O que é soberania de dados?

A soberania de dados refere-se ao fato de os dados estarem sujeitos às leis e regulamentos de sua localização física. Isso pode significar dados em armazenamento, processamento ou transmissão, independentemente da localização física de uma organização.

Todos os dados armazenados, processados e transmitidos dentro de um país, estado, região ou jurisdição estão sujeitos às leis e regulamentos relevantes que envolvem o uso de dados e as proteções de privacidade. As leis de soberania de dados são criadas para proteger e governar indivíduos, organizações e governos. Os regulamentos de proteção de dados incluem regras sobre o tratamento de dados pessoais de saúde, camadas de segurança de dados para informações do setor público e o estabelecimento de armazenamento local de dados para empresas estrangeiras.

A residência de dados é onde os dados estão fisicamente localizados. A soberania de dados é como as leis de um local se aplicam aos dados que existem fisicamente nesse local. Tanto a soberania quanto a residência de dados são especialmente importantes na computação em nuvem e nos serviços em nuvem, em que é possível armazenar dados em qualquer lugar do mundo. 

Todos os serviços, instâncias e armazenamento em nuvem são executados em máquinas físicas vinculadas a uma localização geográfica específica. Devido a esses diferentes ambientes regulatórios, as organizações devem considerar de forma crítica onde suas instâncias de nuvem residem e onde os serviços em nuvem são executados. A soberania de dados desses armazenamentos e instâncias é uma decisão muito importante.

A soberania de dados normalmente se enquadra na função de governança, risco e conformidade do programa jurídico e de segurança cibernética de uma organização.

O Compromisso de soberania digital da AWS é nosso compromisso de oferecer aos clientes da AWS o conjunto mais avançado de controles e recursos de soberania disponíveis na nuvem. Oferecemos a flexibilidade de escolher como e onde você deseja executar suas workloads para a localização de dados.

O Compromisso de soberania digital da AWS descreve quatro áreas principais em que a AWS está investindo em recursos para ajudar os clientes a atender aos crescentes requisitos de soberania digital.

Controle sobre onde seus dados residem

As organizações devem sempre poder escolher onde seus dados residem. A AWS sempre ofereceu aos clientes a escolha de onde seus dados residem, com regiões e zonas de disponibilidade da AWS na América do Norte, América do Sul, Europa, Oriente Médio, África, Ásia-Pacífico, Austrália e Nova Zelândia.

Quando uma região da AWS não está próxima o suficiente para atender às suas necessidades de residência de dados, a AWS oferece várias ofertas de infraestrutura distribuída que oferecem uma experiência de nuvem consistente dentro de um limite geográfico. Com as regiões da AWS, as zonas locais da AWS, as zonas locais dedicadas da AWS, o AWS Outposts e o AWS Wavelength, você tem a capacidade de executar suas workloads onde quer que elas precisem residir.

Controle sobre o acesso aos dados

As organizações devem ter proteções implementadas para impedir o acesso não autorizado aos dados. Por exemplo, o AWS Nitro System foi projetado para impor restrições para que ninguém, incluindo qualquer pessoa na AWS, possa acessar as workloads dos clientes no EC2. As permissões e restrições de acesso devem ser criadas para garantir o mais alto nível de proteção de dados, dependendo do tipo de dados.

Capacidades de criptografia de dados

As organizações devem ser capazes de criptografar dados em trânsito, em repouso e na memória. Os dados organizacionais devem usar criptografia por padrão, com a opção de criptografia mais forte, se desejado. Todos os serviços da AWS já são compatíveis com criptografia, e a maioria também é compatível com criptografia com chaves gerenciadas pelo cliente, inacessíveis para a AWS.

Resiliência na nuvem

As organizações devem ser capazes de alcançar a soberania digital sem o risco de perda de dados. O controle sobre seus dados e a alta disponibilidade são considerações essenciais para a soberania de dados, exigindo que as organizações reduzam proativamente o risco de perda de dados. Isso permite que você mantenha suas operações mesmo no caso de eventos inesperados. Atualmente, a AWS oferece a maior disponibilidade de rede do que qualquer outro provedor de nuvem. Cada região da AWS é composta por várias zonas de disponibilidade (AZs), que são partições de infraestrutura totalmente isoladas. Para isolar melhor os problemas e obter alta disponibilidade, os clientes podem particionar as aplicações em várias zonas de disponibilidade na mesma região da AWS.

Compreender e incorporar os requisitos de soberania de dados é crucial para manter a conformidade. Confira algumas considerações ao iniciar sua jornada pela soberania:

Planeje a conformidade com a localização de dados

A conformidade com a lei começa com a compreensão dos regulamentos que regem as operações da sua organização. Essas leis e regulamentações de dados podem abranger as áreas geográficas de operação da sua empresa, os tipos de dados que você armazena e processa (por exemplo, saúde, finanças), os clientes e os próprios dados de seus funcionários e por quanto tempo os logs de coleta de dados são mantidos.

Pesquise e comunique-se com os órgãos reguladores e os órgãos de aplicação da lei relevantes para garantir que você esteja criando sistemas compatíveis e esteja ciente do processo no caso de denunciar uma não conformidade.

Nem toda empresa tem um especialista em soberania de dados disponível. A parceria com um consultor de conformidade pode ser vantajosa para que você acompanhe de perto e de forma constante a evolução das regulamentações. 

