Para atender às exigências regulatórias que determinam onde seus dados devem ser armazenados e utilizados, muitas organizações acreditam que basta adquirir um SKU de nuvem soberana de um hiperescalador para cumprir as normas. No entanto, isso fica muito aquém do que é realmente exigido — algo que elas talvez só descubram quando um órgão regulador solicitar que comprovem que um conjunto de dados nunca saiu de uma área geográfica definida, que nenhum funcionário de jurisdição estrangeira teve acesso a ele e que são capazes de recuperá-lo em até 24 horas em caso de incidente.
Em um webinar recente, participei ao lado de Alex Zinin, gerente geral da Commvault, que lidera nossa força-tarefa de soberania digital, juntamente com Jakub Lewandowski, nosso consultor jurídico associado para a região EMEA, e Pranay Ahlawat, nosso diretor de tecnologia e IA, para examinar o que uma abordagem completa à soberania digital precisa incluir e em que pontos a maioria dos programas apresenta falhas.
Assista ao webinar completo e obtenha o relatório de preparação e a estrutura de implementação completos do “Digital Sovereignty Decoded”.
Pontos principais
- A Estrutura de Soberania em Nuvem da UE define oito objetivos de soberania, dos quais apenas um diz respeito à localização dos dados.
- A escolha de uma região de nuvem soberana aborda onde os dados estão armazenados, mas não quem pode acessá-los, sob qual autoridade legal, nem se é possível recuperá-los em condições reais.
- Uma postura de soberania completa abrange quatro pilares interdependentes: localização dos dados, soberania tecnológica, soberania operacional e soberania jurisdicional.
- Programas de soberania que tratam a arquitetura de Recovery separadamente da governança primária dos dados apresentam um risco não avaliado que pode vir à tona durante incidentes.
- Em vez de uma política de soberania máxima a qualquer custo, as organizações devem elaborar sua estratégia com base na soberania mínima viável: os controles corretos, aplicados de forma consistente e calibrados de acordo com as obrigações reais.
A soberania digital torna-se um requisito empresarial
Na última década, as regras mais rígidas de soberania digital e de dados se aplicavam principalmente ao governo, à defesa e a outras cargas de trabalho relacionadas à segurança nacional. Fora dos setores altamente regulamentados, muitas empresas tratavam os princípios de soberania como orientações de projeto, em vez de uma restrição arquitetônica rígida.
Isso agora está mudando. A aplicação do GDPR amadureceu, passando de meras orientações para multas substanciais por falhas operacionais, e regimes mais recentes, como o DORA, o NIS2, as regras KRITIS da Alemanha e a Lei de Dados da UE, tornaram mais rigorosas as expectativas em relação ao controle jurisdicional e à resiliência operacional.
Questões de soberania estão agora surgindo em solicitações de propostas (RFPs), due diligence de fusões e aquisições (M&A) e também em análises de risco no nível do conselho administrativo.
O Marco de Soberania em Nuvem da UE, publicado em outubro de 2025, esclarece o que essa análise realmente avalia. Dos seus oito objetivos de soberania, apenas um aborda a localização dos dados. Os outros sete abrangem controle de acesso, dependências operacionais, exposição jurisdicional e Recovery.
Para as empresas, essa estrutura é agora a lente através da qual as capacidades dos fornecedores devem ser avaliadas.
Prévia: Repensando a soberania e a resiliência
Nesta parte do webinar, Jakub discute como a soberania é uma postura de risco, e não um produto isolado. As organizações precisam de uma estratégia holística que combine arquitetura, operações, governança, auditabilidade e planejamento de Recovery para lidar com isso.
A localização dos dados não equivale à soberania
A localização dos dados responde apenas a questões sobre “onde”. As regulamentações de soberania também exigem que se possa explicar “quem”, “como” e “em que condições”.
Em termos práticos, uma postura completa de soberania abrange quatro pilares interdependentes.
