Soberania dos dados na UE: pergunte quem pode aceder às evidências

As evidências de conformidade podem expor a arquitetura, fragilidades por resolver, informação sobre o pessoal, dependências de fornecedores e o historial de incidentes. A escolha do local onde essas evidências residem merece o mesmo cuidado que a escolha do local onde residem os dados dos clientes. Em alguns casos, um repositório de evidências oferece uma imagem mais concentrada do negócio do que qualquer sistema de produção individual.

Para a gestão de topo, a soberania dos dados na UE é, portanto, uma questão de aquisição e de responsabilidade: quem pode aceder a esta informação, sob que autoridade, e o que acontece se precisarmos de sair?

Uma região de alojamento europeia é uma informação útil. Não é uma resposta completa. A decisão tem de abranger a cadeia de serviço, a exposição jurídica, o acesso técnico e a capacidade de preservar registos utilizáveis fora da plataforma.

Começar pela informação que está a confiar

Uma plataforma de conformidade pode conter diagramas de rede, revisões de acessos, relatórios de vulnerabilidades, inventários de tratamento, avaliações de riscos e investigações de incidentes. No seu conjunto, estes registos descrevem tanto o modo como a organização funciona como os pontos em que as suas defesas precisam de ser melhoradas.

Contêm também diferentes tipos de sensibilidade. Uma revisão de acessos dos trabalhadores envolve dados pessoais. Um relatório de teste de intrusão pode revelar fragilidades exploráveis. Uma decisão da gestão pode registar uma dependência comercial ou um risco aceite. Estas categorias exigem tratamentos diferentes, mesmo quando se encontram no mesmo espaço de trabalho.

Antes de comparar fornecedores, crie um pequeno inventário de evidências. Para cada categoria, registe a finalidade, a sensibilidade, o responsável, os leitores previstos, o requisito de conservação e se é sequer necessário carregar o documento original.

Por exemplo, a revisão de um controlo pode precisar da prova de que a remediação foi concluída e não do relatório técnico completo que descreve todas as vulnerabilidades. Um excerto expurgado pode, por vezes, demonstrar o facto exigido reduzindo a exposição. A expurgação não pode remover o contexto necessário para avaliar a evidência.

Trata-se de uma recomendação prática e não de uma obrigação universal de substituir originais por resumos. O objetivo é tornar o tratamento das evidências deliberado, em vez de permitir que cada pedido de auditoria alargue indefinidamente o repositório.

Separar residência, controlo e conformidade legal

A residência dos dados diz respeito à localização. A soberania diz também respeito ao controlo, ao acesso, à exposição jurídica e à capacidade de mover a informação ou de continuar a utilizá-la. Nenhum dos termos deve ser tratado como um certificado de conformidade.

Estas dimensões interagem, mas não são intermutáveis. Um serviço alojado na UE pode envolver pessoal de suporte ou tratamento fora da UE. Um fornecedor de propriedade europeia pode depender de infraestrutura, monitorização ou serviços de IA operados por outras entidades. A propriedade, por si só, não demonstra que todos os percursos de acesso são aceitáveis.

Do mesmo modo, a exposição a outra jurisdição não significa que a divulgação seja inevitável nem que o serviço seja automaticamente ilícito. Avalie as entidades relevantes, a legislação aplicável, o acesso prático e as salvaguardas. Quando a divulgação obrigatória for material para a decisão, obtenha aconselhamento jurídico em vez de confiar num rótulo de nacionalidade ou numa garantia comercial.

Compreender que regras se aplicam efetivamente

O RGPD não impõe uma regra geral segundo a qual todos os dados pessoais têm de permanecer na UE. Exige um fundamento jurídico adequado e um tratamento conforme, incluindo a segurança, as relações com subcontratantes e, quando aplicáveis, os requisitos relativos a transferências internacionais.

