considerando sempre a autonomia da vontade dos envolvidos. Assim sendo, para melhor compressão do contrato em computação em nuvem é importante conhecer sua classificação.”

3.3.1 Classificação dos Contratos em Cloud Computing

Buscar a natureza jurídica de um contrato é o mesmo que classificar da forma

que se adeque as suas características especificas,que segundo Tartuce (2013, p. 521)

para se classificar um contrato é necessário buscar a natureza jurídica de um

determinado contrato é procurar classificá-lo dentre as mais diversas formas e

espécies possíveis (categorização jurídica).Assim como nos demais contratos

existentes, também é necessário classificar um contrato em computação em nuvem.

Quanto aos direitos e deveres das partes envolvidas, um negócio jurídico pode

ser unilateral, bilateral ou plurilateral. Em relação a computação, os contratos são

geralmente bilaterais.

3.3.2 Unilateral

Contratos unilaterais não se aplicam a computação em nuvem, uma vez que o

contrato unilateral visa gerar somente obrigações a uma das partes

envolvidas,conforme Tartuce (2013, p. 521) esclarece.

Contrato unilateral é aquele em que apenas um dos contratantes assume deveres em face do outro. É o que o corre na doação pura e simples: há duas vontade (a do doador e a do donatário),mas do concurso de vontades surgem deveres apenas para o doador; o donatário apenas auferirá vantagens. Também são exemplos de contratos unilaterais o mútuo (empréstimo de bem fungível para consumo) e o comodato

38

(empréstimo de bem infungível para uso). Percebe-se que nos contratos unilaterais, apesar da presença de duas vontade, apenas uma delas será devedora, não havendo contraprestação.

Portanto, apesar de um contrato ser um negócio jurídico entre duas partes, esta

classificação não se ajusta a um contrato de computação em nuvem, visto que o

contratante e o contratado em cloud computing devem possuir obrigações típicas de

contrato desde o nascimento deste.

3.3.3 Bilateral

Esta classificação se adéqua na computação em nuvem, uma vez existam

direitos e deveres para ambos envolvidos de forma harmoniosa. Ou seja basicamente

o contratado disponibiliza o serviço, garante segurança dos dados, disponibilidade,

integridade entre outros, e o contratante possui obrigações como bom uso, não utilizar

o serviço para fins maliciosos, obrigações financeiras em caso do serviço pago entre

outras obrigações. Deste modo, Tartuce (2013, p. 522) define:

Em um contrato bilateral os contratantes são simultânea e reciprocamente credores e devedores uns dos outros, produzindo o negócio de direitos e deveres para ambos os envolvidos, de forma proporcional. O contrato bilateral é também denominado sintagmático, pela presença do sinalagma, que é a proporcionalidade das prestações, eis que as partes de direitos e deveres entre si, são exemplos de contrato bilateral: compra, venda e locação.

3.3.4 Contrato Independente

Com relação a independência contratual, os contrato em computação em nuvem

são classificados como contrato principal ou independente, isto é, estes existem por si

só, não dependendo de outro contrato para poder existir. Para substanciar, Tartuce

(2013, p. 527) esclarece que um contrato principal existe por si só, não havendo

qualquer relação de dependência em relação a outro pacto.

Na cloud computing para que possa existir um contrato, é imprescindível apenas

a vontade de ambas as partes em consenso, não sendo necessário a dependência de

um outro contrato.

39

3.3.5 Contrato de Adesão

Quanto a negociação do conteúdo pelas partes, no contrato de adesão,

somente uma parte impõe o conteúdo a ser negociado no contrato, restando apenas a

outra parte, aceitar ou não os termos estipulados.

Tartuce (2013, p. 525), um contrato de adesão é aquele que uma parte, o

estipulante impõe o conteúdo negocial, restando à outra parte, o aderente, duas

opções: aceitar ou não o conteúdo desse negócio.

Para Falci (2014, p. 30), quando o contrato é firmado por consumidores finais

e/ou pequenas empresas, não existe a possibilidade de negociação das cláusulas

entre as partes, sendo considerado um contrato de adesão.

Dentro da computação em nuvem, o serviço pode ser disponibilizado de

diversas formas, geralmente nos contratos de adesão, o serviço provido pela empresa

é gratuito, porém, existem contratos de adesão não gratuitos, e estes são utilizados

geralmente por usuários e pequenas empresas.

3.3.6 Contrato Paritário

Em computação em nuvem esta classificação é aplicável em contratos para

grandes empresas ou instituições públicas, e ainda está relacionada com a negociação

do conteúdo, neste tipo de contrato é permitida que o conteúdo seja debatido entre os

envolvidos.

Para Tartuce (2013, p. 526), contrato paritário é aquele em que o conteúdo é

plenamente discutido entre as partes, o que constitui raridade no atual momento

contratual.

Com relação ao contrato paritário na computação em nuvem, para Falci (2014,

p. 30) quando o contratante é uma companhia de grande porte, existe maior abertura

para que as cláusulas sejam discutidas entre as partes, podendo-se assim ser

considerado como um contrato paritário.

3.3.7 Sacrifício patrimonial das partes.

O que se tem na teoria geral dos contratos em relação a sacrifício patrimonial

são dois tipos de classificação, que são os contratos gratuitos e onerosos, sendo o

contrato gratuito, quando apenas uma das partes proporcionou uma vantagem

40

patrimonial, sem qualquer correspectivo ou contraprestação, desta forma, para que um

contrato seja gratuito, é necessário que uma das partes tenha benefício patrimonial e a

outra sofra um sacrifício patrimonial.

Conforme Tartuce (2013, p. 522) apresenta em sua obra, o contrato gratuito é

aquele que onera somente uma das partes, proporcionando a outra uma vantagem

sem qualquer contraprestação.

Em contrapartida, no contrato oneroso a atribuição patrimonial é efetuada por

cada um dos contraentes, que tem por correspectivo a equivalente atribuição da

mesma natureza proveniente do outro. Portanto, para que o contrato seja oneroso é

preciso que cada uma das partes tenha simultaneamente uma vantagem de natureza

patrimonial e um sacrifício do mesmo tipo, Tartuce (2013, p. 522) define;

“Contrato oneroso é aquele que traz vantagem para ambos os contratantes, pois estes sofrem o mencionando sacrifício patrimonial. Ambas as partes assumem deveres obrigacionais, havendo um direto subjetivo de exigi-lo. Deste modo, passando a existir uma contraprestação, como a compra e venda”.

Estas classificações estão presentes nos contratos de computação em

nuvem.Existem os contratos gratuitos, onde o contratado oferece o serviço, que

geralmente é serviço de armazenamento de dados, serviço de e-mail e outros, e o

cliente somente faz uso dos serviços, portanto não havendo uma troca patrimonial

equivalente. No entanto, no contrato oneroso, há a troca patrimonial entre CSP18 e

cliente, no qual o contratado disponibiliza o serviço, assegura a disponibilidade do

serviço, garante o armazenamento das informações, a privacidade do conteúdo, e o

contratante tem a obrigação remunerá-lo financeiramente.

Encontram-se também em contratos de computação em nuvem que são

gratuitos que passam a ser onerosos com o tempo. Um exemplo que é bastante

comum em serviços de cloud computing é o cloud provider permitir a utilização do

serviço por 30 dias como um período de avaliação, desta forma, o cliente poderá optar

por aderir o serviço após os 30 dias, ou deixar de usá-lo, deste modo, em caso de

vinculo o contrato que antes era gratuito passa a ser oneroso. Como Falci (2014, p. 31)

aponta que:

18 Provedor de serviço em computação em nuvem.

41

[...] existem contratos que são firmados a título gratuito e que posteriormente passam a ser onerosos, como o do fornecedor de serviço que oferece o armazenamento de informações e a licença de uso de software por um período determinado. Durante esse tempo o cliente poderá avaliar o serviço e o programa oferecidos e, ao final, optar por se vincular ou não a ele, o que pode transformar o contrato em oneroso.

