Você não tem uma estratégia de soberania. Você tem uma política de residência.

Pontos principais

• A localização dos dados refere-se ao local onde os dados são armazenados, mas a soberania digital também exige controle sobre o acesso, as operações e a compreensão adequada das implicações jurisdicionais.
• A soberania operacional costuma ser a parte mais frágil e menos auditada da maioria dos programas de soberania.
• Uma postura de soberania completa assenta em quatro pilares: localização dos dados, soberania tecnológica, soberania operacional e soberania jurisdicional.
• A soberania não é uma questão binária; as organizações devem definir uma postura alinhada às suas obrigações regulatórias e operacionais.

Aqui está uma questão que vale a pena refletir: quando sua organização tomou sua decisão sobre soberania, o que exatamente ela decidiu? Para a maioria, a resposta é alguma versão da mesma coisa. Escolher uma região. Transferir as cargas de trabalho. Escolher um provedor de nuvem com data centers no próprio país. Marcar a caixa. A questão de onde os dados ficam foi respondida, e a discussão sobre soberania foi considerada encerrada.

Mas não tinha acabado. Mal tinha começado. A residência dos dados responde a uma pergunta: onde? A soberania digital levanta mais três: quem, como e em que condições? A confusão entre residência e soberania é compreensível. As hiperescaladoras fizeram com que a escolha da região parecesse uma decisão de soberania. As listas de verificação de conformidade perguntam onde os dados estão armazenados. As orientações regulatórias, pelo menos em suas versões iniciais, focavam fortemente na geografia.

A escolha de uma nuvem soberana é algo concreto — é importante, tem implicações operacionais e é um primeiro passo necessário. Mas é apenas um primeiro passo. E a maioria das organizações parou por aí.

O que a “Residência” não responde

Pense da seguinte maneira: escolher uma região de nuvem soberana é como comprar um cofre. Isso indica onde seus objetos de valor estão armazenados. Não diz nada sobre quem tem uma cópia da combinação, quem fabricou o cofre, quais leis regem o fabricante, nem se você pode abri-lo caso seja obrigado a isso.

A escolha da região responde a uma pergunta. Restam ainda três outras totalmente em aberto — e são essas as perguntas que os órgãos reguladores, as comissões de compras e os auditores estão fazendo agora com cada vez mais precisão:

• Quem pode operar seu ambiente e de onde? Se a equipe de suporte do seu provedor de nuvem está sujeita a jurisdição estrangeira é uma questão de soberania que a residência de dados não consegue resolver. Uma janela de manutenção de rotina realizada por um engenheiro de suporte em uma jurisdição legal diferente é uma via de acesso que sua política de residência de dados não abrange. Esse é o domínio da Soberania Operacional — o pilar mais difícil de auditar e o mais comumente negligenciado.
• Sob qual regime jurídico seus dados podem ser acessados? Um provedor de tecnologia estrangeiro que opera infraestrutura no país não fica automaticamente isento da aplicação da legislação de sua jurisdição de origem. O alcance extraterritorial dos regimes jurídicos estrangeiros é um risco que a localização geográfica, por si só, não pode eliminar.
• Você consegue recuperar seus dados se algo der errado? A maioria dos programas de soberania é construída em torno do controle de acesso. Muito poucos abordam a Recovery — se seus dados podem ser restaurados de forma limpa, dentro de tolerâncias definidas, por pessoal que opera dentro dos limites de sua soberania. Essa lacuna é onde as estratégias de soberania mais comumente falham em condições reais.

A estrutura que preenche essa lacuna

Uma postura completa de soberania abrange quatro pilares interdependentes. O Relatório sobre a Preparação para a Soberania Digital — disponível em readiverse.com — aborda cada um deles em detalhes. Resumidamente:

• A localização dos dados refere-se aos locais por onde os dados e os metadados realmente trafegam.
• A soberania tecnológica abrange o controle sobre a criptografia, a custódia das chaves e a portabilidade da arquitetura.
• A soberania operacional abrange quem controla o ambiente e de onde.
• A soberania jurisdicional estabelece o marco jurídico que rege e afeta todos os aspectos mencionados acima.

Nenhum pilar, por si só, é suficiente. Uma postura sólida em relação à localização dos dados, combinada com controles operacionais fracos, não é soberania — é uma situação de residência com riscos não avaliados.

O que torna essa estrutura útil não é sua complexidade. São as perguntas que ela suscita. Quando uma organização mapeia sua situação atual em relação aos quatro pilares pela primeira vez, quase sempre descobre lacunas das quais não tinha conhecimento — não porque faltem controles, mas porque essas perguntas nunca foram feitas.

A soberania é uma escala variável

Mais uma coisa que vale a pena mencionar: a soberania não é um estado binário. Não há certificação que a conceda nem um único modelo de implantação que a garanta. É uma postura — um conjunto de decisões deliberadas e auditáveis. E o nível adequado dessa postura varia de acordo com a organização, a carga de trabalho e o que você realmente deve aos reguladores e clientes.

Essa calibração é o que define a soberania mínima viável — tema do segundo post desta série. A confiança regulatória é construída muito antes da própria auditoria – por meio de requisitos claramente definidos, e não de suposições vinculadas à localização geográfica. Baixe o Relatório de Preparação para a Soberania Digital para conhecer a estrutura de quatro pilares e uma ferramenta prática de autoavaliação.

Perguntas frequentes

P: Qual é a diferença entre residência de dados e soberania digital?

R: A residência de dados concentra-se no local onde os dados são fisicamente armazenados. A soberania digital vai além, abordando quem pode acessar os dados, como os sistemas são operados e a exposição a quais jurisdições pode gerar risco jurídico.

P: Por que a escolha de uma região não é suficiente para garantir a soberania?

R: A escolha de uma nuvem leva em conta apenas a localização geográfica. Ela não resolve questões relacionadas ao acesso operacional, à exposição a riscos jurídicos ou aos recursos de recuperação.

P: Quais são os quatro pilares da soberania digital?

R: Os quatro pilares são: localização dos dados, soberania tecnológica, soberania operacional e soberania jurisdicional. Juntos, eles formam, em nossa opinião, uma estrutura mais completa para avaliar o grau de preparação soberana.

P: Por que a soberania operacional é difícil de gerenciar?

R: A soberania operacional envolve monitorar quem pode acessar os sistemas, de onde essas pessoas operam e sob qual regime jurídico. Esses controles são mais difíceis de auditar do que simples requisitos de localização de dados.

P: A soberania digital é uma certificação fixa?

R: Não. A soberania é uma postura contínua baseada em decisões deliberadas e auditáveis, que variam de acordo com a organização, a carga de trabalho e o ambiente regulatório.

Ruben Renders é diretor de soluções, MSP, na Commvault.