Serpro propõe 15 critérios para medir soberania em infraestruturas de nuvem
Metodologia avalia controle sobre dados, operação e tecnologia; governo estima que mais de 60% dos dados federais ainda estejam em nuvens de empresas norte-americanas.
O Serpro apresentou uma metodologia baseada em 15 critérios técnicos para avaliar o grau de soberania de infraestruturas de computação em nuvem. A abordagem deverá contribuir para a modelagem da futura Nuvem Brasileira, projeto nacional de armazenamento e processamento de dados anunciado em 20 de agosto.
A estatal integra o grupo interinstitucional responsável por preparar a consulta ao mercado, ao lado do Ministério da Gestão e da Inovação em Serviços Públicos, do BNDES e da Agência Brasileira de Desenvolvimento Industrial. A escuta deverá anteceder a definição do modelo tecnológico e institucional e a publicação de edital pela ABDI.
O ponto de partida é que soberania não constitui uma característica simplesmente presente ou ausente. O Serpro propõe trabalhar com gradientes: quanto mais crítica for a informação ou o serviço público, maior deverá ser o controle do Estado sobre os dados, a operação e a tecnologia utilizada.
Entre os critérios mencionados estão a localização e o processamento dos dados, a custódia das chaves criptográficas, a exposição a jurisdições estrangeiras, a autonomia operacional, a gestão de atualizações, a independência de licenciamento, o uso de padrões abertos, a diversificação da cadeia de fornecedores e a capacidade de continuidade do serviço.
A localização física do servidor, portanto, é apenas uma parte da análise. Dados armazenados no Brasil podem continuar sujeitos a dependências externas se as chaves forem controladas por terceiro, se atualizações essenciais dependerem de autorização estrangeira, se a operação não puder prosseguir sem licenças externas ou se outra jurisdição puder impor acesso ou interrupção.
A metodologia também procura evitar o extremo oposto: soberania não é apresentada como isolamento tecnológico. O modelo admite integração com diferentes fornecedores e tecnologias, desde que o Estado consiga identificar as dependências, auditar o ambiente, recuperar a operação e manter capacidade decisória proporcional ao risco da carga de trabalho.
Sistemas estruturantes, bases protegidas por sigilo e serviços cuja indisponibilidade afete funções essenciais exigem controles superiores aos de aplicações menos críticas. Identificação civil, arrecadação, saúde e outras bases sensíveis podem demandar regras específicas de criptografia, acesso, redundância, continuidade e localização.
Para empresas de data centers, nuvem, cibersegurança e software, os critérios podem influenciar a futura contratação pública e a arquitetura dos projetos. A discussão alcança requisitos de interoperabilidade, padrões abertos, transferência tecnológica, fornecimento nacional, governança de incidentes e responsabilidade pela continuidade.
Os 15 critérios ainda não constituem, por si sós, uma obrigação regulatória geral nem um edital concluído. Eles funcionam como referência técnica para a consulta ao mercado. O fato novo a acompanhar será a tradução desses parâmetros em requisitos verificáveis, critérios de habilitação e distribuição de responsabilidades contratuais na futura Nuvem Brasileira.
Em entrevista publicada em 29 de agosto, a ministra da Gestão e da Inovação em Serviços Públicos, Esther Dweck, organizou a estratégia em quatro dimensões: soberania sobre os dados, capacidade operacional, desenvolvimento tecnológico e governança sob a jurisdição brasileira.
Segundo a ministra, mais de 60% dos dados do governo federal ainda estão hospedados em nuvens de empresas norte-americanas. O percentual não significa que todos os dados possuam a mesma criticidade: a prioridade anunciada é internalizar ou ampliar o controle sobre bases e serviços considerados estratégicos, sem buscar autossuficiência integral.
Dweck estimou em aproximadamente dois anos o horizonte para que empresas brasileiras ampliem sua capacidade tecnológica de nuvem, embora a substituição completa das grandes plataformas internacionais não seja apresentada como objetivo imediato. A execução dependerá de capacidade computacional, data centers, serviços associados, parcerias e critérios contratuais que preservem continuidade e autonomia.