3.3.8 Solenidade dos Contratos

Os contratos em computação em nuvem são solenes, visto que, para sua

validade, é exigida determinada forma preestabelecida em lei, normalmente a escrita,

podendo ser por instrumento público, ou por instrumento particular. Tartuce (2013, p.

527), define contrato solene como aquele que é exigida solenidade pública.

De acordo com Falci (2014, p. 30), os contratos de cloud computing são

solenes, pois, para terem validade jurídica, devem obedecer à forma prescrita em lei. A

simples vontade das partes não basta para a sua formação.

3.3.9 Aperfeiçoamento do contrato

Contratos em cloud computing são ditos como contratos reais, em razão de os

contratos nesta área só passam a ter validade quando o serviço é entregue pelo

contratado, deste modo, enquanto não for entregue o serviço, é considerado como

promessa de contratar. Como afirma Falci (2013, p. 31), nos contratos reais, é exigida,

além do consentimento, a entrega do serviço (objeto do contrato). Antes da

disponibilização do serviço, considera-se como promessa de contratar.

Para Tartuce (2013, p. 523), um contrato real apenas se aperfeiçoa com a

entrega da coisa, de um contratante para o outro, antes da entrega da coisa tem-se

apenas uma promessa de contratar e não um contrato perfeito e acabado.

Quanto a classificação do contrato em computação em nuvem, nota-se que esta

é bem extensa, pelo fato de que a cloud computing ser muito ampla e extremamente

detalhada, tornando cada vez mais complexo o estudo jurídico sobre esta tecnologia.

3.4 Contratos em clod computing com relação ao art. 3º, do PL Nº 5344/2013

Para utilizar um serviço de computação em nuvem deve ser redigido um

contrato formal ou somente concordar com os termos de uso, para garantir uma

relação jurídica entre ambas as partes. Como visto, o contrato é um acordo entre duas

ou mais vontades, ele pode ser de adesão em caso de empresas pequenas ou pessoa

42

física e paritário para grandes empresas ou organizações públicas. Desta forma,

adquire-se uma maior segurança entre ambas as partes do contrato, caso as cláusulas

do mesmo não sejam respeitadas, cabe a parte que o fizer, o dever de indenizar, ou

seja, ressarcir o prejuízo sofrido a outra parte, entrando em vigor a responsabilidade

contratual.

3.4.1 Política de uso aceitável

Dentro de um contrato de um serviço em computação em nuvem, existem

diversas cláusulas para que seja estabelecida uma relação entre contratante e

contratado. À Política de Utilização Aceitavel (Acceptable Use Policy), ela geralmente

proíbe que o cliente utilize o serviço contratado para, por exemplo, fraudar, invadir

sistemas de terceiros, armazenar e/ou divulgar conteúdo pornográfico, difamatório,

discriminatório ou proibido por lei e realizar práticas como phishing19 e junk mail20.

Com a Política de Utilização o cloud provider busca excluir a sua responsabilidade

caso estes atos venham a ser praticados pelo seu cliente, de maneira que qualquer

pretensão judicial ou administrativa que objetive atingi-lo e/ou responsabilizá-lo será da

inteira e exclusiva responsabilidade do contratante, o que é correto, posto que a

empresa não pode se responsabilizar por uma má conduta de seus clientes,

principalmente em relação a utilização de material proibido por lei.

Um exemplo de cláusula em um contrato de uso aceitável apresentada no

contrato do Microsoft Azure (MICROSOFT CORPORATION, 2014):

1. Uso dos Serviços.

[...] b. Uso aceitável. Você pode usar o Produto somente de acordo com este Contrato. Você não poderá fazer engenharia reversa, descompilar nem contornar limitações técnicas do Produto, exceto nos casos permitidos pela lei aplicável, não obstante essas limitações. Você não poderá desabilitar, falsificar ou, de outra forma, tentar contornar qualquer mecanismo de cobrança que meça o uso que você faz do Produto. É vetado alugar, arrendar, emprestar, revender, transferir ou sublicenciar o Produto, ou qualquer parte dele, para ou por terceiros [...].

19É um tipo de golpe eletrônico cujo objetivo é o furto de dados pessoais, tais como número de CPF e dados bancários. 20Mensagens de correio electrónico, geralmente de carácter publicitário, enviadas com frequência e que

normalmente não apresentam interesse para o destinatário.

43

Está clausula está em conformidade com a Lei Nº 9.609/98, que diz respeito a

proteção da propriedade intelectual de programas de computador, tal como foi redigido

em contrato, não é permitida a alteração não autorizada (modificações no código fonte,

não comercialização por terceiros. Infrações as quais se cometidas pelo contratante

podem acarretar em negação do serviço, ou até mesmo pena ou multa dependendo da

infração cometida.

3.4.2 Segurança do conteúdo armazenado

Uma parte essencial de um contrato de computação em nuvem, e objeto central

deste trabalho, segurança do conteúdo armazenado em nuvem. Os provedores de

serviços em computação em nuvem devem garantir requisitos básicos da segurança

da informação, estes requisitos que darão ao contratante uma maior sensação de

segurança em relação a adesão do serviço. Para Planas (2012), dentre os requisitos

estão:

DISPONIBILIDADE: Certifique-se de que a informação está disponível e pode ser usar quando necessário. SIGILO: Certifique-se de que a informação está disponível apenas para pessoas autorizadas. INTEGRIDADE: Para garantir que as informações sejam completas, precisas e protegidas contra alterações não autorizadas. AUTENTICIDADE: Garantir a confiabilidade na geração da informação e intercâmbio entre diferentes locais.

CUMPRIMENTO: Certifique-se de que se adapte a lei [...]. RASTREABILIDADE: Garantir a possibilidade de verificar em que momento, quem fez o quê.”

A cláusula da disponibilidade é bastante abordada nos contratos para o cliente

empresarial, nela serão tratados assuntos como: tempo em que este serviço estará

disponível para ser acessado, 24 horas por dia e 7 dias por semana, e por quais

motivos o serviço pode se apresentar indisponível,clausulas sobre notificação para o

contratante, ou seja o cliente deve informado se caso o serviço esteja inacessível.

Assim é correto ao contratado deixar claro ao contratante um índice de disponibilidade

que varia de 97%a 99%, que este serviço pode se encontrar inacessível por motivos

de força maior, por exemplo: interrupção no fornecimento de energia por longas horas,

falta no fornecimento de internet, ou até mesmo por manutenção no serviço que possa

vir a acontecer. Logo, exemplifica-se este assunto com disposições do Contrato de

44

Hospedagem de Conteúdos de Internet na Modalidade de Cloud Computing do

provedor UOL (UNIVERSO ONLINE S.A., 2012)

CLÁUSULA OITAVA - CONDIÇÕES DA UTILIZAÇÃO DOS RECURSOS “8.1 Os Planos contratados estarão disponíveis 24 (vinte e quatro) horas por dia, 07(sete) dias por semana, podendo eventualmente haver interrupções ou suspensões dos mesmos, devido a: (a) manutenção de natureza técnica/operacional; (b) casos fortuitos ou força maior; (c) ações de terceiros que impeçam a utilização dos recursos; (d) falta de fornecimento de energia elétrica por longos períodos de tempo (blackout); (e) interrupção ou suspensão dos serviços das prestadoras de serviços de telecomunicações. Nas hipóteses anteriormente citadas, o UOL deverá, sempre que possível, informar ao CONTRATANTE sobre a possibilidade ou ocorrência de interrupções ou falhas. [...]”

Muitos cloud providers não permitem alterações contratuais com relação a

integridade do conteúdo, principalmente os que prestam serviço de forma não

remunerada, no máximo oferecem um serviço de backup21por um valor adicional.

Desta forma, se o cliente não possuir este pacote adicional de serviço de backup, os

provedores não se responsabilizaram por perdas de conteúdo.