1. Localização dos dados
Esse pilar abrange não apenas onde os dados são armazenados, mas também por onde eles trafegam. Artefatos do plano de controle, metadados e telemetria podem cruzar fronteiras geográficas mesmo quando os dados primários permanecem na região.
2. Soberania tecnológica
Este pilar aborda se a organização controla os mecanismos que protegem os dados:
- Como o acesso é concedido.
- Como os dados são criptografados.
- Se a custódia da chave de criptografia é mantida em todas as condições.
Um conceito-chave aqui (trocadilho intencional) é a distinção entre “Bring Your Own Key” (BYOK), em que as próprias chaves de criptografia da organização são gerenciadas dentro da plataforma do provedor, e “Hold Your Own Key” (HYOK), em que a organização mantém a custódia independente das chaves inteiramente fora do ambiente do provedor.
Para organizações regulamentadas com requisitos rigorosos de soberania, o BYOK pode não oferecer proteção suficiente se uma autoridade jurídica estrangeira puder obrigar o provedor a conceder acesso às chaves em determinadas circunstâncias.
3. Soberania Operacional
Isso abrange quem opera o ambiente e de onde, incluindo se a equipe de suporte ou fornecedores terceirizados estão sujeitos à jurisdição estrangeira.
4. Soberania Jurisdicional
Este último pilar estabelece o marco jurídico sob o qual os serviços são prestados e se há proteções explícitas contra o acesso extraterritorial, como as situações transfronteiriças discutidas na Lei CLOUD dos EUA.
Cada um desses pilares é essencial para manter a conformidade. Uma postura sólida em relação à localização dos dados, combinada com controles operacionais fracos, pode permitir riscos não avaliados.
Onde os programas de soberania digital falham
Minhas experiências na área revelaram um padrão recorrente: quando a soberania se torna uma discussão técnica, ela se torna muito restrita, muito rapidamente. Os workshops se concentram em onde os dados estão armazenados, as equipes passam a trabalhar nessa única questão e, em seguida, seguem em frente, deixando os outros três pilares praticamente sem análise.
Problemas estruturais também entram em jogo. A soberania digital precisa ser tratada como um programa contínuo envolvendo partes interessadas jurídicas, técnicas e operacionais, e não como um projeto de TI que é marcado como concluído.
As organizações também podem ser desviadas do caminho por alguns mitos. Um deles, como já discutimos, é a impressão de que soberania é sinônimo de residência.
Além disso, há o mito da soberania absoluta, a ideia de que é possível alcançar independência total em relação a todas as jurisdições e dependências externas. Na prática, a soberania sempre envolve compromissos entre controle, custo, velocidade tecnológica e capacidade de inovação.
O objetivo deve ser encontrar o equilíbrio certo entre a independência em relação a jurisdições estrangeiras e as necessidades do seu negócio. Também é importante entender que a soberania não é um produto que se possa comprar, mas uma postura de risco construída a partir da arquitetura, das operações, dos contratos, das certificações e da auditabilidade contínua.
A resiliência faz parte dos limites da soberania
A soberania operacional é o pilar mais difícil de auditar e o mais comumente subestimado. Se seu ambiente precisasse de acesso para manutenção de rotina hoje à noite, quem a realizaria, de qual país e sob qual jurisdição legal? A maioria das organizações, ao analisar essa questão pela primeira vez, identifica pelo menos uma rota de suporte que atravessa uma fronteira jurisdicional que não havia sido mapeada.
Essa lacuna se torna mais significativa durante a recuperação. A maioria dos programas de soberania rege os ambientes de dados primários, mas trata a infraestrutura de backup, a sequência de restauração e o gerenciamento de pontos de recuperação sob um conjunto separado — e muitas vezes mais fraco — de controles. Quando ocorre um incidente, a equipe de recuperação pode não atender aos requisitos jurisdicionais, e a arquitetura soberana projetada para proteger os dados pode complicar ativamente a restauração se a resiliência não tiver sido incorporada desde o início.
