SaaS, PaaS e IaaS: entenda os modelos de nuvem e o que cada um exige da empresa

"Agora está tudo na nuvem, o fornecedor cuida." A frase aparece com frequência depois que uma empresa troca o servidor da sala dos fundos por um sistema contratado por assinatura. Ela está certa pela metade. Parte do trabalho realmente muda de mãos, mas outra parte continua dentro de casa, qualquer que seja o modelo contratado. Entender a diferença entre SaaS, PaaS e IaaS é, antes de tudo, entender essa divisão: o que o fornecedor passa a administrar, o que permanece com a equipe interna e que competências a empresa não pode terceirizar.

De onde vêm as três siglas

A classificação mais citada vem do NIST, o instituto de padrões e tecnologia dos Estados Unidos. Em setembro de 2011, a publicação especial SP 800-145, intitulada The NIST Definition of Cloud Computing, descreveu a computação em nuvem como um modelo com cinco características essenciais, três modelos de serviço e quatro modelos de implantação.

As características essenciais são o autoatendimento sob demanda, o amplo acesso pela rede, o compartilhamento de recursos entre clientes, a elasticidade rápida e o serviço medido, isto é, cobrado ou controlado conforme o uso. Os modelos de implantação são a nuvem privada, a comunitária, a pública e a híbrida.

Os três modelos de serviço, que interessam aqui, se diferenciam pelo ponto da pilha tecnológica em que o controle do cliente termina e o do fornecedor começa.

IaaS: infraestrutura como serviço

No IaaS (Infrastructure as a Service), o fornecedor entrega capacidade de processamento, armazenamento e rede. O cliente monta sobre ela o que precisar. Na definição do NIST, o consumidor não gerencia a infraestrutura física, mas controla sistemas operacionais, armazenamento e aplicações implantadas, com controle limitado de alguns componentes de rede.

Na prática, é o modelo das máquinas virtuais, dos discos e das redes virtuais contratados sob demanda. A empresa deixa de comprar servidores e de cuidar do data center, mas continua responsável por instalar e atualizar o sistema operacional, configurar firewalls, aplicar correções de segurança, fazer cópias de segurança e manter as aplicações funcionando.

É o modelo que oferece mais liberdade e também o que mais exige da equipe técnica. Faz sentido quando a empresa precisa rodar sistemas próprios ou legados, tem requisitos específicos de configuração ou quer migrar para a nuvem sem reescrever aplicações.

PaaS: plataforma como serviço

No PaaS (Platform as a Service), o fornecedor administra também o sistema operacional e o ambiente de execução. O cliente implanta suas aplicações usando as linguagens, bibliotecas e ferramentas que a plataforma suporta, sem se preocupar com servidores.

Bancos de dados gerenciados, serviços de hospedagem de aplicações e funções executadas sob demanda são exemplos típicos. A equipe de desenvolvimento ganha velocidade, porque não precisa montar nem atualizar a infraestrutura. Em troca, aceita as regras da plataforma: versões suportadas, limites de configuração e, muitas vezes, maior dependência do fornecedor, já que migrar uma aplicação construída sobre serviços específicos de uma plataforma pode exigir retrabalho.

O PaaS costuma ser a escolha de empresas que desenvolvem software próprio, como integrações, portais e aplicativos internos, e querem concentrar a equipe no código, não na operação.

SaaS: software como serviço

No SaaS (Software as a Service), o cliente usa uma aplicação pronta, acessada pelo navegador ou por aplicativo. O fornecedor cuida de tudo o que está por baixo: infraestrutura, sistema operacional, atualizações e disponibilidade da aplicação. Correio eletrônico corporativo, suítes de escritório, sistemas de gestão empresarial, CRMs e ferramentas de gestão de projetos contratados por assinatura entram nessa categoria.

É o modelo mais simples de adotar e o mais comum nas pequenas e médias empresas. Também é o que mais alimenta a ilusão de que "o fornecedor cuida de tudo". Ele cuida do software, mas não decide quem pode acessar o quê, não sabe se os dados cadastrados estão corretos e não configura o sistema de acordo com as regras do negócio.