É correto afirmar que os provedores não disponibilizam o serviço de backup

para os clientes que não pagam a adesão deste serviço, e também que estes podem

apresentar falhas na disponibilidade como foi citado anteriormente, porém, atualmente

os grandes cloud providers como Microsoft Azure, VM Ware, Amazon Web Service,

IBM e entre outros, fazem uso de uma novo tipo de arquitetura chamada computação

distribuída22, deixando de lado o padrão antigo de computação centralizada23.

Outro ponto positivo de alguns cloud providers, é que eles possuem vários

servidores conectados em rede, neste caso a distribuição é a nível global, ou seja, um

servidor assume o trabalho do outro em caso de possíveis interrupções, desta forma,

estes grandes provedores quase nunca ficam indisponíveis, garantindo o índice de

disponibilidade em praticamente 100%.

21 Termo em Inglês que significa cópia de segurança dos arquivos armazenados em um computador. 22Um sistema de computadores distribuídos consiste em vários componentes de software em vários computadores, mas executados como um sistema único. 23Sistema de computação que começou a ser utilizado no início da década de 70, no qual todos os processamentos e os dados são centralizados em um único computado.

45

3.4.3 Dados cadastrais

Quando é feito uso de um serviço de armazenamento em computação em

nuvem, geralmente é feita a solicitação dos dados pessoais do usuário, no entanto, se

usuário não aceita fornecer os dados, este não poderá fazer uso dos serviços. Caso

usuário aceite os termos, serão fornecidos dados como por exemplo: Nome, Data de

Nascimento, Identidade, Cpf, Cnpj, Endereço, Telefone e outros, afim de garantir maior

segurança jurídica, e estas informações precisam ser verdadeiras, para que possam

ser utilizadas em casos de solicitação judicial por autoridades públicas. O art. 3º. I,

dispõe sobre os dados referentes ao depositante e ao titular do conteúdo ou seu

detentor, seja pessoa física ou jurídica, indicado pelo depositante, que como exemplo

é apresentado no Contrato de Hospedagem de Conteúdos de Internet na Modalidade

de Cloud Computing do provedor UOL (UNIVERSO ONLINE S.A., 2012, p. 3)

3.1 O CONTRATANTE informará ao UOL todos os dados necessários para seu cadastramento, comprometendo-se a fornecer informações verdadeiras, corretas, atuais e completas sobre si mesmo, no momento do seu cadastramento, responsabilizando-se civil e criminalmente por estas informações.

Em relação a veracidade dos dados fornecidos pelo cliente, o provedor UOL em

seu contrato de cloud computing, ressalta que:

3.1.1 O CONTRATANTE deverá fornecer e manter somente dados verdadeiros, atualizados e completos, declarando-se ciente de que a utilização de dados falsos, inválidos, incorretos ou de terceiros, são de sua inteira responsabilidade, podendo acarretar a rescisão do contrato firmado entre o UOL e o CONTRATANTE e, consequentemente, o CANCELAMENTO IMEDIATO DO PLANO CONTRATADO, SEM PRÉVIA NOTIFICAÇÃO, e, ainda, caracterizar a prática de ato ilícito, sujeitando-o às penalidades previstas em lei.

3.4.4 Solicitação de Terceiros e permissões

Na cloud computing é muito comum o acesso aos dados por aplicações e

ferramentas de terceiros, geralmente existe uma relação entre aplicações de terceiros

e o serviço em nuvem, deste modo a aplicação solicita o acesso a alguns dados do

cliente para o ao provedor, e o provedor pergunta ao cliente se este autoriza fornecer

alguns ou todos os dados armazenados.

Em relação a privacidade e as permissões de acesso, o termo de uso do

Amazon Cloud Drive (AMAZON.COM) dispõe:

46

2. Uso do Serviço [...] 2.3 Nosso Uso de Seus Arquivos para Prestar o Serviço. Poderemos usar, acessar e reter Seus Arquivos para prestar o Serviço a você̂ e fazer valer os termos do Contrato, e você̂ nos dá todas as permissões de que necessitamos para tanto. Essas permissões incluem, por exemplo, os direitos de copiar Seus Arquivos para fins de segurança, modificar Seus Arquivos para possibilitar o acesso em diferentes formatos, e acessar Seus Arquivos para prestar suporte técnico. A Amazon respeita sua privacidade e Seus Arquivos estão sujeitos a notificação de Privacidade em Amazon.com.br (AMAZON.COM [a]).

Para contratar um serviço em nuvem, o contratante precisa absorver a idéia que

seus dados e informações não serão mais individuais, ou seja, um certo grupo de

pessoas da empresa terão acesso a estas informações, visando uma melhor qualidade

do serviço, desta forma o contratante deve permitir que o contratado possa realizar

atividades como dar suporte técnico, copiar, modificar e realizar adaptações para

diversas plataformas, como foi exposto em cláusula no contrato. Na referente cláusula

a empresa ressalta que: por mais que tenham acesso aos arquivos e informações de

seus clientes, a Amazon respeita a privacidade dos usufruidores do serviço.

OPL nº 5344/2013 que visa regulamentar a computação em nuvem no Brasil,

em seu art. 3°, II, o qual faz referência ao contrato de armazenamento de dados em

nuvem, exige os dados ou definição de categorias de pessoas físicas e/ou jurídicas

autorizadas a receber, acessar, alterar ou de qualquer forma tratar o conteúdo,

inclusive aqueles responsáveis por realizar bloqueio e cancelamento de autorizações

ou adotar as decisões quanto às finalidades e modalidades de tratamento.

Art. 3º [...], III – a possibilidade do fornecimento a terceiros por meio de

transferência ou interconexão à base de dados do conteúdo total ou parcial, quando e

na forma especificamente autorizada;

Com base no art. 3º [...], II e III, que trata de solicitação de terceiros, a Amazon

Cloud Drive (AMAZON.COM) ressalta que:

1.4 Serviços de terceiros. O Serviço poderá permitir que você conceda acesso aos Seus Arquivos a websites, aplicativos e serviços de terceiros ("Serviços de Terceiros"), o que inclui a capacidade de fazer cópias, modificar ou excluir os Seus Arquivos, ou criar novos arquivos em seu nome. O uso e o armazenamento dos Seus Arquivos por Serviços de Terceiros serão regidos pelos termos e políticas de privacidade desses terceiros. A Amazon não assume responsabilidades ou obrigações em relação à forma como você usa os Serviços de Terceiros, ou em relação ao conteúdo, funcionalidade ou atos dos Serviços de Terceiros que você usar.

47

A veracidade dos dados do cliente é muito importante para a empresa, portanto,

é fundamental que todos os autorizados a realizarem alterações nos dados estejam

devidamente cadastrados, desta forma, após cada alteração realizada, será salvo

registro de quem à efetuou, por fim, garantindo que estes se responsabilizem por uma

possível quebra de integridade e autenticidade que possa ocorrer.