O modelo de operações de resiliência da Commvault, o ResOps™, atende diretamente a essa necessidade ao enquadrar a Recovery como uma disciplina operacional contínua que precisa ser projetada, testada e validada dentro do mesmo limite de soberania dos dados que protege.
Soberania mínima viável: o nível certo de controle, não o máximo
Uma abordagem absolutista em relação à soberania digital pode sobrecarregar os recursos, ao mesmo tempo em que restringe desnecessariamente a capacidade de uma empresa de atingir suas metas de negócios.
Um sistema de folha de pagamento, um banco de dados de transações de clientes e uma ferramenta interna de RH não têm as mesmas obrigações de soberania. Adotar uma abordagem binária à conformidade pode levar tanto a um investimento insuficiente onde é importante quanto a um investimento excessivo, além do que é realmente necessário.
A soberania mínima viável estabelece uma meta mais prática: os controles certos, aplicados de forma consistente e continuamente comprovados, calibrados de acordo com o que cada carga de trabalho realmente exige em todos os quatro pilares.
As organizações dispõem de uma ampla gama de opções para implementar controles de soberania em todo o seu ambiente, cada uma oferecendo controles diferentes.
Como a Commvault está abordando a questão da soberania digital
A estrutura Geo Shield da Commvault foi projetada para ajudar as organizações a navegar por esse espectro. Em vez de oferecer um único SKU soberano, o Geo Shield se adapta a todo o espectro de modelos de implantação:
- Serviços de nuvem regionais soberanos fornecidos como SaaS
- Parcerias de lançamento soberano com hiperescaladores
- Ofertas soberanas nacionais operadas por parceiros e desenvolvidas com provedores de serviços locais
- Ambientes privados soberanos totalmente controlados pelo cliente, que se enquadram em estruturas como o FedRAMP High.
Dessa forma, as organizações podem alcançar uma postura de soberania digital que se mantenha sólida em condições reais — mesmo quando ocorre um incidente.
Assista ao webinar completo e obtenha o Relatório de Readiness
No webinar completo, disponível sob demanda, você descobrirá:
- Por que a soberania digital é mais do que uma solução tecnológica.
- O papel da arquitetura e das operações na estratégia de soberania.
- Como a governança, os contratos e a auditabilidade afetam a resiliência.
- Por que a soberania deve permanecer firme durante incidentes cibernéticos e interrupções de serviço.
- A importância de uma abordagem holística e baseada em riscos para a soberania.
Assista ao webinar e obtenha o relatório completo “Digital Sovereignty Decoded” sobre Readiness e a estrutura complementar.
Perguntas frequentes
P: Qual é a diferença entre residência de dados e soberania digital?
R: A residência de dados refere-se ao local onde os dados são fisicamente armazenados. A soberania digital é mais ampla: ela aborda quem pode acessar os dados, sob qual autoridade legal, por quais vias operacionais e se eles podem ser recuperados intactos em condições reais.
Uma organização pode ter dados armazenados no país certo, mas continuar exposta à jurisdição estrangeira por meio de sua equipe de suporte, acordos de acesso com fornecedores ou infraestrutura de backup. A residência é a condição inicial; a soberania é a postura completa construída a partir dela.
P: O que é o Quadro de Soberania em Nuvem da UE e por que ele é importante?
R: O Quadro de Soberania em Nuvem da UE é uma ferramenta de avaliação estruturada desenvolvida pela Comissão Europeia para avaliar provedores de nuvem e de tecnologia com base em critérios de soberania durante processos de aquisição.
Ele define oito objetivos de soberania, com níveis de garantia que variam de zero a quatro para cada um. Apenas um dos oito objetivos aborda a localização dos dados; os demais abrangem controles operacionais, custódia de chaves, exposição jurisdicional e Recovery.
O quadro representa a estrutura pública mais abrangente para avaliar a postura de soberania e vem sendo cada vez mais utilizado como referência por outras regiões e órgãos de aquisição além da UE.
P: Qual é a diferença entre BYOK e HYOK, e por que isso é importante para a soberania?
