A soberania dos dados passa a integrar as decisões de arquitetura cloud
Localização, controlo, cifragem e jurisdição pesam cada vez mais na escolha de onde alojar informação e serviços empresariais.
Resumo da notícia
A cloud continua a crescer, mas a questão já não é apenas que fornecedor oferece mais serviços ou melhor desempenho. Cada vez mais empresas incluem na decisão um fator adicional: a soberania dos dados. Saber onde é armazenada a informação, quem a pode administrar, a que jurisdição está sujeita e que controlos existem sobre as chaves de cifragem está a tornar-se uma parte habitual da conceção de arquiteturas cloud.
Esta mudança é especialmente relevante em setores que lidam com informação sensível, dados pessoais, propriedade intelectual ou sistemas críticos. Em muitos casos, a resposta não passa por abandonar a cloud, mas por construir uma arquitetura que permita escolher com precisão onde reside cada carga de trabalho e como é protegida.
As opções são variadas: regiões cloud específicas, cifragem com chaves controladas pelo cliente, serviços geridos com residência dos dados na Europa, ambientes híbridos ou mesmo clouds privadas para determinados sistemas. O essencial é evitar decisões absolutas. Nem todos os dados precisam do mesmo nível de isolamento e nem todas as aplicações justificam a mesma complexidade.
Surge também uma questão prática: a portabilidade. Conceber aplicações excessivamente dependentes de um único serviço pode aumentar o custo de mudar de fornecedor no futuro. Por isso muitas organizações estão a rever que componentes devem ser portáveis e quais podem tirar partido de serviços nativos sem gerar um risco significativo.
Uma boa estratégia de soberania combina requisitos legais, necessidades do negócio, custos e segurança. O objetivo não é criar uma infraestrutura mais complicada, mas saber o que se está a proteger e porquê.
Antes de escolher uma arquitetura, é útil classificar a informação por níveis e associar a cada nível requisitos de residência, cifragem, acesso e retenção. Evita-se assim aplicar o nível máximo de proteção a tudo, o que é dispendioso, ou tratar dados sensíveis como se fossem informação comum. A classificação permite transformar um debate abstrato sobre soberania em decisões técnicas concretas.
O que aconteceu
A soberania dos dados tornou-se um critério habitual na conceção de arquiteturas cloud. Cada vez mais organizações avaliam, além do desempenho e do preço, onde é armazenada a informação, a que jurisdição fica sujeita e quem controla as chaves de cifragem.
Esta mudança resulta da combinação da regulamentação europeia de proteção de dados, dos requisitos setoriais e de uma maior consciência dos riscos da dependência de um único fornecedor. A resposta habitual não é abandonar a cloud, mas concebê-la com critérios de residência, cifragem e portabilidade definidos desde o início.
O que significa para uma média empresa
Para uma empresa de média dimensão em Espanha ou na Catalunha, isto traduz-se em perguntas muito concretas antes de contratar ou renovar um serviço cloud: em que região são processados os dados, se existe acesso a partir de fora da UE, quem gere as chaves de cifragem e o que acontece se pretender mudar de fornecedor.
Nem todos os dados exigem o mesmo nível de isolamento. Classificar a informação por sensibilidade permite aplicar controlos proporcionais em vez de uma abordagem única, mais dispendiosa e muitas vezes desnecessária para a maioria das cargas de trabalho.
O que convém rever
Pontos de partida práticos para rever a arquitetura cloud atual:
- Em que região geográfica são armazenados e processados os dados pessoais e críticos.
- Quem controla as chaves de encriptação e se o fornecedor pode aceder aos dados em claro.
- Que componentes das aplicações dependem de serviços exclusivos de um fornecedor e quanto custaria migrá-los.
- Se existe uma classificação da informação por nível de sensibilidade com requisitos de residência e retenção associados.
Perguntas frequentes
- ¿A soberania dos dados obriga a deixar de utilizar a cloud pública?
- Não. Na maioria dos casos resolve-se escolhendo a região, a encriptação e os controlos adequados no mesmo fornecedor, sem abdicar das suas vantagens.
- ¿Afeta apenas grandes empresas?
- Não. Qualquer empresa que trate dados pessoais, propriedade intelectual ou informações de clientes deve saber onde são armazenados e quem lhes pode aceder.
- ¿Por onde começar?
- Pela classificação da informação em níveis de sensibilidade e pela revisão, para cada nível, de onde é guardada e de quem tem acesso.
Conceitos mencionados neste artigo: Cloud · Residência dos dados · Retenção · Serviços geridos
Na Seintec podemos ajudar a sua empresa a avaliar as suas cargas de trabalho, classificar os seus dados e definir uma arquitetura cloud que combine flexibilidade, controlo e conformidade. Contacte-nos e um especialista irá ajudar a traduzir estas decisões num plano realista para o seu negócio.
Contactar a SeintecServiço relacionado
Serviços Cloud
Serviços na nuvem para expandir a sua empresa.