3.4.5 Privacidade dos dados

É essencial a exposição dos termos que tratam de permissões de acesso e a

terceiros em contrato, mesmo que a empresa não dê suporte técnico ao contratante e

não faça qualquer modificação nos arquivos e informações, estes estarão

armazenados nos servidores da empresa, o que faz com que estes estejam

disponíveis para acesso por alguns membros do cloud providers ou terceiros

devidamente autorizados. Assim, através de uma cláusula em contrato, o contratado

visa informar que os seus arquivos podem ser usados mas, que de forma alguma

serão fornecidos a terceiros (com exceção dos subcontratados da empresa ou que

seja exigido por lei ou autorizado pelo contratante), como apresentado na cláusula de

um Contrato do Microsoft Azure (MICROSOFT CORPORATION, 2014):

“2. Segurança, privacidade e proteção de dados. [...] e. Solicitações de terceiros. Nós não divulgaremos os Dados do Cliente a um terceiro (incluindo representantes legais, outra instituição governamental ou litigante civil; com exceção de nossos subcontratados), a menos que você nos instrua a fazê-lo ou a menos que seja exigido por lei. Caso um terceiro contate a Microsoft com uma demanda para Dados do Cliente, nós tentaremos redirecionar o terceiro para solicitá-los diretamente de você. Como parte deste esforço, nós poderemos fornecer suas informações de contato básicas ao terceiro. Se for obrigada a divulgar os Dados do Cliente a um terceiro, nós o notificaremos imediatamente e forneceremos uma cópia da demanda, a menos que seja legalmente proibida de fazer isso. Você é responsável por responder a solicitações por terceiros sobre o uso que você faz dos Serviços, como solicitações para retirar conteúdo de acordo com o Digital Millennium Copyright Act. [...] “

Grandes provedores de nuvem vão mais além em questões de privacidade dos

dados, estes admitem que o contratante escolha as regiões em que seu conteúdo seja

armazenado, assegurando que ele não possa ser transferido ou acessado por outras

48

áreas fora da região delimitada. Sobre este assunto, a AWS (AMAZON WEB

SERVICE, 2014) ressalta que:

3.2. Privacidade dos Dados [...] Você poderá especificar as regiões AWS nas quais seu conteúdo será armazenado e estará acessível aos usuários Finais. Não moveremos Seu Conteúdo das suas regiões AWS selecionadas, sem notificá-lo, salvo se exigido para observar as leis ou solicitações de entidades governamentais. Você concorda [...] [com] a transferência do Seu Conteúdo para as regiões AWS por você selecionadas.

No cenário computacional atual, diariamente nas grandes redes são detectados

ataques crackers24, e boa parte destes ataques são derivados de outros países, desta

forma, se o contratante não tiver interesse em disponibilizar um serviço ou acesso as

suas informações fora da sua região ou pais, é extremamente viável a utilização desta

opção presente no contrato, restringindo o acesso de outras regiões, e garantindo uma

maior privacidade dos dados.

Como foi apresentada na cláusula 3.2 da AWS, pode-se observar que uma das

formas em que a empresa utilizou para garantir a privacidade dos dados é limitar o

acesso ao conteúdo por regiões, desta forma, só é permitido o acesso ao conteúdo por

regiões autorizadas pelo contratante.

3.4.6 Obrigações do fornecedor

Em um contrato em computação em nuvem, devem ser especificados as

questões relativas à segurança, tempo que os dados estarão armazenados, de qual

forma e como estes dados serão tratados e o funcionamento operacional do serviço,

que são algumas das obrigações do fornecedor, como dispõe o inciso IV, do art. 3º, do

PL nº 5344/2013;

Art. 3º [...], IV - as características do serviço e em especial aquelas relativas à segurança dos seus dados, à possibilidade de optar por armazenamento ou não, ao tempo do armazenamento e condições, à possibilidade de tratamento do conteúdo e às características do funcionamento operacional do serviço, incluindo limitações no processo da contratação.

24São indivíduos mal intencionados que possuem grande conhecimento na área de informática, sendo

capazes de promover invasões e modificações em sistemas ou redes privadas em busca de dados e informações, e geralmente o termo cracker é confundido com o hacker.

49

O referido inciso está diretamente relacionado aos requisitos básicos de

segurança da informação, que são: disponibilidade, integridade e autenticidade. Na

cláusula 5.2 do contrato da UOL (UNIVERSO ONLINE S.A., 2012, p. 7), que visa

possibilitar a conexão dos servidores à Internet como forma de operacionalizar a

exibição do conteúdo do contratante, nos termos relativos ao plano contratado, está

em conformidade com o requisito básico da segurança da informação que é a

disponibilidade.

Em relação a segurança dos dados, no contrato da UOL (UNIVERSO ONLINE

S.A., 2012, p. 3), se comprometem em disponibilizar uma senha que funciona como

uma chave de identificação de acesso aos recursos, e afirma que está é sigilosa e

intransferível, e o contratante deve se responsabilizar pelo sigilo da mesma.

Em relação a segurança dos dados, o contratado se compromete em informar o

contratante caso ocorra acesso não autorizado ao seu conteúdo, como também auxilia

em caso de perdas ou danos aos dados, conforme cláusula presente no contrato da

IBM (INTERNATIONAL BUSINESS MACHINES, 2013):

Confidencialidade e Proteção de Dados

[...] A IBM concorda em comunicar ao Cliente qualquer acesso não autorizado de terceiros ao seu conteúdo de que tenha ciência, e envidar esforços razoáveis para remediar vulnerabilidades de segurança identificadas. Se o conteúdo do Cliente for perdido ou danificado, a IBM dará assistência ao Cliente na restauração do conteúdo ao serviço em Nuvem a partir de última cópia de backup do Cliente disponível em formato compatível.

Está cláusula é de extrema importância para garantir a proteção dos dados do

cliente, o contratado deve informar obrigatoriamente ao contratante de qualquer

acesso não autorizado que seja realizado por terceiros, visando reduzir

vulnerabilidades de segurança e manter os dados do cliente intactos, porem caso os

dados sejam danificados, a empresa se dispõe a dar assistência ao cliente, mas isto

em caso de danos causados impreterivelmente por terceiros.

No contrato deve conter também o tempo em que o serviço estará disponível, e

quando este poderá se apresentar indisponível em casos de força maior, por motivos

de desastres naturais, ou indisponível por motivo de manutenção programada.

O fornecedor deve atender aos requisitos exigidos pelo do comprador, ou seja,

com relação a infraestrutura, o contratante não pode fornecer uma infraestrutura que

ele mesmo não possui.

50

Art. 3º [...], V - responsabilidade do fornecedor do serviço e suas limitações: garantias que podem ser concedidas sobre o conteúdo objeto do armazenamento, guarda e depósito e recuperação deste, em especial sobre padrões de qualidade do serviço e latência.

O provedor UOL em seu contrato de cloud computing dispõe sobre obrigações

na cláusula 5.1, que o provedor deve prover equipamentos necessários para suportar

a infraestrutura contratada pelo contratante, bem como as licenças de software

necessárias ao funcionamento do sistema operacional.

3.4.7 Responsabilidade das partes

As responsabilidades devem existir por parte do contratado como também do

contratante, ambos tem o dever de atender os requisitos descritos em contrato para

que não haja uma possível resolução do mesmo. Assim como o art. 3º, VI –exige que

seja discutido em contrato a responsabilidade do contratante e do titular do conteúdo.

Abaixo a tabela apresenta algumas das responsabilidades dos envolvidos com

base no contrato da UOL (UNIVERSO ONLINE S.A., 2012);

Responsabilidades dos Envolvidos

Contratado Contratante

Prover os equipamentos

necessários para fornecer a

infraestrutura contratada.

Efetuar pontualmente os

pagamentos devidos ao

contratado. (Contrato oneroso)

Possibilitar a conexão dos

servidores com a internet,

garantindo a disponibilidade.

Não armazenar, compartilhar e

disponibilizar conteúdo ilícito ou

que viole a lei.

Envidar melhores esforços para

bloquear acessos indevidos e

lesivos ao servidor.

Não transmitir pela rede,

qualquer programa ou aplicação

de caráter ilegal.

Não fiscaliza o conteúdo,

garantindo a privacidade do

conteúdo armazenado,

É de caráter do contratante

gerenciar os servidores

contratados.

Notificar o cliente em caso de

manutenção programada ou

indisponibilidade do serviço.

Este deve assumir a

responsabilidade por todo o

conteúdo hospedado.

Tabela 1: Responsabilidade dos Envolvidos

51

Conteúdo do UOL (UNIVERSO ONLINE S.A., 2012.)

