No primeiro episódio da nossa série STRIVE sobre soberania digital, Alex Zinin, da Commvault, e Max Mortillaro, do Osmium Data Group, questionaram um dos maiores equívocos do setor: a soberania digital não é um recurso que se compra — é um problema de negócios que é preciso compreender antes de poder resolver.
Esta conversa retoma o ponto em que a anterior foi interrompida. Desta vez, conversei com Thomas Maurer, Black Belt Global para a área de soberania (nuvem) da Microsoft na região EMEA, para explorar o que acontece depois que uma organização decide que a soberania é importante. Como as equipes executivas passam de preocupações gerais sobre regulamentação, jurisdição ou incertezas geopolíticas para decisões práticas de arquitetura?
A resposta, ao que parece, raramente é tão simples quanto escolher um provedor de nuvem ou selecionar o modelo de implantação correto. Trata-se de fazer perguntas mais pertinentes antes de tomar decisões técnicas. Assista ao episódio completo.
Pontos principais
- Cada organização define a soberania digital de maneira diferente – e é exatamente por aí que a conversa deve começar.
- A soberania não é resolvida apenas pela tecnologia. Considerações jurídicas, operacionais, arquitetônicas e comerciais influenciam o resultado.
- A nuvem e as soluções locais não são estratégias concorrentes. Para muitas organizações, o futuro é uma combinação cuidadosamente planejada de ambas.
- A gestão de riscos — e não o medo — deve orientar as decisões relativas à soberania.
- Uma boa arquitetura começa com a compreensão dos requisitos de negócios, e não com a escolha da infraestrutura.
A soberania tem significados diferentes para diferentes organizações
Uma das primeiras observações feitas por Thomas foi também uma das mais importantes. Não existe uma definição universal para soberania digital. Para uma organização, pode significar simplesmente atender a requisitos regulatórios ou manter os dados dentro de uma área geográfica específica. Para outra, pode envolver independência operacional, continuidade dos negócios ou preparação para perturbações geopolíticas. Essa diferença é importante porque muda completamente o rumo da conversa.
Com muita frequência, as organizações partem do princípio de que existe um modelo padrão de soberania pronto para ser implementado. Na realidade, o primeiro desafio não é escolher a tecnologia, e sim entender qual problema a organização está, de fato, tentando resolver. Só então a arquitetura começa a fazer sentido.
A tecnologia deve seguir a estratégia
Um tema que surgiu repetidamente ao longo de nossa discussão foi a tentação de partir diretamente para o projeto técnico. É compreensível. Os arquitetos, naturalmente, pensam em infraestrutura, cargas de trabalho, conectividade e modelos de implantação. Mas Thomas enfatizou que os projetos mais bem-sucedidos começam em outro lugar. Eles começam ouvindo.
Quais são as preocupações que estão impulsionando a iniciativa? O objetivo é a conformidade regulatória? Continuidade dos negócios? Residência de dados? Controle operacional? Proteção contra perturbações geopolíticas? Respostas diferentes levam a arquiteturas diferentes. Isso pode parecer óbvio, mas é surpreendente a frequência com que as organizações começam a avaliar soluções antes mesmo de terem chegado a um consenso sobre o resultado de negócios que pretendem alcançar.
Visão geral: Comece pelo risco, não pelas suposições
Um dos momentos mais práticos da nossa conversa ocorre quando Thomas e eu discutimos por que as iniciativas de soberania devem começar com uma avaliação de riscos – e não com um diagrama arquitetônico.
Cada organização tem uma propensão ao risco diferente. Uma equipe de Fórmula 1, um órgão governamental e uma fabricante global não tomarão as mesmas decisões, nem deveriam. O segredo está em entender quais riscos são mais importantes para o seu negócio, quais concessões você está disposto a fazer e, então, projetar uma arquitetura que apoie essas decisões.
Como Thomas destaca, não existe uma solução perfeita — apenas escolhas ponderadas e bem fundamentadas. Quanto mais cedo as organizações adotarem essa mentalidade, mais sólida será sua estratégia de soberania.
“Nuvem ou local?” é a pergunta errada a se fazer
Uma das partes mais interessantes da conversa questionou outra suposição comum — a de que as organizações devem escolher entre infraestrutura em nuvem pública e infraestrutura privada. Thomas descreveu uma realidade bem diferente. Muitas organizações não estão substituindo uma pela outra. Elas estão criando ambientes nos quais as cargas de trabalho podem ser transferidas entre si, de acordo com as necessidades comerciais, os requisitos regulatórios ou considerações de resiliência.
