O que é nuvem soberana?

À medida que mais empresas recorrem a soluções de nuvem híbrida para que suas iniciativas de transformação digital avancem, os ambientes de nuvem (e, especificamente, como os usuários acessam, armazenam e usam dados neles) se tornam cada vez mais importantes. Com a computação em nuvem avançando cada vez mais pelo mundo, os limites geográficos tradicionais, como as fronteiras, já não são suficientes para proteger dados confidenciais.

É aí que entra a nuvem soberana, uma solução que ajuda a garantir a soberania de dados, ela própria um componente central da soberania digital mais ampla. A nuvem soberana ajuda as empresas a conquistar a confiança dos clientes e a expandir seus negócios sem deixar de cumprir as leis e regulamentações das regiões em que atuam.

A nuvem soberana protege principalmente os dados de consumidores e das organizações. Embora muitas regulamentações se concentrem principalmente na proteção de informações de identificação pessoal, ou PII, dependendo do setor, da região ou do caso de uso do negócio, elas também podem proteger propriedade intelectual (IP), software, segredos comerciais, informações financeiras e muito mais. Como as regulamentações de privacidade de dados na nuvem variam entre países específicos e regiões, não existe uma definição única e aceita do que uma nuvem soberana pode proteger. As abordagens tendem a variar conforme o setor, a localização e a necessidade do negócio.

Alguns frameworks de nuvem soberana tratam da residência de dados, em que os dados estão sujeitos às leis e regulamentações do país específico onde são armazenados. Outros tratam da soberania de dados, em que os dados armazenados estão sujeitos às leis do país onde foram coletados. No fim das contas, as abordagens de nuvem soberana não só ajudam as empresas a cumprir as leis que regem seus dados mais confidenciais, como também a se manter resilientes.

À medida que as empresas migrar mais aplicações para a nuvem, a própria nuvem está rapidamente se tornando uma infraestrutura crítica.

O ambiente de nuvem de uma empresa agora é considerado tão importante para sua integridade quanto uma fábrica, um centro empresarial ou uma valiosa propriedade intelectual. Além disso, à medida que os segmentos altamente regulamentados, tanto privados quanto públicos, migram seus principais serviços para a nuvem, a necessidade de manter os dados seguros está se tornando crítica.

Além disso, o crescimento de tecnologias de computação intensiva de dados, como a inteligência artificial (IA) e o aprendizado de máquina (ML), que dependem de acesso rápido e seguro aos dados, está pressionando as empresas a tomarem decisões mais estratégicas em relação à tecnologia de nuvem. A IA, especificamente a IA generativa, tem potencial para impulsionar inovações valiosas para os negócios, mas sem um ecossistema de nuvem sólido e soberano, ela não consegue se desenvolver.

As empresas de setores altamente regulamentados, como saúde e serviços financeiros, enfrentam forte pressão. Na União Europeia, o Regulamento Geral de Proteção de Dados (RGPD) já define regras rígidas sobre como os dados pessoais são coletados, armazenados e transferidos entre países. Também na Europa, há uma proposta chamada European Cybersecurity Certification Scheme for Cloud Services (EUCS) que pretende estabelecer requisitos comuns de cibersegurança e padrões de certificação para serviços de nuvem em todo o bloco. A Lei de Resiliência Operacional Digital (DORA) entrou em vigor em janeiro de 2025 e define regras sobre gerenciamento de riscos de TIC, notificação de incidentes, testes de resiliência operacional e monitoramento de riscos de terceiros em TIC. Soluções sólidas de nuvem soberana ajudam as empresas a se manter atualizadas sobre os órgãos reguladores e as novas legislações e a tomar decisões mais estratégicas sobre risco, dados e um cenário de ameaças em evolução. Vamos analisar alguns dos benefícios mais importantes da nuvem soberana corporativa.

As empresas que estão dispostas a investir em um framework sólido de nuvem soberana como parte de uma jornada mais ampla de transformação digital, geralmente, percebem vários benefícios importantes. Desde um maior controle sobre dados até uma melhor conectividade, resiliência de dados e desempenho de aplicativos. Aqui estão os cinco principais motivos pelos quais as empresas adotam uma abordagem de nuvem soberana.