A forma de pagamento é essencial ser discutida, as questões como valores,

taxas, impostos, isenção fiscal, forma de pagamento mensal ou anual e datas de

vencimento, isto é, dependendo se o contrato for de adesão, não é permitida a

discussão das cláusula. Como o art. 3º, VII, exige que seja discutido em contrato.

Art. 3º [...], VII - forma e condições de cobrança e pagamento;

Sobre as taxas de serviço da AWS, estas são cobradas mensalmente e o

contratante é informado sobre aumentos pelo menos 30 dias antes do pagamento da

fatura mensal. A cláusula 5.1 do contrato da AWS (AMAZON WEB SERVICE, 2015, p.

4) apresenta estes termos.

5.1. Taxas de Serviço. Nós calculamos e faturamos as taxas e despesas mensalmente. Nós poderemos cobrar você por taxas contabilizadas mais frequentemente se nós suspeitarmos que a sua conta é fraudulenta ou sob risco de não pagamento. Você nos pagará as taxas e despesas aplicáveis pelo uso das Ofertas de Serviço, conforme descrito no Site AWS, utilizando uma das formas de pagamento que apoiamos. Todos os valores devidos nos termos do presente Contrato serão efetuados sem compensação ou reconvenção, e sem qualquer dedução ou retenção. As taxas e despesas de qualquer novo Serviço ou nova característica de Serviço vigorarão quando lançarmos taxas e despesas atualizadas no Site AWS, salvo se expressamente afirmarmos de outro modo em um aviso. [...]. Poderemos aumentar ou adicionar novas taxas e despesas para quaisquer Serviços existentes, enviando-lhe um aviso com no mínimo 30 dias de antecedência.

Com relação a imposto, o contrato da AWS ( AMAZON WEB SERVICE, 2015, p.

4) dispõe:

5.2 Impostos. Todas as taxas e despesas por você devidas não incluem impostos e tarifas aplicáveis, inclusive o IVA (VAT) e impostos de vendas pertinentes. Você nos fornecerá quaisquer informações por nós razoavelmente solicitadas para determinar se somos obrigados a cobrar o IVA, inclusive seu número de identificação do IVA. Se você fizer jus à isenção de quaisquer impostos sobre venda, uso ou operação similar, será responsável pelo fornecimento de certidões de isenção de impostos legalmente suficientes para cada jurisdição fiscal. Adotaremos as certidões de isenção fiscal às despesas sob sua conta, após a data em que as recebermos. Se qualquer dedução ou retenção for exigida por lei, você nos notificará e pagará quaisquer valores adicionais necessários para garantir que o valor líquido que recebermos, após quaisquer deduções e retenções, seja equivalente ao montante que receberíamos caso nenhuma dedução ou retenção fosse exigida. Ademais, você fornecerá documentação comprovando que os valores retidos e deduzidos foram pagos às autoridades ficais competentes.

52

A confidencialidade é uma das prioridades da computação em nuvem, o sigilo

dos dados dos clientes é fundamental para o sucesso da organização, e estes

necessitam ser tratados de forma que somente o titular, a empresa e terceiros que

tenham permissão de acesso possam visualizar as informações.

O projeto de lei nº 5344/2013, em seu art. 3º, VIII – explana que deve ser

descrito em contrato a forma de sigilo e confidencialidade adotada pelo contratado,

afim de esclarecer ao contratante a maneira que é tratado o sigilo dos dados

armazenados dentro da empresa.

Cada provedor adota medidas que acha necessárias para manter o sigilo das

informações do cliente, conforme AWS (AMAZON WEB SERVICE, 2015, p. 3) optou

por restringir o acesso aos dados de forma que somente estará acessível nas regiões

especificadas.

3.2 Privacidade dos Dados. Nós participamos dos programas de salvaguarda descritos na Política de Privacidade. Você poderá especificar as regiões AWS nas quais Seu Conteúdo será armazenado e estará acessível aos Usuários Finais. Não moveremos o Seu Conteúdo das suas regiões AWS selecionadas, sem notificá-lo, salvo se exigido para observar as leis ou solicitações de entidades governamentais.

3.4.8 Contrato para modelo de serviço

É possível que os contratos em computação em nuvem possam ser

modificados.Isto vai depender do modelo de serviço em que o cliente deseja obter.

Cada modelo de serviço possui características especificas que os diferem dos outros,

fazendo com que certas cláusulas não se adéquem a certos modelos, como esclarece

Planas (2012, p. 10):

“IaaS (Infraesctructura as a Service). Modelo de entrega, equivalente a contratar um servidor virtual completamente vazio. Único sistema disponível operando. Por conseguinte, todo o seu conteúdo irá ser o cliente. O CSP não pertence a qualquer direito. PaaS (Platform as a Service). Neste caso, além do SO geralmente ele incorpora um BB. DD. [Base de Dados], a programação de serviços públicos, "Serviço da Web", etc. Todos os aplicativos desenvolvidos pelo cliente com os ou outras ferramentas de programação que você adicionar, juntamente com seus dados associados, será a sua propriedade e não gerar quaisquer direitos a favor do CSP.

53

SaaS (Software as a Service). Neste caso, o cliente está limitado à utilização de um aplicação integrada a Cloud Computing. Para ambos será apenas sua propriedade, trabalho e dados em geral, uma loja.”

3.4.9 Rescisão contratual, devolução ou remoção do conteúdo

Uma questão importante a ser tratada é em relação ao armazenamento de

informações pós resolução25 de contrato, o cloud provider deve deixar claro no

contrato o que será feito com as informações armazenadas, assim o contratante terá

conhecimento do que pode acontecer e assim não ser surpreendido.

Sobre algumas dessas questões Winkler (2012) defende que:

“Dependendo da quantidade de dados envolvidos, você pode simplesmente movê-lo de volta a sua organização. Depois, você pode enviá-lo para o novo fornecedor. Você também pode considerar transferi-lo diretamente entre os dois fornecedores. Independentemente do método que você usa, você vai precisar para assegurar que os dados são seguros para cada uma das organizações, talvez usando criptografia para os dados enquanto está em trânsito. Você vai precisar de considerar cuidadosamente e gerenciar esses fatores ao desenhar, revisão e aprovação de um contrato com um provedor de nuvem. Você está entrando em um potencialmente relacionamento de longo prazo, então você vai precisar para assegurar que as expectativas e responsabilidades são suficientemente compreendidos”

Os provedores de nuvem, neste caso, poderiam apresentar opções como:

garantir ao cliente um prazo médio, fornecendo mais tempo para saber se o

contratante ainda renovará o contrato com a empresa, ou se irá aderir um novo cloud

providers, e também permitir que as informações possam ser importadas de um

provedor para outro, sem que sejam alteradas, danificadas ou acessadas por terceiros,

como aponta Valenzuela e Montoya (2012, p. 57):

Algumas companhias estabelecem em seus modelos contratuais, que a informação se manterá em seus servidores durante um tempo, em caso de que o cliente queira voltar a ativar o serviço ou em algum momento seja relevante para o cliente solicitá-la de novo ao provedor de serviço. Da mesma forma algumas empresas colocam que a informação deve ser devolvida ao cliente e, por conseguinte, é deixado em um servidor até o final, isto de graça, para que possam regressar por ela.

25 É a extinção do vínculo contratual em caso de inadimplemento de uma das partes envolvidas.

54

Tudo depende da forma em que termina o contrato. Amazon retira este benefício em caso de um termino de contrato por incumprimento contratual. Facebook, por sua vez, não elimina a informação dos seus servidores, e a deixa armazenada dentro de sua base de dados para uso posterior[...]. Isto não significa que seja um comportamento usual dos prestadores de serviço, pois alguns (talvez a maioria) tem a política de eliminar a informação no momento do termino do contrato.

Quando se trata de companhia com dados ultra-sensíveis, como as instituições

financeiras, pode ser definido que o contratante ou terceiro por ele indicado auditará o CSP ao

término do contrato, no sentido de verificar se todos os dados da companhia foram realmente

apagados como ajustado.