Implemente controles de acesso refinado

A residência de dados poderá ser comprometida se apenas um usuário copiar os dados para outro local físico. Para evitar essa situação, comece com as práticas recomendadas básicas de gerenciamento de identidade e acesso e implemente controles rígidos de acesso privilegiado para administradores elevados. 

Para ajudar você a automatizar e monitorar seus locais de armazenamento, criptografar seus dados e aplicar barreiras de proteção de residência de dados, você pode usar o AWS Control Tower. A biblioteca de controles do AWS Control Tower contém um grupo de controles de soberania digital. Esses controles podem impor configurações de soberania de dados, impedir ações, detectar alterações de recursos, impor restrições de acesso granulares, ativar a criptografia padrão e fornecer recursos de resiliência.

Crie resiliência para sistemas de missão crítica

A continuidade dos negócios em um desastre depende de sistemas confiáveis de backup e failover. Para cumprir os regulamentos de soberania de dados, esses sistemas devem residir na mesma região para manter a mesma soberania de dados de suas operações comuns.

Aumentar a resiliência de seus sistemas essenciais significa distribuir seus dados em várias zonas de disponibilidade para reforçar a localização dos dados.

Para clientes que estão executando workloads on-premises, ou para casos de uso remoto, você pode usar os serviços da AWS que fornecem recursos específicos para suporte contínuo durante interrupções na rede e computação e armazenamento remotos. Esses serviços incluem o AWS Outposts e o Amazon EKS Anywhere.

Encontre um parceiro de nuvem que ofereça transparência e garantias

Além de a escolha da localização de seus dados ser uma grande decisão, as organizações também devem poder confiar que os sistemas de seus provedores de serviços em nuvem realmente cumprem as regras de soberania de dados da jurisdição. Traga um especialista em conformidade e converse com a equipe de conformidade do próprio provedor para obter garantias.

A AWS sempre priorizou a escolha dos clientes sobre sua soberania de dados, permitindo o controle total da localização e da movimentação de seus dados. Desde o primeiro dia, a abordagem de soberana desde a concepção da AWS nos conquistou a confiança dos clientes, que estão entre as organizações mais preocupadas com a segurança de dados e a privacidade do mundo.

Manter um mapa atualizado do seu cenário atual de dados é essencial para manter uma arquitetura de dados conforme. Considere implementar o seguinte:

Classifique e proteja dados sensíveis

Proteger dados sensíveis significa controles integrados, incluindo marcação, gerenciamento de identidade e acesso, criptografia, isolamento e regras para dados sensíveis em repouso, em trânsito e em processamento. 

Escolha sua residência de dados de acordo com as leis aplicáveis

Escolha os locais de dados que melhor atendam às suas necessidades com base em sua pesquisa sobre suas operações de negócios, clientes e tipos de dados. Lembre-se de que suas necessidades de localização de dados podem mudar à medida que sua empresa muda, e a soberania de dados pode ser afetada.

Escolha um provedor de nuvem confiável

Ao examinar rigorosamente os provedores de nuvem pública, você pode ganhar confiança em suas garantias de soberania de dados. Escolha um provedor com operações bem estabelecidas no local de dados escolhido. 

Acompanhe as obrigações de conformidade constantemente

As leis e regulamentações relacionadas aos dados mudam o tempo todo. Você deve acompanhar de perto e de forma constante as regulamentações mais recentes, antecipar novos requisitos e cumprir as obrigações de emissão de relatórios. Escolha um delegado em sua organização ou uma empresa parceira que será responsável por se manter atualizado com as mudanças nas leis. Crie uma política interna de proteção de dados alinhada às suas obrigações.

Diferentes localizações geográficas em todo o mundo têm leis e regulamentações muito variadas em relação ao armazenamento, processamento e tratamento de dados. As jurisdições podem se sobrepor, incluindo camadas adicionais de regulamentações de dados para armazenar e tratar os dados. Por exemplo, a Espanha, a França e outros países da UE têm leis internas que regem a soberania de dados, mas eles também devem cumprir as leis da UE. Setores altamente regulamentados, como saúde e finanças, também têm regulamentações diferentes. Alguns países têm leis de soberania de dados indígenas em relação aos direitos dos povos indígenas. 

Fazer negócios extraterritoriais pode ter implicações em seus requisitos de governança de dados. Por exemplo, as empresas australianas devem cumprir o RGDP ao lidar com dados de cidadãos da UE. 

Para organizações com várias entidades registradas globalmente, a soberania de dados e a conformidade com diferentes regulamentações extraterritoriais se tornam altamente complexas.

Todas as organizações, grandes e pequenas, devem considerar cuidadosamente a soberania de dados para garantir que permaneçam em conformidade com suas obrigações legais no gerenciamento de dados. As considerações sobre soberania de dados se intensificam para operações transfronteiriças, empresas multinacionais e organizações que trabalham em setores altamente regulamentados. Considere como você gerencia o armazenamento de dados e como transfere e processa dados.

É importante escolher um provedor de nuvem que compreenda totalmente a soberania de dados. Seu provedor de nuvem deve fornecer proteções de dados integradas para seus clientes de acordo com os requisitos regionais e oferecer uma ampla variedade de governança de dados, gerenciamento de identidade digital e acesso, segurança de dados e controles de privacidade.

Analise o documento Digital Sovereignty at AWS para obter mais informações, estudos de caso e as últimas atualizações de produtos nessa área crítica de segurança, identidade e conformidade.