Essa flexibilidade muda a forma como devemos pensar sobre arquitetura. Em vez de perguntar se a nuvem ou o ambiente local é melhor, a pergunta mais útil passa a ser: “Onde essa carga de trabalho se encaixa hoje — e essa resposta poderia mudar amanhã?” Quando a soberania passa a fazer parte do processo de projeto, a mobilidade das cargas de trabalho torna-se tão importante quanto a alocação dessas cargas.
A arquitetura é apenas uma parte da equação
Outra lição que considero importante é o lembrete de Thomas de que a arquitetura, por si só, não resolve a questão da soberania.
- Os contratos são importantes.
- Os marcos legais são importantes.
- Os processos operacionais são importantes.
- As pessoas responsáveis pela gestão do meio ambiente são importantes.
Nenhuma dessas áreas pode atuar isoladamente. A soberania exige que as equipes jurídicas, de segurança, de conformidade e de infraestrutura trabalhem juntas desde o início — e não que passem os projetos de uma para a outra depois que as decisões já tiverem sido tomadas. Esse é um padrão familiar para qualquer pessoa que trabalhe com resiliência cibernética. Os melhores resultados raramente vêm de equipes isoladas. Eles vêm de equipes que atuam de forma coordenada.
O risco deve orientar todas as decisões
No final de nossa discussão, a conversa naturalmente se voltou para o risco. Para mim, é aí que a soberania começa a parecer muito mais familiar. Todo projeto de resiliência começa perguntando o que a organização está tentando proteger, quais ameaças são mais importantes e quanto risco ela está disposta a aceitar.
A soberania digital não é diferente. Em vez de buscar uma solução perfeita, as organizações precisam identificar os cenários específicos de soberania que lhes causam preocupação e, em seguida, determinar quais controles arquitetônicos, operacionais ou contratuais melhor atendem a esses riscos. Essa mudança — da comparação de recursos para a gestão de riscos — é o que, em última análise, leva a melhores decisões.
Por que essa discussão é importante
A soberania digital continua a evoluir rapidamente. Novas regulamentações surgirão. A tecnologia mudará. As realidades geopolíticas continuarão a se transformar. Isso significa que a soberania não é algo que as organizações resolvem de uma vez por todas. É algo que elas avaliam regularmente, à medida que as prioridades comerciais e os riscos externos evoluem.
As organizações bem-sucedidas não terão necessariamente as arquiteturas mais restritivas. Elas terão a compreensão mais clara de seus objetivos de negócios, a disciplina necessária para avaliar os riscos de forma criteriosa e a flexibilidade para se adaptar à medida que esses riscos mudarem. Em última análise, a soberania digital não é algo que as organizações possam simplesmente adquirir pronto para uso. Trata-se de um processo que envolve compreender os riscos, gerenciar as dependências e fazer escolhas ponderadas com base em informações, muito antes de essas decisões serem postas à prova.
Assista ao episódio completo
Neste episódio do STRIVE, Thomas e eu discutimos:
- Por que a soberania tem significados diferentes para diferentes organizações.
- Como os executivos devem abordar a estratégia de soberania.
- nuvem pública versus nuvem privada – e por que, muitas vezes, não se trata de uma escolha entre uma opção ou outra.
- Por que a gestão de riscos deve orientar as escolhas arquitetônicas.
- O papel da resiliência no planejamento da soberania moderna.
Perguntas frequentes
P: A soberania digital significa manter tudo no local?
R: Não. Muitas organizações adotam abordagens híbridas que equilibram os recursos da “nuvem” com requisitos específicos de soberania.
P: Por onde devem começar os projetos de soberania?
R: Comece definindo o problema de negócios e compreenda os riscos que você está tentando mitigar antes de avaliar a tecnologia.
P: A soberania é uma questão puramente técnica?
R: Não. Isso exige a colaboração entre as equipes jurídica, de conformidade, de segurança, de operações e de arquitetura.
P: Qual é a relação entre soberania e resiliência?
R: Ambas as disciplinas têm como foco manter a continuidade operacional, reduzindo a exposição a riscos que possam interromper as atividades da empresa.
P: Qual é um grande erro que as organizações cometem no que diz respeito à soberania digital?
R: Tomar decisões arquitetônicas antes de chegar a um consenso sobre o que significa soberania para a organização.
P: O que os executivos devem perguntar em primeiro lugar ao planejar a soberania digital?
R: “Que problema estamos tentando resolver?” Todo o resto decorre dessa resposta.
Darren Thomson é vice-presidente e diretor de tecnologia da Commvault para a região da EMEA.
