Pontos principais
- A soberania mínima viável (MVS) concentra-se em aplicar o nível adequado de controle às cargas de trabalho certas.
- Tratar todas as cargas de trabalho da mesma forma pode gerar complexidade e custos desnecessários ou proteção insuficiente.
- As organizações geralmente se enquadram em três perfis de soberania: soberania total, empresa regulamentada e multicloud híbrido.
- A governança consistente em ambientes mistos é um dos maiores desafios operacionais.
Existe uma vertente do debate sobre soberania digital que leva as organizações a uma situação cara, operacionalmente onerosa e — se forem honestas — que vai além do que suas obrigações reais exigem. A soberania máxima parece ser a opção responsável. Na prática, muitas vezes é um equilíbrio equivocado.
Há uma versão igualmente comum que leva a algo perigosamente superficial — controles que atendem a uma lista de verificação, mas não resistiriam a uma auditoria, a um incidente ou a um órgão regulador que deixasse de aceitar a intenção documentada como prova de controle comprovado.
As organizações que acertam na soberania tendem a adotar uma abordagem mais rigorosa e prática do que qualquer um dos extremos: elas se perguntam o que realmente devem, a quem e para quê. Em seguida, agem de acordo com esse padrão — nem mais, nem menos.
Essa é a disciplina do MVS, apresentada no Relatório de Readiness para a Soberania Digital e desenvolvida na íntegra aqui.
O MVS não é um atalho. É o reconhecimento de que o objetivo é o nível correto de controle, aplicado de forma consistente em todas as cargas de trabalho que o exigem.
Nem todas as cargas de trabalho são iguais
O ponto de partida para uma abordagem MVS é a classificação das cargas de trabalho — e a maioria das organizações ignora isso completamente.
Um sistema de negociação que processa dados financeiros regulamentados tem obrigações de soberania fundamentalmente diferentes das de uma ferramenta interna de colaboração de RH. Um banco de dados que armazena dados pessoais de cidadãos da UE está sujeito a um regime jurídico e regulatório diferente daquele de um ambiente de desenvolvimento que executa dados de teste anônimos.
Tratar todas essas cargas de trabalho da mesma forma — seja aplicando controles máximos de soberania de maneira generalizada, seja presumindo que um único modelo de implantação abranja tudo — é o que faz com que as organizações acabem com uma infraestrutura superdimensionada ou com proteção insuficiente.
A pergunta certa a ser feita antes de qualquer decisão de implantação: O que essa carga de trabalho exige em cada um dos quatro pilares da soberania? O Relatório de Readiness inclui uma autoavaliação estruturada exatamente em torno dessa pergunta.
Os três perfis – e o que eles realmente precisam
As empresas regulamentadas se enquadram em três perfis reconhecíveis, cada um com diferentes motivadores principais e prioridades de investimento.
- A Verdadeira Soberana. Órgãos governamentais, empresas contratadas pela defesa e operadoras de infraestrutura nacional crítica. Para essas organizações, a soberania não é um requisito de conformidade – é uma exigência operacional. O controle máximo sobre todas as dimensões da pilha de tecnologia é frequentemente exigido por lei, e as compensações de custo são aceitas porque a alternativa não é.
- A Organização Regulamentada. Empresas de serviços financeiros, organizações de saúde e empresas de energia. Essas organizações enfrentam requisitos vinculativos da DORA, NIS2, GDPR e estruturas específicas do setor. As obrigações de conformidade também podem estar alinhadas a esquemas de certificação da UE — incluindo EUCS, EUCC, BSI C5 e SecNumCloud —, dependendo do setor e do contexto de implantação.
Em certas áreas, isso é inegociável – particularmente no que diz respeito à residência de dados, controles de acesso operacional e Recovery dentro dos limites jurisdicionais. Mas nem toda carga de trabalho acarreta a mesma obrigação.
- A organização híbrida em multicloud. Organizações com investimentos existentes em hyperscalers que enfrentam pressão crescente em relação à soberania por parte de clientes, órgãos reguladores ou requisitos de aquisição. Seu desafio não é a migração em massa – é sobrepor controles de soberania a um ambiente misto e manter uma governança consistente em todo ele.
O custo de uma adaptação incorreta
O excesso de engenharia na soberania gera seus próprios riscos operacionais. Organizações que aplicam controles máximos de soberania a cargas de trabalho que não os exigem absorvem custos e complexidade que não servem a nenhum propósito regulatório ou comercial.
A subengenharia é o modo de falha mais comum e também o mais perigoso. Normalmente, ela só se manifesta quando chega a auditoria – ou, o que é mais grave, quando ocorre um incidente e a Recovery se torna um problema com restrições legais. (Esse modo de falha é o tema da quarta postagem desta série.)
Um ponto de partida prático
Uma abordagem MVS segue três etapas:
- Classifique as cargas de trabalho de acordo com seus requisitos reais de soberania em cada pilar – não comece pelos modelos de implantação.
- Mapeie cada classe de carga de trabalho para o nível de implantação que atenda a esses requisitos, em todo o espectro, desde regiões de hiperescaladores públicos até nuvem pública soberana e ambientes gerenciados no local.
- Gerencie o ambiente misto resultante de forma consistente – controles, evidências de auditoria e recursos de Recovery devem ser comprováveis em todo o ambiente, não apenas na camada mais soberana.
A terceira etapa é onde a maioria dos programas enfrenta dificuldades. Manter controles de soberania consistentes em um ambiente misto é um desafio de governança operacional – e, especificamente, do domínio da Soberania Operacional –, tema da terceira postagem desta série, o pilar que a maioria das estratégias trata como algo secundário.
Utilize a autoavaliação do Relatório de Readiness para a Soberania Digital para identificar sua posição atual em todos os quatro pilares.
Perguntas frequentes
P:
O que é soberania mínima viável (MVS)?
R: A MVS é a prática de aplicar controles de soberania com base nas necessidades reais de negócios e regulatórias. Seu objetivo é ajudar a evitar tanto o excesso de engenharia quanto a proteção insuficiente.
P: Por que a classificação das cargas de trabalho é importante?
R: Cargas de trabalho diferentes acarretam obrigações regulatórias e operacionais diferentes. Classificar as cargas de trabalho ajuda as organizações a aplicar o nível adequado de controles de soberania.
P: Quais são os três perfis comuns de soberania?
R: Os três perfis são: organizações verdadeiramente soberanas, organizações reguladas e organizações híbridas multicloud. Cada um deles possui requisitos operacionais e de conformidade distintos.
P: Quais riscos decorrem de um excesso de controles de soberania?
R: Controles excessivos podem aumentar a complexidade operacional e os custos sem proporcionar conformidade significativa ou valor comercial.
P: Por que ambientes mistos criam desafios de governança?
R: As organizações costumam operar em vários modelos de nuvem e infraestrutura. É difícil manter controles consistentes, evidências de auditoria e padrões de Recovery em todos os ambientes.
Ruben Renders é diretor de soluções, MSP, na Commvault.