O prazo contratual de preservação do conteúdo do contratante pelo provedor pode ser

radicalmente reduzido caso ocorra violação do contrato ou de qualquer documento que dele faça

parte, como a política de uso.

Com relação ao não pagamento pelo serviço contratado por um determinado período, é

comum o contratado não se comprometer a manter o serviço prestado, incluído o

armazenamento dos dados e informações do seu cliente em nuvem.

Considerando que os contratos de computação em nuvem são contratos de terceirização

dos serviços, dentre eles o armazenamento e processamento de dados e/ou informações, o

contratante pode exigir que a empresa contratada cumpra as obrigações tributárias, trabalhistas e

previdenciárias previstas na legislação. Desta modo, o objetivo desta iniciativa é assegurar que o

inadimplemento pelo contratado de qualquer obrigação legal não recairá sobre o contratante,

como prevê, por exemplo, a Súmula 331, inciso IV do Tribunal Superior do Trabalho - TST, no

que tange às obrigações trabalhistas: “O inadimplemento das obrigações trabalhistas, por parte

do empregador, implica a responsabilidade subsidiária do tomador dos serviços quanto àquelas

obrigações [...]” (BRASIL, 2011). De acordo com Falci (2014, p. 85):

[...] as penalidades por quebra de contrato devem ser previstas contratualmente, como é o caso de fornecimento de informação à pessoa não autorizada e o não fornecimento da capacidade de serviço contratada. Um exemplo de penalidade é a compensação financeira pelos danos causados, o que em determinadas situações pode ser difícil de ser mensurado, podendo por vezes, o valor se apresentar extremamente elevado.

Quanto à cessão de direitos do contrato verificou-se que, no contrato da

Amazon ela não é admitida. Sobre isso dispõe o Contrato do Cliente

AWS(AMAZON.COM ):

55

13.8 Cessão. Você não cederá o presente Contrato, nem delegará ou sublicenciará quaisquer de seus direitos aqui estabelecidos, sem o nosso consentimento prévio e por escrito. Qualquer cessão ou transferência em violação a esta Cláusula 13.8 será nula. Sujeito ao acima exposto, este Contrato vinculará as partes, sendo revertido em benefício delas e de seus respectivos sucessores e cessionários.

No entanto, nos contratos da IBM, este admite a transferência de direitos e

obrigações exceto nos casos de fusão e aquisição (INTERNATIONAL BUSINESS

MACHINES, 2013):

[...] Não é permitida a transferência deste Contrato ou dos direitos e obrigações sob ele, incluindo autorizações para o Serviço em Nuvem, exceto para uma subsidiária ou a uma organização sucessora através de aquisição ou fusão. A transferência pela IBM em conjunto com a venda de parte do negócio da IBM que inclua o Serviço em Nuvem não está restringida.

A resolução contratual também é muito importante que seja tratado em contrato,

dado que, este pode se rescindir de diversas formas, e também por qualquer uma das

partes, seja por vontade própria ou por inadimplência das obrigações. Deste forma,

cabe ao contratado abordar qual será o destino do conteúdo após uma possível

resolução do contrato. O art. 3º, IX - exige que estas condições de rescisão e

encerramento do contrato, devolução e remoção de conteúdo estejam especificadas

em contrato.

O contrato pode ser encerrado por ambas as partes e a qualquer momento,com

relação a esta questão, o contrato da AWS (AMAZON WEB SERVICE, 2015, p. 5)

afirma que pode rescindir o contrato por qualquer motivo, sendo atribuída como

rescisão por conveniência.

“7.2 Rescisão. (a) Rescisão por Conveniência. Você poderá rescindir este Contrato por qualquer motivo: (i) enviando aviso e (ii) encerrando sua conta para todos os serviços para os quais fornecemos um mecanismo de encerramento de conta. Nós poderemos rescindir este Contrato por qualquer motivo, fornecendo-lhe aviso com 30 dias de antecedência.”

A rescisão pode ocorrer também por justa causa, ou seja, a inadimplência das

obrigações por qualquer uma das partes, pode acarretar em rompimento do contrato.

“(b) Rescisão por justa Causa. (i) Por qualquer das Partes. Qualquer parte poderá encerrar este Contrato por justa causa, mediante aviso prévio de 30 dias à

56

outra parte, se houver qualquer inadimplemento ou violação substancial deste Contrato pela outra parte, salvo se a parte inadimplente tiver sanado o inadimplemento ou a violação material no prazo de 30 dias do aviso prévio. (ii) De nossa parte. Nós também poderemos rescindir este Contrato imediatamente, mediante aviso (A) por justa causa, se qualquer ato ou omissão praticada por você ou por qualquer Usuário Final”

Mediante a qualquer rescisão de contrato, o cliente perdera todos os direitos

pactuados no contrato, e também deverá arcar com todas as despesas incorridas até a

data da rescisão, o provedor AWS (AMAZON WEB SERVICE, 2015, p. 6) garante que:

“7.3. Validade da Rescisão.

(i) todos os seus direitos aqui pactuados serão extintos imediatamente; (ii) você permanece responsável por todas as taxas e despesas incorridas até a data da rescisão, inclusive pelas taxas e despesas nas tarefas internas de processos concluídas após a data de rescisão; (iii) você devolverá imediatamente ou, se por nós instruído, destruirá todo o Conteúdo AWS em sua posse;”

Pode-se observar também que estes contratos são redigidos cuidadosamente,

visando atender todas as questões de segurança relacionadas a TI, como também a

segurança dos envolvidos no ato jurídico, proporcionando uma maior relação de

confiabilidade entre ambos, contudo, é importante analisar que o contrato em

computação em nuvem visa garantir direitos e deveres para o contratante e o

contratado, assegurando que os dois tenham obrigações jurídicas. Em países como o

Brasil, que ainda não possui regulamentação legal em cloud computing, o contrato se

torna o único recurso no qual os provedores e usuários desta tecnologia poderão

dispor de alguma segurança jurídica e também do cumprimento das obrigações.

Porém, já nota-se que o Brasil tem evoluído, além de possuir provedores que

atuam na área da computação em nuvem, existem também políticos interessados no

desenvolvimento e na regulamentação desta tecnologia no país. Visto que, além de

promover a facilidade de compartilhamento de informações e serviços e uma ampla

portabilidade de aplicações, apresenta também uma maior disponibilidade de

funcionamento. Por fim, a cloud computing tem gerado milhões e bilhões em lucros, e

vem se mostrando como o futuro da TI no mundo.

57

4. CONCLUSÃO

A computação em nuvem tem alterado o cenário computacional de uma forma

surpreendente. Como foi apresentado no estudo, ela é uma tecnologia disruptiva, se

propõe a substituir os métodos obsoletos de entrega de serviços, programas, jogos,

ferramentas e etc, e estes eram entregues através de CD’s, downloads e instalação

dos programas no computador. Hoje, com a cloud computing é possível ter acesso a

estes recursos sem a necessidade da instalação de programas no computador, deste

modo, o usuário somente necessita de um browser e conexão com a internet, sendo

tarefa dos cloud providers toda a administração dos serviços.

A popularização da computação em nuvem se deu por muitos motivos, além da

entrega diferenciada dos serviços, há também a alta disponibilidade, portabilidade das

aplicações, custo benefício, facilidade de acessar e compartilhar informações a

qualquer hora e lugar. Estes benefícios são apenas alguns de muitos outros possíveis

novos serviços que a cloud computing poderá prover no futuro para os usuários desta

tecnologia.

Segundo Ried e Holger (2011) o mercado de CC totalizou em 2011 US$ 40.7

bilhões e deverá atingir US$ 241 bilhões em 2020, um crescimento de 600% até 2020.

Para o setor de nuvem pública em 2011, o mercado registrou US$ 25 bilhões e a

tendência é que em 2020 gere mais de US$ 160 bilhões, conforme figura 3.