Para um repositório de conformidade que contenha dados pessoais, determine os papéis das partes e examine as cláusulas de tratamento do artigo 28.º quando exista uma relação de subcontratação. Avalie separadamente as disposições de transferência do capítulo V. Assinar um acordo de tratamento de dados não resolve a questão das transferências, e selecionar uma região de armazenamento na UE não elimina a necessidade de examinar o acesso a partir do estrangeiro ou o tratamento subsequente.

O artigo 32.º exige uma segurança adequada ao risco. A cifragem pode ser uma medida importante, mas o RGPD não prescreve um único modelo de cifragem para todos os repositórios. O artigo 48.º aborda também as decisões judiciais ou administrativas de países terceiros que exijam a transferência ou divulgação; não deve ser lido como um escudo universal contra o acesso estrangeiro.

Outras obrigações dependem da organização. A NIS2, aplicada através do direito nacional, inclui a supervisão pelos órgãos de gestão e medidas de segurança da cadeia de abastecimento para as entidades abrangidas. O DORA estabelece obrigações relativas ao risco de terceiros no domínio das TIC para as entidades financeiras abrangidas. Nenhum deles deve ser reduzido a uma instrução genérica para comprar software europeu.

As discussões europeias sobre política de soberania e contratação exigem também uma interpretação cuidadosa. Separe as obrigações em vigor das propostas, das declarações políticas, dos critérios de contratação e dos sistemas de certificação. Os requisitos de França e da Alemanha não devem ser tratados como intermutáveis nem como automaticamente aplicáveis a todas as empresas privadas na Europa.

Peça aos assessores jurídicos e às compras que documentem os requisitos nacionais, setoriais e dos clientes específicos que afetam a sua aquisição. Um relatório de garantia de cloud pode contribuir com evidências, mas não resolve a questão da soberania. Por exemplo, o catálogo C5 do BSI diz respeito a controlos e atestação na cloud; não é uma certificação geral de soberania.

Mapear a cadeia de serviço completa

O documento de aquisição mais útil é um mapa do tratamento das evidências. Mostra como a informação entra no serviço, que sistemas a processam, quem lhe pode aceder e como sai.

Peça respostas relativas ao armazenamento de produção, às réplicas, às cópias de segurança, à recuperação de desastres, aos registos das aplicações, à monitorização, aos pedidos de suporte e às cópias temporárias para resolução de problemas. Inclua as exportações e as notificações por correio eletrónico: uma constatação sensível pode sair da fronteira pretendida através de uma notificação, mesmo que o respetivo anexo permaneça na plataforma.

Para cada componente, registe:

• A entidade que o opera e o seu papel.
• As categorias de dados que recebe e a finalidade do tratamento.
• As localizações de armazenamento e de tratamento, incluindo as localizações de acesso remoto.
• Os grupos com acesso autorizado e quaisquer outros fornecedores envolvidos.
• O tratamento da conservação, do apagamento e das cópias de segurança.
• Os termos contratuais que regem a atividade.

Distinga o fornecedor de infraestrutura de um prestador externo de suporte ou de um subcontratante de IA. As suas funções e acessos podem diferir substancialmente. Uma lista de logótipos de fornecedores não substitui este mapa.

Examine também a gestão de alterações. Como terá conhecimento de um novo subcontratante ulterior, de uma alteração da localização do tratamento ou de uma revisão das modalidades de suporte? Que direitos de revisão ou de oposição existem, e o que acontece se a alteração proposta entrar em conflito com os seus requisitos? Uma avaliação satisfatória hoje precisa de um mecanismo para detetar as alterações de amanhã.

Tratar o tratamento por IA como um percurso de divulgação separado

A revisão de evidências assistida por IA pode introduzir outro fornecedor e outra política de conservação. Uma funcionalidade que resume um relatório de incidente pode transmitir o relatório, texto extraído, prompts, metadados ou informação de diagnóstico para além da aplicação principal.

Pergunte o que chega ao fornecedor de IA, para que finalidade e ao abrigo de que termos contratuais. Confirme no acordo em vigor a utilização para treino de modelos, a conservação, o acesso humano, as localizações de tratamento e o tratamento subsequente. Não presuma que uma conta empresarial ou uma declaração de «sem treino» também significa ausência de conservação ou de acesso de suporte.

