O que é Soberania de Dados?

Soberania de dados é o princípio de que os dados estão sujeitos às leis e estruturas de governança do país ou jurisdição onde são coletados ou armazenados. Isso pode influenciar a capacidade de um governo de implementar autoridade legal sobre dados que residem fisicamente dentro de suas fronteiras, independentemente de onde a organização armazena os dados primariamente.

Isso é importante porque o conjunto de regras que rege os seus dados não depende de onde a sua empresa está localizada. É determinado por onde os dados são armazenados. Por exemplo, uma empresa dos EUA que armazena registos de clientes em servidores baseados em Frankfurt está sujeita à legislação da UE para esses registos, bem como à legislação americana.

Estes três termos estão interligados, mas não são idênticos. A conformidade pode ser afetada por variações na sua aplicação.

•     Soberania de dados é um conceito legal. O direito de uma nação de regular dados dentro do seu território. Aborda “Quem tem jurisdição?”
•     Residência de dados é um requisito legal ou contratual que estipula onde os dados devem estar localizados geograficamente. Aborda “Onde os dados residem?”
•     A localização de dados possui a forma mais rigorosa. Um requisito legal que exige que os dados sejam armazenados e processados dentro de um país, com restrições de transferência transfronteiriça. Isso aborda a questão “Os dados podem ser movidos para fora do país?”

Uma nuvem soberana é um serviço de nuvem projetado com base nas necessidades de soberania de dados de um país. Para ter a certeza de que governos, tribunais e corporações estrangeiras não podem obter dados sem a permissão do país anfitrião, as nuvens soberanas são operadas por entidades locais (ou através de parcerias rigidamente controladas), ao contrário das nuvens públicas padrão operadas por hiperescaladores globais.

•     Gerido e de Propriedade Local: Operado por uma empresa local ou uma joint venture onde os locais detêm a maioria.
•     Isolamento Jurisdicional: Regulamentações nacionais ou regionais onde os dados residem podem influenciar o processo de transferências de dados transfronteiriças.
•     Adequação Regulatória: São feitos de acordo com as leis nacionais, como GDPR, SecNumCloud da França, ou o padrão C5 da Alemanha.

Os riscos de negócio envolvem:

A soberania de dados não se trata apenas de cumprir os requisitos legais; também implica ter os sistemas técnicos apropriados. Para realmente fazer valer a soberania, várias tecnologias devem ser combinadas:

1.   Plataformas de nuvem soberanas referem-se a infraestruturas locais operadas dentro de limites legais e geográficos definidos, evitando assim a dependência de sistemas controlados por potências estrangeiras.
2.   Chaves de Criptografia Gerenciadas pelo Cliente (CMEK) fornecem à organização controle sobre as chaves de criptografia, podendo restringir a capacidade do provedor de nuvem de descriptografar dados, mesmo em resposta a pedidos legais.
3.   Bring Your Own Key (BYOK) / Hold Your Own Key (HYOK) são dois níveis diferentes de permitir que o cliente mantenha a chave. A nuvem tipicamente facilita as operações criptográficas, mas geralmente não descriptografa os dados.
4.   Controles de residência de dados são configurações que limitam a replicação ou o backup de dados a regiões específicas.
5.   Computação confidencial oferece suporte de hardware (por exemplo, através de Intel SGX ou AMD SEV) para proteger dados enquanto estão sendo processados, além de dados em repouso ou em trânsito.
6.   A arquitetura de confiança zero baseia-se na verificação constante da identidade e no princípio do menor privilégio para acesso.

A aplicação prática da soberania de dados pode envolver considerações complexas. As preocupações principais são categorizadas em três áreas-chave:

1.   Custo. O custo associado à construção soberana infraestrutura de nuvem é distinto do de uma padrão nuvem pública.
2.   Gestão. Organizações que operam em múltiplas jurisdições têm que seguir diferentes conjuntos de regras em cada país.
3.   Leis. Sistemas jurídicos soberanos podem acomodar interpretações divergentes, e soluções técnicas podem não constituir uma resposta universalmente aplicável.

Outras áreas de consideração incluem:

•     Em contraste com os hiperescaladores globais, a quantidade de provedores menores em conformidade com a soberania pode estar associada às suas ofertas de recursos.
•     Diferenças no desenvolvimento de padrões entre países podem influenciar a criação de uma postura de conformidade global consistente.