O modelo de responsabilidade compartilhada

Os grandes provedores de nuvem descrevem essa divisão com o nome de modelo de responsabilidade compartilhada. A AWS resume a ideia em duas expressões: o provedor responde pela segurança "da" nuvem, ou seja, pela infraestrutura que executa os serviços; o cliente responde pela segurança "na" nuvem, e o tamanho dessa parte depende dos serviços escolhidos.

A documentação da Microsoft detalha a mesma lógica em camadas. De forma resumida:

• Sempre com o cliente, em qualquer modelo: os dados, as configurações e ajustes, as identidades e contas de usuários e a gestão de acessos, incluindo permissões e autenticação multifator.
• Com o provedor a partir do IaaS: o data center físico, a rede física e os servidores físicos.
• Com o provedor a partir do PaaS: o sistema operacional e o ambiente de execução.
• Compartilhados, em proporções que variam: as aplicações, os controles de rede e a proteção dos dispositivos que acessam o serviço.

A Microsoft resume o ponto central em uma frase: em todos os tipos de implantação em nuvem, o cliente é dono dos seus dados e das suas identidades. Um sistema contratado como SaaS pode estar impecável do ponto de vista do fornecedor e, ainda assim, expor informações porque um ex-funcionário manteve o acesso ou porque um relatório foi compartilhado com um link público.

O que a empresa precisa manter dentro de casa

A migração para a nuvem muda o perfil da equipe de tecnologia, mas não elimina a necessidade dela. Algumas competências continuam indispensáveis em qualquer modelo:

• Gestão de identidades e acessos: criar e remover usuários no ritmo das contratações e desligamentos, definir perfis de permissão, exigir autenticação em dois fatores e revisar acessos periodicamente.
• Governança de dados: saber onde estão os dados, quem os altera, como são exportados e como seriam recuperados. A política de backup e restauração do fornecedor deve ser lida com atenção; nem todo serviço garante a recuperação de itens apagados pelo próprio usuário.
• Configuração e parametrização: traduzir as regras do negócio para o sistema. É aqui que muitas implantações de SaaS falham, com cadastros e fluxos copiados de um modelo genérico.
• Integrações: fazer os sistemas conversarem entre si, com atenção a credenciais de acesso e ao que acontece quando uma integração falha.
• Gestão de contratos e custos: acompanhar níveis de serviço, reajustes, número de licenças em uso e, no IaaS e no PaaS, o consumo, que pode crescer sem que ninguém perceba.
• Conformidade com a LGPD: pela Lei nº 13.709/2018, o controlador é quem toma as decisões sobre o tratamento dos dados pessoais, e o operador é quem realiza o tratamento em nome do controlador. Em muitos contratos de nuvem, a empresa cliente segue como controladora e o fornecedor atua como operador. A contratação não transfere a responsabilidade pelas decisões sobre os dados.

No IaaS, somam-se a essa lista a administração de sistemas operacionais, a aplicação de correções de segurança e a configuração de redes. No PaaS, o desenvolvimento seguro das aplicações e o monitoramento do seu desempenho.

Perguntas úteis antes de contratar

Independentemente do modelo, algumas perguntas ajudam a comparar propostas e a evitar surpresas:

• Onde os dados ficam armazenados e como podem ser exportados, em que formato, se o contrato acabar?
• Qual é o nível de disponibilidade prometido e o que acontece se ele não for cumprido?
• Como funcionam o backup e a restauração, e quem pode pedi-la?
• Quais recursos de controle de acesso existem, como autenticação em dois fatores, perfis de permissão e registros de auditoria?
• Como o fornecedor comunica incidentes de segurança?
• Como a cobrança escala com o número de usuários ou com o consumo?

A escolha entre SaaS, PaaS e IaaS raramente é exclusiva. Uma mesma empresa costuma usar os três ao mesmo tempo: o e-mail e o sistema de gestão em SaaS, uma integração desenvolvida em PaaS e um sistema legado rodando em máquinas virtuais. O que muda de um para outro é a fronteira de responsabilidade. Conhecê-la é o que permite contratar com clareza e manter, dentro de casa, as pessoas certas para cuidar do que continua sendo da empresa.