Clarifique se as funções de IA são facultativas e se é possível aplicar restrições ao material sensível. Se a plataforma não conseguir impor a fronteira exigida, uma instrução interna para não carregar documentos restritos pode ser demasiado frágil para a utilização corrente.

Uma revisão prática deve acompanhar um documento representativo ao longo da funcionalidade. Identifique a fonte, o conteúdo transmitido, o resultado, os registos conservados e os revisores. Os próprios resumos gerados podem conter informação sensível, pelo que pertencem ao mapa de tratamento.

A revisão humana continua a ser necessária para as conclusões sobre as evidências. É uma salvaguarda distinta das restrições ao tratamento: aprovar um resumo gerado por IA não autoriza retroativamente uma divulgação inaceitável da sua fonte.

Perguntar quem pode efetivamente decifrar e administrar

A cifragem só protege a informação dentro dos limites da sua conceção e do seu funcionamento. A cifragem em trânsito protege as ligações; a cifragem em repouso protege os dados armazenados segundo determinados pressupostos de ameaça. Nenhuma delas impede automaticamente que uma aplicação autorizada ou um operador privilegiado leiam o conteúdo.

Pergunte quem controla as chaves, quem pode invocar a decifragem e se os administradores podem alterar as permissões que regem esse acesso. Um mecanismo de chaves geridas pelo cliente pode melhorar o controlo, mas o seu efeito depende da arquitetura. Se o serviço recebe habitualmente texto simples, a propriedade das chaves, por si só, não elimina o acesso do fornecedor.

Peça à equipa técnica que examine a separação, a rotação, a revogação e a recuperação das chaves, bem como as consequências da perda de uma chave. A gestão deve compreender qualquer compromisso em termos de disponibilidade antes de o aprovar. Uma fronteira de acesso mais forte que também torne irrecuperáveis evidências essenciais não é uma solução de continuidade completa.

O acesso de suporte merece especial atenção. Procure identidades nominativas, privilégios limitados, autorização limitada no tempo, aprovação do cliente quando adequado e ações auditáveis. Pergunte como funciona o acesso de emergência e como é revisto posteriormente.

A questão de aquisição não é simplesmente se o acesso é registado. É se a organização consegue obter informação suficiente para investigar um evento: quem acedeu a que registos, quando, por que motivo e com que autorização. Acorde que evidência estará disponível antes que um incidente torne a questão urgente.

Tornar a portabilidade um requisito testado

A portabilidade faz parte da soberania, porque o controlo fica enfraquecido quando sair significa perder o significado das evidências.

Teste uma exportação representativa antes de assumir um compromisso. Os ficheiros, por si só, podem não preservar as relações entre controlos, evidências, constatações, responsáveis, aprovações e decisões. Uma pasta de PDF pode conservar documentos e perder o registo do que provavam e de quem aceitou a conclusão.

Escolha uma amostra que contenha um anexo, o controlo associado, um comentário de revisão, uma aprovação, uma constatação em aberto e os registos temporais relevantes. Peça a alguém de fora da equipa de implementação que reconstrua a decisão a partir da exportação. Isto testa a usabilidade e não a mera existência de um botão de exportação.

O OSCAL fornece modelos úteis para informação de segurança portátil. As suas especificações publicadas podem apoiar o intercâmbio estruturado, mas utilizar um formato aberto não demonstra automaticamente a completude nem a compatibilidade. Verifique as versões dos modelos, os identificadores, os anexos, as extensões e se o sistema recetor consegue interpretar a estrutura exportada.

Os termos contratuais de saída importam tanto como os formatos. Determine quando estão disponíveis as exportações, que assistência é prestada, se há custos e durante quanto tempo o acesso se mantém após a cessação. Trate separadamente o apagamento dos registos ativos e o tratamento das cópias de segurança.

