Cloud soberana: como escolher o fornecedor sem ficar preso a ele?

O que abrange, de facto, a cloud soberana?

O termo tornou-se comum mas não corresponde a um rótulo único. Para uma empresa, a soberania joga-se em três planos: onde os dados estão armazenados, quem os explora e que lei se aplica se uma autoridade estrangeira pedir acesso.

Um alojamento em território europeu não protege, por si só, contra leis extraterritoriais. Uma cloud soberana avalia-se pela sua jurisdição tanto quanto pela localização dos seus servidores.

É esse o objetivo do referencial SecNumCloud da ANSSI, a agência nacional francesa de cibersegurança. Qualifica ofertas cloud segundo requisitos de segurança mas também critérios jurídicos: sede social na União Europeia, autonomia de exploração e localização dos dados em território europeu.

SecNumCloud: para que dados?

Nem todos os seus dados precisam do mesmo nível de proteção. Colocá-los todos numa cloud qualificada seria dispendioso; deixá-los todos num hiperescalador não europeu pode ser arriscado.

O primeiro passo consiste, portanto, em classificar os dados segundo a sua sensibilidade. Dados de saúde, informação estratégica, dados ligados à defesa ou ao setor público… estas categorias justificam muitas vezes um alojamento qualificado. Outros tratamentos, menos sensíveis, podem ficar em serviços mais convencionais.

Segundo as perguntas frequentes da ANSSI sobre o SecNumCloud, a qualificação é válida por 3 anos, com auditorias de acompanhamento anuais. Abrange os modelos IaaS, PaaS, CaaS e SaaS: infraestrutura, plataforma, contentores ou software disponibilizados «como serviço».

Esta classificação tem outra vantagem: obriga a saber onde estão, de facto, os seus dados. É muitas vezes a parte mais longa do trabalho e a que traz mais clareza.

O nível certo de soberania depende dos dados e não de uma escolha global para todo o sistema de informação.

Como evitar ficar preso a um fornecedor?

O verdadeiro risco nem sempre é o fornecedor escolhido mas a impossibilidade de o mudar. Formatos proprietários, serviços geridos difíceis de reproduzir noutro lado, custos de saída dos dados: a dependência instala-se muitas vezes sem que ninguém a tenha decidido.

A reversibilidade prepara-se logo no contrato. Define como recuperar os seus dados, em que formato e em que prazos. Fixa também o apoio que o fornecedor deve prestar durante a transição.

O enquadramento europeu vai no mesmo sentido. O Regulamento Europeu dos Dados (Data Act) obriga os fornecedores a facilitar a mudança de prestador cloud e prevê a eliminação dos encargos de mudança a partir de 12 de janeiro de 2027.

Um contrato cloud também se negoceia a pensar no dia em que quiser sair.

A reversibilidade não se limita ao contrato. Tem de ser testada. Uma migração de ensaio de uma aplicação não crítica permite verificar se os dados saem num formato utilizável e se as equipas sabem reconstruir o ambiente noutro lado. Mais vale descobri-lo num exercício do que em plena crise.

É preciso escolher entre cloud soberana e hiperescalador?

Não necessariamente. Muitas empresas combinam várias clouds: um ambiente qualificado para os dados sensíveis e serviços mais amplos para o resto. Esta abordagem multicloud exige uma arquitetura pensada desde o início.

Tem interesse para além da soberania: repartir as cargas por vários ambientes limita o impacto de uma falha ou de uma mudança das condições comerciais de um fornecedor. É também um trunfo nas negociações, desde que consiga deslocar parte dos seus tratamentos.

Na prática, isto significa componentes técnicos portáveis (os contentores, por exemplo) e uma gestão de identidades comum. É também necessária uma supervisão que abranja todos os ambientes. Sem isso, o multicloud acrescenta complexidade em vez de liberdade.

O essencial não é o número de fornecedores mas a sua capacidade de manter o controlo: saber onde estão os seus dados, quem lhes acede e como os deslocar.

Por onde começar?

Três perguntas bastam para lançar a reflexão. Que dados são mesmo sensíveis? Que serviços seriam difíceis de migrar amanhã? O que dizem os seus contratos atuais sobre reversibilidade?

As respostas exigem cruzar vários olhares: o da direção de sistemas de informação, o das áreas de negócio que conhecem o valor dos seus dados e o das compras ou do jurídico, que gerem os contratos.

Este primeiro levantamento orienta os passos seguintes: manter alguns usos, deslocar outros ou renegociar um contrato. Liga-se também a outras obrigações, como a diretiva NIS2, que exige às organizações abrangidas que controlem os riscos ligados aos seus fornecedores.

Se leu o nosso artigo sobre soberania digital e continuidade de negócio, este é o passo seguinte: passar do princípio à escolha concreta do fornecedor. Sobre a vertente regulamentar, consulte também o nosso artigo sobre a NIS2.

A Lùkla acompanha-o…

Com a nossa oferta Cloud & Cyber, ajudamos a classificar os seus dados, a escolher os ambientes adequados e a preparar a reversibilidade. Co-construímos consigo uma arquitetura que o deixa livre nas suas escolhas.

Definido o objetivo, as nossas equipas Managed Services asseguram a exploração e a supervisão dos seus ambientes, do enquadramento à operação. O seu projeto começa pelos seus desafios: o fornecedor vem depois.