A fatura que ensinou o contrato
Uma equipe foi para a nuvem e descobriu três surpresas no mesmo mês: uma instância ligada no fim de semana, um banco gerenciado cujo patch era do provedor, e uma planilha SaaS cujo administrador era um estagiário. Nuvem não é um lugar, e sim um conjunto de contratos de operação. IaaS aluga capacidade bruta, PaaS aluga plataforma, e SaaS aluga a aplicação pronta. Em cada degrau você troca controle por conveniência, e a fatia que continua sua não some, só muda de nome. Segurança boa começa escrevendo, para cada sistema, quem aplica correção, quem configura identidade e quem lê o log. Sem essa frase, 'está na nuvem' vira desculpa.
IaaS: você ainda tem um sistema operacional
Em infraestrutura como serviço você escolhe imagem, tamanho, rede e disco, enquanto o provedor entrega o hipervisor, o datacenter e a API. O sistema operacional convidado, os pacotes, o agente de monitoramento, a configuração de acesso remoto, as portas na borda e as chaves da API continuam seus. Muita violação em IaaS não é quebra do provedor: é imagem velha, grupo de segurança aberto para qualquer origem na internet, e credencial de automação sem rotação. Trate IaaS como datacenter com inventário via API, o que é poderoso (dá para reconstruir o parque em código) e perigoso (dá para destruir o parque com uma política errada). Controle de mudança na API é controle de mudança de produção.
PaaS: você não atualiza o motor, ainda atualiza o uso
Plataforma como serviço entrega runtime, banco, fila ou função sem você gerenciar o SO por baixo. O provedor aplica correção no motor. Você continua responsável por esquema de dados, contas da aplicação, rede de acesso ao recurso, versões da sua função e segredos injetados. Um banco gerenciado com IP público e senha fraca não é 'falha do PaaS'. Uma função com permissão de administrador na conta inteira não é 'serverless seguro'. PaaS reduz trabalho operacional e estreita o que você vê: menos SSH, mais painel e IAM. Isso exige disciplina de identidade ainda maior, porque o caminho privilegiado passou a ser a API e o papel da função. Documente limites: o que o provedor garante em SLA e o que você precisa controlar com política.