Exemplo prático: decidir o que pode entrar num repositório

Considere uma empresa de software ilustrativa sediada na UE que está a selecionar uma plataforma de evidências. Suponha que o seu âmbito inicial inclui revisões de acessos dos trabalhadores, constatações expurgadas de testes de segurança e registos de decisões sobre incidentes. A sua política interna exige armazenamento na UE para este âmbito e uma avaliação explícita de qualquer acesso a partir de fora da UE. Trata-se de pressupostos de exemplo e não de requisitos legais universais.

O fornecedor confirma o armazenamento de produção na UE. Uma revisão mais aprofundada identifica um serviço separado de pedidos de suporte e um fornecedor facultativo de resumos por IA. A equipa não declara a plataforma aceitável ou inaceitável apenas com base na resposta sobre o alojamento.

Em vez disso, documenta três decisões:

A equipa testa depois se os anexos sensíveis entram nos pedidos de suporte, verifica as restrições de acesso propostas e exporta um registo de revisão completo.

Suponha que os termos do tratamento por IA continuam pouco claros. A gestão pode aprovar uma implementação mais restrita apenas se a exclusão desse tratamento for fiável. Se não puder ser imposta, o material afetado fica fora da implementação. A questão por resolver recebe um responsável e um prazo de decisão, em vez de desaparecer numa pontuação genérica de risco do fornecedor.

O resultado é uma aprovação delimitada: categorias de evidências definidas, tratamento permitido, restrições, questões por resolver e gatilhos de revisão. É mais útil do que uma declaração sem reservas de que o fornecedor é «soberano».

Colocar a decisão sob a responsabilidade da gestão de topo

As compras podem reunir documentos, a segurança pode avaliar os controlos de acesso e o departamento jurídico pode avaliar as obrigações. A gestão de topo é responsável pela decisão de negócio sobre a exposição e a dependência aceitáveis. Quando um EPD estiver envolvido, preserve as responsabilidades independentes de aconselhamento e controlo dessa função, em vez de fazer do EPD o responsável pelas decisões de tratamento.

Utilize critérios de aceitação explícitos. Acessos privilegiados pouco claros, localizações de tratamento sem explicação ou um percurso de saída inutilizável podem ser fatores eliminatórios para um âmbito sensível. Outras lacunas podem permitir uma implementação restrita com condições documentadas. Registe quem pode aceitar cada risco residual e o que obrigaria a uma reavaliação.

Os erros comuns são aceitar «alojado na UE» sem um mapa da cadeia de serviço, tratar a cifragem como prova de que mais ninguém pode ler os dados e adiar o teste de exportação até à cessação. Outro é presumir que uma certificação ou um relatório de auditoria abrange exatamente o serviço, o percurso de tratamento e as categorias de evidências que estão a ser adquiridos. Verifique o âmbito e as limitações.

Transformar a avaliação num fluxo de trabalho repetível

A Secani liga as evidências a requisitos, controlos, objetos-alvo e decisões revistas, utilizando modelos abertos de controlos de segurança como base do produto. Um fluxo de trabalho focado pode começar com um serviço, responsáveis designados, as suas dependências de fornecedores externos e os documentos que sustentam a decisão de aquisição. As respostas em falta tornam-se tarefas; as sugestões assistidas por IA permanecem trabalho em rascunho, sujeito a revisão humana e a rastreabilidade das fontes.

Mantenha as modalidades de alojamento, tratamento, acesso e exportação do serviço selecionado junto da decisão de aquisição. Reveja esse registo quando as configurações, os subcontratantes ulteriores ou os termos contratuais mudarem. Isto dá ao próximo revisor uma base clara para verificar se o acordo continua a cumprir os requisitos da organização.

O próximo passo prático é selecionar uma categoria de evidências sensíveis e rastrear todo o seu percurso. Leve o mapa resultante, uma exportação testada e as questões de acesso por resolver para a decisão de aquisição. Isso dá à gestão de topo uma base verificável para decidir quem pode deter as evidências, e em que condições.