R: O “Bring Your Own Key” (BYOK) permite que uma organização forneça suas próprias chaves de criptografia, mas essas chaves são normalmente gerenciadas dentro da plataforma do provedor. O “Hold Your Own Key” (HYOK) significa que a organização mantém a custódia independente das chaves inteiramente fora do ambiente do provedor, inclusive em situações de crise ou sob coação legal.
Para organizações regulamentadas com requisitos rigorosos de soberania, o BYOK pode não oferecer proteção suficiente se uma autoridade jurídica estrangeira puder obrigar o provedor a fornecer acesso às chaves. A Lei CLOUD dos EUA, por exemplo, pode abranger provedores que operam sob jurisdição dos EUA, independentemente de onde os dados estejam fisicamente armazenados.
O HYOK aborda essa exposição diretamente, embora possa exigir um nível mais elevado de plataforma em implantações de SaaS.
P: Por que a maioria das estratégias de soberania ignora a soberania operacional?
R: A soberania operacional, que abrange quem opera o ambiente e de onde, é o pilar mais difícil de auditar, pois exige o inventário de contratos de suporte, acordos de acesso de fornecedores e dependências de terceiros em toda a cadeia operacional.
A maioria das organizações inicia programas de soberania com foco na localização e na criptografia de dados, que são mais visíveis. As dependências operacionais tendem a vir à tona apenas quando auditadas explicitamente ou quando um incidente força a questão.
Como primeiro passo para avaliar a soberania operacional, você deve identificar todas as vias de acesso ao seu ambiente soberano e a jurisdição legal de cada parte com esse acesso.
P: Como as organizações devem encarar a Recovery no contexto da soberania?
R: A arquitetura de recuperação precisa atender aos mesmos requisitos de soberania que os ambientes de dados primários, mas muitas vezes isso não ocorre. Na maioria das organizações, a infraestrutura de backup, a sequência de restauração e o gerenciamento de pontos de recuperação são frequentemente regidos por um conjunto separado de controles — ou por nenhum controle.
Durante um incidente, o pessoal autorizado a executar a recuperação pode não atender aos requisitos jurisdicionais, os pontos de recuperação podem não ter sido validados como limpos e não comprometidos, e a arquitetura soberana projetada para proteger os dados pode complicar ativamente a recuperação se a resiliência não tiver sido incorporada ao projeto original. Uma análise de soberania deve sempre incluir o planejamento da recuperação.
P: O que significa “soberania mínima viável” na prática?
R: Soberania mínima viável significa identificar o nível adequado de controle para cada carga de trabalho, calibrado de acordo com as obrigações regulatórias reais, a tolerância ao risco e as restrições operacionais, em vez de aplicar controles máximos de maneira uniforme.
A soberania máxima acarreta desvantagens reais: complexidade tecnológica, sobrecarga operacional, limitações de serviço e custo. As organizações que definem requisitos por carga de trabalho nos quatro pilares, mapeiam esses requisitos para modelos de implantação e comprovam a aplicação consistente estão em uma posição muito mais sólida do que aquelas que adotam abordagens do tipo “tudo ou nada”.
P: Qual é o papel de certificações como C5, SecNumCloud e ISO 27001 em uma estratégia de soberania?
R: As certificações ajudam a fornecer evidências auditáveis de que os controles foram verificados de forma independente, o que constitui uma parte importante de qualquer postura de soberania defensável. A C5 na Alemanha, a SecNumCloud na França e a ISO/IEC 27001 estabelecem, cada uma, requisitos básicos que os provedores devem demonstrar por meio de auditorias independentes.
As posturas de soberania mais sólidas tratam essas certificações como um mínimo necessário, fornecendo as evidências necessárias de que os controles existem, mas não como um substituto para testes operacionais em condições realistas.
Darren Thomson é vice-presidente e diretor de tecnologia da Commvault para a região EMEA. Não deixe de acompanhá-lo na série de podcasts STRIVE.
