Minimum Viable Sovereignty: Why the Right Posture Isn’t the Same for Every Organization

Pontos principais

• A soberania mínima viável (MVS) concentra-se em aplicar o nível adequado de controle às cargas de trabalho certas.
• Tratar todas as cargas de trabalho da mesma forma pode levar a complexidade e custos desnecessários ou a proteção insuficiente.
• As organizações geralmente se enquadram em três perfis de soberania: soberania total, empresa regulamentada e multicloud híbrido.
• A governança consistente em ambientes mistos é um dos maiores desafios operacionais.

Existe uma versão do debate sobre soberania digital que leva as organizações a uma situação cara, operacionalmente onerosa e — se forem sinceras — que vai além do que suas obrigações reais exigem. A soberania máxima parece responsável. Na prática, porém, costuma ser um equívoco.

Há uma versão igualmente comum que leva a algo perigosamente superficial — controles que atendem a uma lista de verificação, mas não resistiriam a uma auditoria, a um incidente ou a um órgão regulador que deixou de aceitar a intenção documentada como prova de controle comprovado.

As organizações que entendem a soberania corretamente tendem a adotar uma abordagem mais rigorosa e prática do que qualquer um dos extremos: elas se perguntam o que realmente devem, a quem e para quê. Em seguida, desenvolvem suas estruturas de acordo com esse padrão — nem mais, nem menos.

Essa é a disciplina do MVS, apresentada no Relatório de Readiness para a Soberania Digital e explicado em detalhes aqui.

O MVS não é um atalho. É o reconhecimento de que o objetivo é o nível adequado de controle, aplicado de forma consistente em todas as cargas de trabalho que o exijam.

Nem todas as cargas de trabalho são iguais

O ponto de partida para uma abordagem MVS é a classificação da carga de trabalho — e a maioria das organizações ignora completamente essa etapa.

Um sistema de negociação que processa dados financeiros regulamentados tem obrigações de soberania fundamentalmente diferentes das de uma ferramenta interna de colaboração de RH. Um banco de dados que armazena dados pessoais de cidadãos da UE está sujeito a um regime jurídico e regulatório diferente daquele de um ambiente de desenvolvimento que opera com dados de teste anônimos.

Tratar todos esses casos de maneira idêntica — seja aplicando controles máximos de soberania de forma generalizada, seja presumindo que um único modelo de implantação abrange tudo — é o que faz com que as organizações acabem com soluções excessivamente complexas ou insuficientemente protegidas.

A pergunta certa a se fazer antes de qualquer decisão de implantação é: o que essa carga de trabalho exige em cada um dos quatro pilares de soberania? O Relatório de Readiness inclui uma autoavaliação estruturada exatamente em torno dessa pergunta.

Os três perfis – e o que eles realmente precisam

As empresas regulamentadas se enquadram em três perfis reconhecíveis, cada um com diferentes motivadores principais e prioridades de investimento.

• O Verdadeiro Soberano. Órgãos governamentais, empresas contratadas pela defesa e operadores de infraestrutura nacional crítica. Para essas organizações, a soberania não é um requisito de conformidade — é um imperativo operacional. O controle máximo sobre todas as dimensões da pilha tecnológica é frequentemente exigido por lei, e as compensações em termos de custo são aceitas porque a alternativa não é viável.
• A Organização Regulamentada. Empresas de serviços financeiros, organizações da área da saúde, empresas do setor de energia. Essas organizações enfrentam requisitos obrigatórios decorrentes da DORA, da NIS2, do GDPR e de estruturas regulatórias específicas de cada setor. As obrigações de conformidade também podem estar alinhadas a esquemas de certificação da UE — incluindo EUCS, EUCC, BSI C5 e SecNumCloud —, dependendo do setor e do contexto de implantação.

Em certas áreas, isso é inegociável – particularmente no que diz respeito à residência de dados, controles de acesso operacional e Recovery dentro dos limites jurisdicionais. Mas nem toda carga de trabalho acarreta a mesma obrigação.

• A organização híbrida em multi-cloud. Organizações que já possuem investimentos em hiperescaladores e enfrentam pressões crescentes em relação à soberania por parte de clientes, órgãos reguladores ou requisitos de aquisição. O desafio delas não é a migração em massa — trata-se de incorporar controles de soberania a um ambiente misto e manter uma governança consistente em todo o ambiente.

O custo de um ajuste incorreto

O excesso de engenharia na soberania gera seus próprios riscos operacionais. Organizações que aplicam controles soberanos máximos a cargas de trabalho que não os exigem absorvem custos e complexidade que não servem a nenhum propósito regulatório ou comercial.

A subengenharia é o modo de falha mais comum e também o mais perigoso. Normalmente, ela só se manifesta quando chega a auditoria – ou, o que é mais grave, quando ocorre um incidente e a Recovery se torna um problema com restrições legais. (Esse modo de falha é o tema daquarta postagem desta série.)

Um ponto de partida prático

Uma abordagem MVS segue três etapas:

1. Classifique as cargas de trabalho de acordo com suas reais necessidades de soberania em cada pilar — não comece pelos modelos de implantação.
2. Mapeie cada classe de carga de trabalho para o nível de implantação que atenda a esses requisitos, em todo o espectro, desde regiões de hiperescaladores públicos até nuvem pública soberana e ambientes gerenciados no local.
3. Gerencie o ambiente misto resultante de forma consistente – controles, evidências de auditoria e recursos de Recovery devem ser comprováveis em todo o ambiente, não apenas na camada mais soberana.

A terceira etapa é onde a maioria dos programas enfrenta dificuldades. Manter controles de soberania consistentes em um ambiente misto é um desafio de governança operacional – e, especificamente, do domínio da Soberania Operacional –,tema da terceira postagem desta série, o pilar que a maioria das estratégias trata como algo secundário.

Use a autoavaliação doRelatório de Readiness para a Soberania Digitalpara identificar sua posição atual em todos os quatro pilares.

Perguntas frequentes

P: O que é soberania mínima viável (MVS)?

R: O MVS é a prática de aplicar controles de soberania com base nas necessidades reais da empresa e nas exigências regulatórias. Seu objetivo é ajudar a evitar tanto o excesso de complexidade quanto a proteção insuficiente.

P: Por que a classificação da carga de trabalho é importante?

R: Cargas de trabalho diferentes acarretam obrigações regulatórias e operacionais distintas. A classificação das cargas de trabalho ajuda as organizações a aplicar o nível adequado de controles de soberania.

P: Quais são os três perfis comuns de soberania?

R: Os três perfis são: organizações verdadeiramente soberanas, organizações regulamentadas e organizações híbridas em multicloud. Cada um deles apresenta requisitos operacionais e de conformidade distintos.

P: Quais são os riscos decorrentes de uma abordagem excessivamente técnica em relação à soberania?

R: Controles excessivos podem aumentar a complexidade operacional e os custos sem gerar conformidade significativa nem valor comercial.

P: Por que os ambientes mistos geram desafios de governança?

R: As organizações costumam operar em diversos modelos de nuvem e infraestrutura. É difícil manter controles, evidências de auditoria e padrões de Recovery consistentes em todos os ambientes.

Ruben Renders é Diretor de Soluções, MSP, na Commvault.