Case de Sucesso: Credit Saison Brasil – Landing Zone Segura e Multi-Conta na AWS

Resumo
Ao adotar um modelo 100% em nuvem no Brasil, a Credit Saison Brasil precisava de um ambiente AWS seguro e bem governado para suportar cargas de trabalho financeiras reguladas antes de escalar a operação.
A :upd8 projetou e implementou uma landing zone multi-conta alinhada às exigências do Banco Central, com AWS Control Tower (13 contas em 4 unidades organizacionais), logs centralizados em um cofre imutável no Amazon S3, guardrails preventivos e detecção contínua com Amazon GuardDuty, AWS Security Hub e Amazon Macie. A cobertura de controles centralizados passou de 0% para 100% das contas.
Sobre a Credit Saison Brasil
A Credit Saison Brasil é a operação brasileira do grupo japonês Credit Saison. Atua como Sociedade de Crédito, Financiamento e Investimento (SCFI), com conexão ao Banco Central, e trata dados financeiros e pessoais sensíveis em processos de análise de crédito, onboarding de clientes, KYC e prevenção a fraudes.
Desafio
O ponto de partida eram 7 contas AWS independentes, sem landing zone, sem guardrails para a organização e sem controles de integridade, com governança manual e inconsistente. Para uma instituição regulada, isso significava risco de configurações incorretas, alterações não autorizadas em logs ou serviços de segurança, falhas na detecção de ameaças e dificuldade para gerar evidências de auditoria confiáveis para os reguladores.
Os requisitos eram:

1. Governança e segregação de funções: isolar ferramentas de segurança, serviços compartilhados e cargas de trabalho reguladas, com controles aplicados a toda a organização.
2. Evidência de auditoria imutável: centralizar e proteger os logs de forma que nem administradores consigam alterá-los ou apagá-los.
3. Residência de dados: manter os dados financeiros e pessoais em território brasileiro, conforme as exigências aplicáveis a uma SCFI.
4. Escala com segurança: permitir que novas contas e produtos herdem a mesma base de segurança, sem acumular dívida técnica ou atritos regulatórios.

Solução
A :upd8 projetou e implementou a fundação AWS (landing zone) da Credit Saison Brasil na Região de São Paulo (sa-east-1), escolhida para manter os dados sob jurisdição brasileira.

• Landing zone e governança: uma única AWS Organization com 13 contas em quatro unidades organizacionais (Security, Infrastructure, SCFI e Shared), gerenciada pelo AWS Control Tower com guardrails obrigatórios, controle de desvios (drift) e provisionamento padronizado de contas pelo Account Factory.
• Identidade e acesso: acesso humano centralizado no AWS IAM Identity Center, com credenciais temporárias e menor privilégio, sem usuários IAM de longa duração.
• Logs, auditoria e detecção com segregação de funções: três contas dedicadas na unidade Security: uma centraliza os logs da organização (AWS CloudTrail e AWS Config) em um cofre no Amazon S3 com versionamento, S3 Object Lock em modo COMPLIANCE, ciclo de vida para o S3 Glacier e chave dedicada no AWS KMS; outra faz auditoria somente leitura com AWS Config Aggregator, CloudTrail Lake e IAM Access Analyzer; e a terceira é administradora delegada do Amazon GuardDuty, do AWS Security Hub, do Amazon Macie e do IAM Access Analyzer.
• Base de proteção e criptografia: políticas de controle de serviço (SCPs) impedem desligar o CloudTrail e o AWS Config, protegem as chaves KMS, exigem criptografia em EBS e RDS, exigem IMDSv2, bloqueiam a VPC padrão e impedem a exposição pública de buckets S3, AMIs e snapshots.
• Infraestrutura como código: toda a fundação é gerenciada como código e promovida por um processo de publicação revisado.

Serviços Utilizados
A solução combinou serviços nativos de governança, segurança e registro da AWS:

Resultados e Benefícios
O projeto entregou uma fundação segura, em conformidade e auditável para uma instituição financeira regulada:

1. Cobertura de governança de 0% para 100%: das 7 contas sem landing zone e sem guardrails para 13 contas em 4 unidades organizacionais sob controles preventivos centralizados, com a landing zone ativa e sem desvios.
2. 100% dos logs centralizados e imutáveis: CloudTrail e AWS Config de toda a organização em um cofre com S3 Object Lock, histórico de configuração retido por 5 anos (1.825 dias) e protegido contra exclusão até por administradores.
3. Detecção contínua em todas as contas: GuardDuty, Security Hub, Macie e IAM Access Analyzer com administração delegada, incluindo automaticamente cada conta nova.
4. Alta disponibilidade: cargas de trabalho distribuídas em duas Zonas de Disponibilidade e evidências de auditoria com a durabilidade do Amazon S3.

Lições Aprendidas
Aplicar as SCPs de integridade e proteção sem interromper operações legítimas foi o principal desafio, porque o ambiente misturava 7 contas existentes, incluídas no Control Tower, com contas novas.

• Implantação gradual das SCPs: as políticas foram aplicadas primeiro nas unidades de não produção e depois em produção, com exceções para as roles de automação. Essa abordagem virou um playbook padrão da :upd8 para instituições reguladas.
• Checklist antes da inclusão das contas: conciliar os padrões de e-mail raiz das contas antigas e novas gerou retrabalho. A :upd8 passou a validar e-mails raiz, unidade organizacional de destino e administradores delegados antes de incluir cada conta.

Sobre a :upd8

Fundada em 2013, a :upd8 tem sido pioneira na jornada de transformação digital e migração para a nuvem. Nossa missão é auxiliar empresas a transformar seus negócios por meio de soluções tecnológicas avançadas. Oferecemos uma gama completa de serviços, desde a avaliação de viabilidade, planejamento, migração, até a gestão contínua dos ambientes em nuvem, garantindo segurança e alta performance para nossos clientes.
Nosso compromisso é entregar soluções personalizadas, em conjunto com as equipes de nossos clientes, para garantir uma transição suave e eficiente, promovendo o crescimento sustentável dos negócios.