Figura 3: Taxa de crescimento de mercado de Cloud Computing Compreender e quantificar o futuro da computação em nuvem

58

Gantz e Toncheva (2012) destacam que este crescimento no mercado nas

nuvens gerará uma demanda global, criará mais de 14 milhões de novos empregos e

por ano até 2015.

Figura 4: Taxa de crescimento de oportunidades de trabalho relacionados a Cloud Computing Fonte: Gantz e Toncheva (2012, p. 2)

E outro dos fatores que contribuiu para este grande crescimento da computação

em nuvem a nível global, foram os dispositivos moveis, o trafego de dados utilizados

por estes dispositivos passaram 0.6 em 2011, para 6.9 ExaBytes em 2015 por mês.

Estima-se que até 2016 o trafego de dados terá um aumento de 3,9 EB. Como

apresenta a figura 5.

Figura 5: Aumento do trafego mundial de dados moveis. Fonte: Canaltech (2012).

59

Devido a esta grande facilidade de compartilhamento de informações e recursos

e a crescente utilização dispositivos moveis, que facilitam o acesso a esta tecnologia

inovadora, nota-se um aumento da preocupação com questões de segurança, não

somente lógica, como também segurança legal dos dados e informações armazenadas

em nuvem, sendo este o foco desta pesquisa.

É importante observar que o interesse nesta tendência teve início em 2005,

época em que foi criado o termo computação em nuvem, e este atingiu o ápice do

interesse público em 2011, porém, hoje este interesse já sofreu uma queda. Com base

no gráfico gerado pela ferramenta do Google Trends (2015).

Figura 6: Gráfico do interesse público sobre cloud computing. Fonte Google Trends.

Porém o que é preocupante é que as pessoas têm interesse na tecnologia, nos

recursos e benefícios providos por ela, e se esquecem de que para fazer uso, é

preciso seguir as normas e regras estabelecidas no contrato de adesão do serviço, e

este que visa garantir direitos e obrigações as partes envolvidas, porém, o problema é

que boa parte dos usuários nem se quer fazem uma leitura do contrato na hora de

aceitar o acordo, e somente direcionam-se ao “CONCORDO”, sem ter sequer idéia do

que o contrato tem abordado. Como apresenta a reportagem divulgada pela revista

Superinteressante os quais são 97%, segundo pesquisa da Universidade Stanford, os

usuários que pulam direto para o "concordo". Ou seja, de cada 100 cadastrados,

apenas 3 sabem o que podem e o que não podem fazer e quais seus direitos e

deveres, ou até mesmo estar ciente que não haja nenhuma cláusula abusiva em

contrato,o que é diferente quando se trata de grandes empresas, neste caso, a

60

avaliação contratual é bem detalhada, para que atendas os interesses e as obrigações

dos envolvidos.

Finalmente, a pesquisa destinou-se a apresentar as aspectos jurídicos

contratuais com relação a computação em nuvem no Brasil e no exterior, e

especificamente as cláusulas relativas as informações armazenadas na cloud

computing, e desmistificar o medo que ainda se tem com relação a segurança das

informações, pois, o perigo sempre existe, não importado se o servidor é local, externo

ou na própria máquina. Logo, a segurança das informações não cabe tão somente ao

provedor, mas também ao usuário.

O que se deve analisar é que, a computação em nuvem mudou a forma de

prover serviços, abriu portas para o futuro, que é um tanto incerto, pois a cada dia,

novas tecnologias de virtualização em nuvem tem surgido. O que se sabe é que,

grandes maquinas pessoais com finalidade de executar tarefas, rodar jogos ou

serviços, estão possivelmente com seus dias contados. Porém, chegará um ponto em

que os provedores de computação em nuvem praticamente terão posse de toda a

informação do mundo, os usuários não terão mais privacidade diante dos provedores,

porque tudo vai estar na nuvem, sendo um caminho no qual daqui a alguns anos,

deveremos decidir se realmente vale a pena ter toda esse compartilhamento e troca de

informações, para mais adiante não existir mais privacidade e sigilo.

Por questões como estas já citadas, os profissionais da área do direito, agora

mais do que nunca, devem andar em parceria com a TI, para buscar responder os

problemas legais ainda existentes no cenário da computação em nuvem no Brasil e no

mundo, além dos que possam vir a surgir futuramente.Contudo, o presente estudo visa

conscientizar o público alvo de que a computação em nuvem veio para mudar o

cenário das TICS, mas não só na computação, como também em todas as áreas do

conhecimento, e muitas empresas de diversos setores, tais como a industria

cinematográfica, laboratório médicos de biotecnologia, etc, já fazem uso da cloud

computing,não importando a área em que se atua, a computação em nuvem pode se

adaptar as necessidades e com certeza, trazer inúmeros benefícios aos seus usuários.

Sendo este trabalho uma tentativa de aproximar a TI com o Direito, e demonstrar que

estas duas profissões tem muito ainda a contribuir uma com a outra.

61

REFERENCIAS BIBLIOGRÁFICAS

ALECRIM, Emerson. Infowester.. O que é cloud computing. 2015. Atualizado em

2015. Disponível em: <http://www.infowester.com/cloudcomputing.php>. Acesso em:

18 abr. 2015.

ALONSO, Paulo Sérgio Gomes. Pressupostos da responsabilidade civil objetiva.São Paulo:

Saraiva, 2000.

AMAZON WEB SERVICE (United States). O que é a computação em nuvem? 2015.

Disponível em: <http://aws.amazon.com/pt/what-is-cloud-computing/>. Acesso em: 14

abr. 2015.

AMAZON.COM [a]. Termo de uso do Amazon Cloud Drive. 2014. Disponível

m:http://www.amazon.com.br/gp/help/customer/display.html?nodeId=201

376540>. Acesso em: 12 Julho. 2015.

ARAÚJO, Laíss Targino Casullo de; REIS, Sérgio Cabral dos. Responsabilidade civil

dos provedores de conteúdo de internet. Disponível em:

<http://ambitojuridico.com.br/site/?n_link=revista_artigos_leitura&artigo_id=10422&revi

sta_caderno=17>. Acesso em: 05 julho. 2015.

BARBOSA, Fernando. Mercado brasileiro de games on-line deve atingir US$ 2 bi

neste ano: SÃO PAULO. DCI (Diario Comercio Industria & Serviços). Disponível em:

<http://www.dci.com.br/servicos/mercado-brasileiro-de-games-online-deve-atingir-us$-

2-bi-neste-ano-id382932.html>. Acesso em: 05 maio 2015.

BARBOSA, José Pedro Marques. UPBox: Armazenamento na Nuvem para Dados

de Investigação da U.Porto. 2013. Disponível

em:<http://svn.fe.up.pt/attachments/download/6949/josebarbosa_dissertacaofinal.pdf>.

Acesso em: 18 maio 2015.

BORGES, H.P. et. al. Computação em Nuvem, Instituto Federal de educação,

Ciência e Tecnologia do Maranhão, 2011.

BRASIL. Súmula n. 331 do TST, de 27 de maio de 2011. Contrato de Prestação de Serviço.

Legalidade, 2011. Disponível em:<http://www3.tst.jus.br/jurisprudencia/Sum

62

ulas_com_indice/Sumulas_Ind_301_350.html>. Acesso em: 12 nov. 2015.

CANALTECH. Previsão: quantidade de dados móveis crescerá 18 vezes nos

próximos 5 anos: http://corporate.canaltech.com.br/noticia/mobile/Previsao-

crescimento-do-trafego-de-dados-moveis-ate-2016/ 2012. CISCO. Disponível em:

<http://corporate.canaltech.com.br/noticia/mobile/Previsao-crescimento-do-trafego-de-

dados-moveis-ate-2016/#>. Acesso em: 03 dez. 2015.