Vale ampliar a perspectiva e considerar o panorama do que a nuvem soberana pretende alcançar. Em uma organização madura, a nuvem soberana é apenas um componente de um framework mais amplo de "soberania digital". A soberania digital abrange quatro conceitos inter-relacionados: soberania operacional, soberania tecnológica, soberania de IA e soberania de dados. A nuvem soberana é uma abordagem para a última dessas quatro, a soberania de dados. Para ter o quadro geral, porém, vale analisar os conceitos um a um.

A soberania operacional é o controle sobre como os ambientes são operados.

A soberania operacional ajuda a garantir que a infraestrutura crítica associada a aplicações ricas em dados esteja sempre ativa e acessível. Além disso, a soberania operacional ajuda as empresas a manter o controle sobre seus processos operacionais e a identificar ineficiências. Com uma abordagem sólida de soberania operacional, mesmo que uma região específica seja atingida por um desastre, a empresa pode garantir a resiliência de sua infraestrutura crítica com um plano de continuidade de negócios e recuperação de desastres (BCDR) ou de recuperação de desastres como serviço (DRaaS). Por fim, a soberania operacional ajuda as empresas a cumprir as regulamentações locais que regem a infraestrutura necessária para dar suporte a ambientes de nuvem em determinada região.

A soberania tecnológica diz respeito a uma arquitetura aberta e modular que evita o lock-in com fornecedor.

A soberania tecnológica também pode favorecer a governança e a transparência: as empresas que aplicam controle de acesso a seus ativos digitais precisam definir regras sobre quem tem permissões.Esses controles soberanos precisam ser configurados de modo que sejam fáceis de aplicar, a exemplo das políticas como código, um processo que permite que as organizações gerenciem sua infraestrutura e seus procedimentos de forma repetível.

Transparência, outro aspecto importante da soberania digital, diz respeito à capacidade de uma organização auditar seus processos e resultados. A transparência permite que as organizações vejam nos seus fluxos de trabalho operacionais mais importantes o que está funcionando e o que precisa ser modificado.

A soberania de IA se refere ao controle sobre onde os modelos são executados e como a inferência é governada. As formas mais soberanas de IA teriam uma execução de IA governada, com modelos, inferência e operações de agentes rodando dentro de limites soberanos definidos. O interesse pelo tema está em alta; uma pesquisa recente da McKinsey mostrou que, de 300 respondentes, 71% classificaram a IA soberana como um "imperativo estratégico" ou, de forma mais grave, uma "preocupação existencial".

A soberania de dados se refere ao controle sobre os dados em repouso, em uso e em movimento. E é aqui, mais do que nos outros componentes da soberania digital, que a nuvem soberana entra em cena.

A conformidade com a soberania de dados (a ideia de que os dados estão sujeitos às leis do país ou região em que foram gerados) é um requisito essencial da maioria das soluções de nuvem soberana. Uma soberania de dados sólida ajuda as empresas a protegerem os dados de seus clientes contra ataques cibernéticos e outras ameaças, ao mesmo tempo em que garantem que nenhum indivíduo não autorizado tenha acesso aos dados. Por exemplo, conforme a maioria dos requisitos de soberania de dados, os CSPs não têm acesso aos dados do cliente, mesmo quando operam em um data center na nuvem.

Outro aspecto importante da soberania de dados é o conceito de residência de dados, a noção de que os dados estão sujeitos às leis e regulamentações da região ou do país onde estão sendo armazenados. Além de estar em conformidade com a privacidade de dados, as soluções soberanas de nuvem também precisam cumprir todas as leis e regulamentações aplicáveis de residência de dados.

Acima de tudo, a nuvem soberana é uma abordagem para a peça "soberania de dados" do quebra-cabeça mais amplo da soberania digital. Vale observar, porém, que a soberania de dados, a rigor, pode ser alcançada sem nuvem alguma; algumas organizações, por exemplo, optam por manter os dados em ambiente local para garantir a soberania. Por isso, a IBM aborda a soberania com o Sovereign Core, uma solução que se mantém agnóstica quanto ao modo de alcançar a soberania de dados, seja em uma nuvem soberana, seja em ambiente local ou híbrido.

