You Don’t Have a Sovereignty Strategy. You Have a Residency Policy.

Pontos principais

• A residência de dados diz respeito ao local onde os dados são armazenados, mas a soberania digital também exige controle sobre o acesso, as operações e a compreensão adequada das implicações jurisdicionais.
• A soberania operacional costuma ser a parte mais frágil e menos auditada da maioria dos programas de soberania.
• Uma postura de soberania completa assenta em quatro pilares: localização dos dados, soberania tecnológica, soberania operacional e soberania jurisdicional.
• A soberania não é uma questão binária; as organizações devem definir uma postura alinhada às suas obrigações regulatórias e operacionais.

Aqui está uma questão que vale a pena refletir: quando sua organização tomou sua decisão sobre soberania, o que exatamente ela decidiu? Para a maioria, a resposta é alguma versão da mesma coisa. Escolher uma região. Transferir as cargas de trabalho. Escolher um provedor de nuvem com data centers no próprio país. Marcar a caixa. A questão de onde os dados ficam foi respondida, e a discussão sobre soberania foi considerada encerrada.

Mas não tinha acabado. Mal tinha começado. A residência de dados responde a uma pergunta: onde? A soberania digital levanta mais três: quem, como e em que condições? A confusão entre residência e soberania é compreensível. As hiperescaladoras fizeram com que a seleção da região parecesse uma decisão de soberania. As listas de verificação de conformidade perguntam onde os dados estão armazenados. As orientações regulatórias, pelo menos em suas versões iniciais, focavam fortemente na geografia.

A escolha de uma cloud soberana é algo concreto — é importante, tem implicações operacionais e é um primeiro passo necessário. Mas é apenas um primeiro passo. E a maioria das organizações parou por aí.

O que “Residency” não responde

Pense da seguinte maneira: escolher uma região de nuvem soberana é como comprar um cofre. Isso indica onde seus objetos de valor estão armazenados. Não diz nada sobre quem tem uma cópia da combinação, quem fabricou o cofre, quais leis regem o fabricante, nem se você pode abri-lo caso seja obrigado a isso.

A escolha da região responde a uma pergunta. Restam ainda três outras totalmente em aberto — e são essas as perguntas que os órgãos reguladores, as comissões de compras e os auditores estão fazendo agora com cada vez mais precisão:

• Quem pode operar seu ambiente e de onde? Se a equipe de suporte do seu provedor de nuvem está sujeita a jurisdição estrangeira é uma questão de soberania que a residência de dados não consegue resolver. Uma janela de manutenção de rotina realizada por um engenheiro de suporte em uma jurisdição legal diferente é uma via de acesso que sua política de residência não abrange. Esse é o domínio da Soberania Operacional – o pilar mais difícil de auditar e o mais comumente negligenciado.
• Sob qual regime jurídico seus dados podem ser acessados? Um provedor de tecnologia estrangeiro que opera infraestrutura no país não fica automaticamente isento da aplicação da legislação de sua jurisdição de origem. O alcance extraterritorial dos regimes jurídicos estrangeiros é um risco que a localização geográfica por si só não pode eliminar.
• Você consegue recuperar seus dados se algo der errado? A maioria dos programas de soberania é construída em torno do controle de acesso. Muito poucos abordam a Recovery – se seus dados podem ser restaurados de forma limpa, dentro de tolerâncias definidas, por pessoal que opera dentro dos limites da sua soberania. Essa lacuna é onde as estratégias de soberania mais comumente falham em condições reais.

A estrutura que preenche essa lacuna

Uma postura de soberania plena abrange quatro pilares interdependentes. O Relatório sobre a Preparaçãoparaa Soberania Digital – disponível em readiverse.com – aborda cada um deles em detalhes. Resumidamente:

• A localização dos dados refere-se aos locais por onde os dados e os metadados realmente circulam.
• A soberania tecnológica abrange o controle sobre a criptografia, a custódia das chaves e a portabilidade da arquitetura.
• A soberania operacional abrange quem controla o ambiente e de onde.
• A soberania jurisdicional estabelece o marco jurídico que rege e afeta todos os aspectos acima mencionados.

Nenhum pilar, por si só, é suficiente. Uma postura sólida em relação à localidade dos dados, combinada com controles operacionais fracos, não é soberania — é residência com riscos não avaliados.

O que torna essa estrutura útil não é sua complexidade. São as perguntas que ela suscita. Quando uma organização mapeia sua situação atual em relação aos quatro pilares pela primeira vez, quase sempre descobre lacunas das quais não tinha conhecimento — não porque faltem controles, mas porque essas perguntas nunca foram feitas.

A soberania é uma escala variável

Mais uma coisa que vale a pena mencionar: a soberania não é um estado binário. Não há certificação que a conceda nem um único modelo de implantação que a garanta. É uma postura – um conjunto de decisões deliberadas e auditáveis. E o nível adequado dessa postura varia de acordo com a organização, a carga de trabalho e o que você realmente deve aos reguladores e clientes.

Essa calibração é o que define a soberania mínima viável — tema do segundo post desta série. A confiança regulatória é construída muito antes da própria auditoria – por meio de requisitos claramente definidos, e não de suposições vinculadas à localização geográfica. Baixe o Relatório de Preparaçãoparaa Soberania Digitalparaconhecer a estrutura de quatro pilares e uma ferramenta prática de autoavaliação.

Perguntas frequentes

P: Qual é a diferença entre residência de dados e soberania digital?

R: A residência de dados se concentra no local onde os dados são fisicamente armazenados. A soberania digital vai além, abordando quem pode acessar os dados, como os sistemas são operados e a exposição a quais jurisdições pode gerar risco jurídico.

P: Por que a seleção de uma região não é suficienteparagarantir a soberania?

R: A escolha de uma cloud leva em conta apenas a localização geográfica. Ela não resolve questões relacionadas ao acesso operacional, à exposição a riscos jurídicos ou aos recursos de recuperação.

P: Quais são os quatro pilares da soberania digital?

R: Os quatro pilares são: localidade dos dados, soberania tecnológica, soberania operacional e soberania jurisdicional. Juntos, eles formam, em nossa opinião, uma estrutura mais completaparaavaliar o grau de preparação soberana.

P: Por que a soberania operacional é difícil de gerenciar?

R: A soberania operacional envolve monitorar quem pode acessar os sistemas, de onde essas pessoas operam e sob qual regime jurídico. Esses controles são mais difíceis de auditar do que simples requisitos de localização de dados.

P: A soberania digital é uma certificação fixa?

R: Não. A soberania é uma postura contínua baseada em decisões deliberadas e auditáveis, que variam de acordo com a organização, a carga de trabalho e o ambiente regulatório.

Ruben Renders é diretor de soluções, MSP, na Commvault.