CARVALHO, Eduardo. 2014 – Cloud Computing é tendência para empresas de

todos os portes. 2014. Disponível em: <http://cio.com.br/opiniao/2014/04/11/2014-

2013-cloud-computing-e-tendencia-para-empresas-de-todos-os-portes/>. Acesso em:

04 maio 2015.

CASTRO, Rita de C. C. de; SOUSA, Verônica L. Pimentel de. Segurança em Cloud

Computing: Governança e Gerenciamento de Riscos de Segurança. 2010.

Disponível em: <http://www.infobrasil.inf.br/userfiles/26-05-S5-1-68740-Seguranca em

Cloud(1).pdf>. Acesso em: 20 abr. 2015

CATTEDDU, D.; HOGBEN, G. Benefits, Risks and Recommendations for

Information Security, novembro/2009.

CLOUD SECURITY ALLIANCE (United States) (Org.). SECURITY GUIDANCE FOR

CRITICAL AREAS OF FOCUS IN CLOUD COMPUTING V3.0. 2011. Disponível em:

<https://cloudsecurityalliance.org/guidance/csaguide.v3.0

.pdf>. Acesso em: 12 abr. 2015.

CLULEY, G. Evernote Hacked Almost 50 Million Passwords Reset After Security

Breach. Disponível em: nakedsecurity.sophos.com/2013/03/02/evernote-hacked-

almost-50-million-passwords-reset-after-security-breach. Acesso em: 15/08/2015.

FALCI SOUSA ROCHA CUNHA, Juliana. A empresa e a regulamentação da computação

em nuvem. 2014. 148 f. Dissertação (Mestrado) – Faculdade de Direito Milton Campos,

Alameda da Serra.

GANTZ, John F.; TONCHEVA, Anna. Cloud Computing’s Role in Job Creation,

Framingham, Massachusetts, USA, Março de 2012. Acesso em 03/12/2015

63

GILBERTSON, S. Lessons From a Cloud Failure: It’s Not Amazon, It’s You.

Disponível em:http://www.wired.com/business/2011/04/lessons-amazon-cloud-failure.

Acesso em:15/8/2015.

GONZALEZ, N.; et al. “A Quantitative Analysis of Current Security Concerns and

Solutions, Acesso em: 12 julho, 2015.

GUSMÃO, Gustavo. Receita de computação em nuvem no Brasil saltará para 1,1

bilhões de dólares até 2017. 2014. EXAME. Disponível em:

<http://exame.abril.com.br/tecnologia/noticias/receita-de-computacao-em-nuvem-no-

brasil-saltara-para-1-1-bi-de-dolares-ate-2017>. Acesso em: 12 nov. 2015.

INTERNATIONAL BUSINESS MACHINES - IBM. Contrato de serviço em nuvem IBM.

2013. Disponível em:<http://www-05.ibm.com/support/operations/files/p

df/csa_br.pdf>. Acesso em: 13 Julho. 2015.

JANSEN, W.; GRANCE, T. Guidelines on Security and Privacy in Public Cloud

Computing. Gaithersburg, National Institute of Standards & Technology, SP 800-144.

2011.

JOBSTRAIBIZER, Flávia. Conheça 12 sistemas de armazenamento em nuvem

gratuitos. 2014. Disponível em: <http://imasters.com.br/infra/cloud/conheca-12-

sistemas-de-armazenamento-em-nuvem-gratuitos/>. Acesso em: 11 maio 2015.

LENK, A. et al. What’s inside the Cloud? An architectural map of the Cloud

landscape. In: SOFTWARE ENGINEERING CHALLENGES OF CLOUD

COMPUTING, 2009. CLOUD.ICSE WORKSHOP ON, Washington, DC, USA. Anais. .

IEEE, 2009. p.23–31. (CLOUD ’09, v.0).

ROMERO, Luiz (Ed.). Não li e concordo. 2012. Superinteressante. Disponível em:

<http://super.abril.com.br/tecnologia/nao-li-e-concordo>. Acesso em: 03 dez. 2015.

MELL, P.; GRANCE, T. The NIST Definition of Cloud Computing. [S.l.]: National

Institute of Standards and Technology, Information Technology Laboratory, 2009.

64

MICROSOFT CORPORATION. Contrato do Microsoft Azure. 2014. Disponível em:

<http://azure.microsoft.com/pt-br/support/legal/subscription-agreement/>. Acesso em: 10

Julho.2015.

NORONHA, Fernando. Direito das obrigações. 2 ed. São Paulo: Saraiva, 2007. v. 1.

PLANAS, José Luis Colom. Cláusulas contractuales en entornos de cloud computing. 2012.

Disponível em: <http://www.aspectosprofesionales.info/2012/10/cl

ausulas-contractuales-enentornos-de.html>. Acesso em: 20 Julho. 2015.

RIED, Stefan; HOLGER, Kisker Sizing The Cloud: Understanding and quantifying

the future of cloud computing, USA, Forrester Research, 03 de Dezembro de 2015.

ROHRMANN, Carlos Alberto; MACHADO E CAMPOS, Miriam de Abreu. Os contratos

eletrônicos: um estudo histórico – comparativo dos direitos brasileiro e europeu.Revista da

Faculdade de Direito Milton Campos, Belo Horizonte, v. 18, p. 23-76, 2009.

ROPPO, Enzo. O contrato. Coimbra: Almedina, 2009.

SILVA, Diogo. Cloud Computing: Muito além do Armazenamento em Nuvem. 2015.

CloudMarket. Disponível em: <http://www.cloudmarket.com.br/blog/cl

oud-computing/cloud-computing-muito-alem-do-armazenamento-em-nuvem/>. Acesso

em: 05 maio 2015.

SILVA, Diogo. O Futuro de Cloud Computing é a InterCloud. 2015. CloudMarket.

Disponível em: <http://www.cloudmarket.com.br/blog/cloud-computing/o-futuro-de-

cloud-computing-e-a-intercloud/>. Acesso em: 06 maio 2015.

SILVA, Luciana Vasco da. A necessidade de regulação legislativa para utilização

do serviço de computação em nuvem. 2014. Âmbito Jurídico. Disponível em:

<http://www.ambito-juridico.com.br/site/?n_link=revista_artigos_leitura&artigo_id=15

186>. Acesso em: 10 ago. 2015.

TARTUCE, Flávio. Manual do direito civil. 3. ed. São Paulo: Método, 2013. 1445 p.

ISBN 978-85-309-4475-9

TAURION, Cézar. Computação em Nuvem: Uma coletânea de posts, 2011.

Disponível em: <http://www.smashwords.com/books/download/98138/1/latest/0/0/cl

65

oud-computing-uma-coletanea-de-posts.pdf >. Acesso em: 18 de Abr. 2015

UNIVERSO ONLINE S.A. UOL. Contrato de hospedagem de conteúdos de internet na

modalidade cloud computing. 2012. Disponível em:

<http://ferramentas.download.uol.com.br/uolhost/contratos/2012/01- 13/CONTRATO

%20DE%20HOSPEDAGEM%20DE%20CONTE%C3%9ADOS%20DE%20INTERNET%20N

A%20MODALIDADE%20CLOUD%20COMPUTING%20120608.pdf>. Acesso em: 14 Julho.

2015.

VAQUERO, L. M. et al. A break in the clouds: towards a cloud definition.

SIGCOMMComput. Commun. Rev., New York, NY, USA, v.39, n.1, p.50–55, Dec.

2008.

VOGELS, W. A head in the clouds - the power of infrastructure as a service. First

workshop on Cloud Computing and in Applications (CCA 2008), [S.l.], 2008

WINKLER, Vic J.R. Cloud computing: negotiating cloud contracts. 2012. Disponível

em:<http://technet.microsoft.com/en-us/magazine/jj149022.aspx>. Acesso em: 16 Julho. 2015.

universidade federal do sul e sudeste do parÁ … · prof. dr. manoel ribeiro filho faculdade de...

Documents