Um Tribunal Regional do Trabalho está migrando sua infraestrutura para a nuvem e precisa garantir a segurança dos dados armazenados em um provedor de nuvem pública. O analista de TI foi incumbido de avaliar os controles de segurança oferecidos pelo provedor, considerando o modelo de responsabilidade compartilhada. Ele analisou os seguintes aspectos:

• I. A criptografia dos dados em repouso é de responsabilidade exclusiva do cliente, independentemente do modelo de serviço adotado (IaaS, PaaS ou SaaS).
• II. No modelo IaaS, o provedor é responsável pela segurança física das instalações, enquanto o cliente deve gerenciar a segurança do sistema operacional convidado, incluindo patches e configurações.
• III. No modelo PaaS, o provedor gerencia a segurança da plataforma subjacente, incluindo runtime e middleware, cabendo ao cliente a segurança das aplicações nele implantadas e dos dados.
• IV. No modelo SaaS, o provedor é responsável por toda a segurança da aplicação, incluindo a configuração de controles de acesso pelos usuários finais.

Considerando o modelo de responsabilidade compartilhada conforme definido pelo NIST e as práticas de segurança em nuvem, quais afirmativas estão corretas?