Pontos principais
- A soberania operacional concentra-se em quem pode acessar os sistemas e sob quais jurisdições eles operam.
- O acesso de fornecedores, os fluxos de telemetria e os canais de suporte podem criar lacunas ocultas em matéria de soberania.
- A soberania operacional é mais difícil de comprovar, pois exige visibilidade e auditoria contínuas.
- As organizações devem ser capazes de demonstrar e documentar todas as vias de acesso a ambientes soberanos.
Pergunte à maioria das organizações onde seu programa de soberania é mais forte, e a resposta geralmente é alguma variação das mesmas duas coisas: localização dos dados e criptografia. Elas sabem onde seus dados primários estão armazenados. Implementaram acordos do tipo “traga sua própria chave” ou “guarde sua própria chave”. Podem apresentar certificações.
Pergunte a elas quem acessou seu ambiente soberano nos últimos noventa dias, de quais países e sob quais jurisdições legais — e a confiança tende a desaparecer. A soberania operacional é o pilar mais difícil de auditar, o mais propenso a ser subestimado e o local mais comum onde uma postura de soberania que parece sólida no papel desmorona na prática. O Relatório de Readiness para a Soberania Digital a aponta como um dos quatro pilares — este artigo vai além. A pergunta que a maioria das organizações não consegue responder: “Quem acessou seu ambiente soberano nos últimos 90 dias, de quais países e sob quais jurisdições legais?”
O que realmente significa soberania operacional
A soberania operacional não se refere ao local onde os dados estão armazenados. Trata-se de quem administra o ambiente — e quem tem acesso a ele. Ela abrange três aspectos que a maioria dos programas de soberania trata como detalhes de implementação, em vez de questões prioritárias:
- Acesso de pessoal e jurisdição. Toda pessoa com acesso ao seu ambiente soberano — para suporte, manutenção, monitoramento ou resposta a incidentes — atua sob uma jurisdição legal definida. Se um engenheiro de suporte de um país sujeito a uma lei estrangeira de acesso a dados puder acessar seus sistemas, a soberania de sua infraestrutura será tão forte quanto a exposição legal desse engenheiro.
A maioria das organizações, ao realizar essa auditoria pela primeira vez, identifica pelo menos uma rota de suporte que atravessa um limite jurisdicional que não havia sido mapeado.
- Acesso de terceiros e fornecedores. Sua fronteira de soberania se estende a todos os fornecedores, prestadores de serviços gerenciados e plataformas de software que têm acesso ao seu ambiente soberano. Plataformas de ITSM, ferramentas de monitoramento, sistemas SIEM — se esses recursos estiverem fora de seu limite de soberania, mas tiverem acesso a dados ou metadados dentro dele, você terá uma lacuna que os controles de localização de dados não conseguem preencher.
- Tráfego de telemetria, faturamento e plano de controle. Os programas de soberania de dados concentram-se nos dados primários. A soberania operacional exige o mapeamento do destino de todo o restante: a telemetria gerada por sua infraestrutura, os metadados coletados por seus sistemas de monitoramento e os dados de faturamento processados por seu provedor. Esses fluxos podem ultrapassar fronteiras jurisdicionais mesmo quando os dados primários não o fazem — e raramente são mapeados.
Por que esse pilar é mais difícil de certificar – e por que isso é importante
A localização dos dados é relativamente simples de documentar. Você pode indicar uma região de armazenamento, um acordo de residência de dados, uma auditoria de terceiros. A soberania operacional não possui o mesmo rastro documental. Não há certificação que garanta o status jurisdicional de cada engenheiro de suporte que possa acessar seu ambiente.
É exatamente isso que faz com que esse seja tanto o pilar mais difícil de auditar quanto o mais importante de se acertar. Isso também se relaciona diretamente com o desafio da soberania mínima viável: aplicar os controles operacionais corretos às cargas de trabalho certas exige saber quais são esses controles — e é justamente na soberania operacional que esse conhecimento costuma estar ausente.
A dimensão da cadeia de suprimentos
A NIS2, que amplia as obrigações de segurança cibernética nos setores de energia, transporte, saúde e infraestrutura digital, agora exige que as organizações avaliem as práticas de segurança cibernética de seus fornecedores de tecnologia. Para os programas de soberania, isso tem uma implicação direta: a postura de soberania em relação aos fornecedores não é mais apenas uma questão de conveniência nas aquisições. Trata-se de um requisito passível de auditoria.
Isso significa fazer novas perguntas a cada fornecedor dentro de seus limites de soberania: Onde está localizada sua equipe de suporte? Sob qual jurisdição legal eles operam? O que acontece com o acesso que eles têm ao meu ambiente se sua empresa for adquirida por uma entidade de fora da UE?
Como é o que é bom
Um ambiente operacionalmente soberano apresenta quatro características que podem ser comprovadas, e não apenas documentadas:
- Todas as vias de acesso ao ambiente soberano são mapeadas — não apenas o acesso principal, mas também o acesso de fornecedores, o acesso de suporte e o acesso ao sistema de monitoramento.
- A situação jurisdicional de cada pessoa ou sistema com esse acesso é documentada e auditada em intervalos definidos.
- Os fluxos de tráfego de telemetria, metadados e do plano de controle são inventariados e, ou permanecem dentro dos limites da soberania, ou são explicitamente avaliados e aceitos como estando fora do escopo.
- A organização pode responder à questão sobre o acesso em noventa dias – de forma precisa, com provas.
Mais uma coisa: a soberania operacional não se limita ao controle de acesso. Se a recuperação exigir pessoal que atue fora dos limites de sua soberania, a postura de segurança falha no momento em que ocorre um incidente. Esse é o tema do quarto post desta série. O Relatório de Preparação para a Soberania Digital inclui uma pergunta de avaliação direta sobre soberania operacional.
Perguntas frequentes
P: O que é soberania operacional?
R: A soberania operacional diz respeito a quem gerencia e acessa um ambiente, incluindo pessoal, fornecedores e sistemas de suporte. Ela vai além do local onde os dados são armazenados.
P: Por que a soberania operacional costuma ser negligenciada?
R: Muitas organizações concentram-se principalmente na localização e na criptografia dos dados. As vias de acesso, o pessoal de suporte e os fluxos de telemetria muitas vezes não são totalmente auditados.
P: Como os fornecedores afetam a postura de soberania?
R: Fornecedores e prestadores de serviços gerenciados podem ter acesso a sistemas confidenciais ou metadados. Suas jurisdições legais e práticas operacionais podem afetar a conformidade geral com as normas de soberania.
P: Por que a telemetria e os metadados são importantes?
R: Mesmo que os dados primários permaneçam locais, a telemetria e os metadados podem ultrapassar fronteiras jurisdicionais. Esses fluxos podem gerar riscos de conformidade se não forem gerenciados.
P:
O que inclui um modelo sólido de soberania operacional?
R: Isso inclui rotas de acesso mapeadas, controles jurisdicionais documentados, acesso de fornecedores auditado e visibilidade de todos os fluxos de telemetria e metadados.
Alex Zinin é vice-presidente e gerente geral da área de Provedores de Serviços Gerenciados da Commvault.