Quando se trata de nuvem soberana, não existe uma solução única para todos. As empresas podem querer o mesmo resultado de sua abordagem de nuvem híbrida—a transformação digital, por exemplo—mas a forma como elas fazem para alcançá-la varia dependendo do tamanho, da localização, do setor e da necessidade do negócio. É aqui que as vantagens de uma abordagem baseada em riscos ficam visíveis.

Uma abordagem sólida e baseada em risco para a nuvem soberana equilibra o crescimento (por exemplo, o potencial de uma nova tecnologia empolgante como a IA generativa) com o risco, como danos à reputação causados por uma violação de dados. À medida que as empresas estendem essas proteções aos seus modelos de IA e dados de treinamento, os mesmos princípios dão origem à IA soberana. Para aplicações críticas e dados altamente confidenciais, as empresas podem querer exercer um nível de controle maior do que em outras aplicações, menos críticas. A regulamentação da precisão, aliada a uma abordagem baseada em padrões para as regras e os padrões de governança, ajuda a garantir que as regras estabelecidas também possam ser gerenciadas tecnologicamente.

Dependendo dos requisitos de risco e de crescimento da organização, do tipo de dados que ela armazena e do local onde esses dados estão, as opções para implementar e fazer cumprir as políticas de nuvem soberana são duas: nuvem pública ou distribuída. Na maioria dos países, as implementações de nuvem pública e multinuvem ajudam as organizações a implementar suas cargas de trabalho de nuvem sem abrir mão do controle sobre seus dados em determinada região. Uma arquitetura típica de nuvem pública inclui uma camada de plataforma de nuvem, como uma plataforma de nuvem híbrida, que oferece uma implementação de nuvem estável e consistente.

A segunda opção é o modelo de implementação de nuvem distribuída, como um provedor de infraestrutura local ou um data center local. Essas opções são atraentes para empresas que precisam de mais controle sobre sua infraestrutura e suas operações. Elas também podem ajudar as empresas a evitar o lock-in com fornecedor ao preservar a interoperabilidade entre provedores. Em essência, um modelo de implementação de nuvem distribuída permite que você implemente cargas de trabalho e plataformas em qualquer infraestrutura de sua escolha.Para as cargas de trabalho mais confidenciais, isso pode incluir ambientes com air gap, fisicamente isolados da internet pública.

À medida que preocupações com dados, operações e soberania digital continuam sendo levantadas por governos e cidadãos ao redor do mundo, a nuvem soberana está ajudando as empresas a garantirem a integridade de seus dados, não importa onde os negócios são feitos.

Nos próximos anos, a forma como as empresas coletam, protegem, armazenam e controlam o acesso aos dados terá enormes implicações para o seu sucesso, especialmente se estiverem buscando explorar novas tecnologias com muitos dados, como IA e ML. Ao escolher um CSP para ajudar na criação de um ambiente de nuvem soberana, é fundamental que as empresas entendam como esse CSP vai armazenar e processar os dados confidenciais.

Além disso, eles precisam saber como um CSP oferece suporte à resiliência e aos planos para mitigar interrupções causadas por ataques cibernéticos, desastres naturais e outras ameaças. Por fim, as empresas que pretendem aproveitar um framework de nuvem soberana devem garantir que a estratégia geral de nuvem do CSP escolhido esteja alinhada com as leis dos países ou regiões em que operam, estando sujeitas à multas ou punições.

Aqui estão algumas considerações importantes a serem lembradas durante a escolha de um CSP para uma arquitetura de nuvem soberana:

Governança de dados: a abordagem de um provedor de serviços de nuvem (CSP) em relação à governança de dados é fundamental. Essa abordagem mostra que o provedor tem as políticas e os procedimentos certos para tratar com êxito os dados da sua organização (e os respectivos metadados) e aplicar as restrições necessárias a eles. O provedor também deve ser capaz de fornecer auditorias periódicas que comprovem que as diretrizes estabelecidas estão sendo seguidas.

Acordos de nível de serviço (SLAs): um acordo de nível de serviço (SLA) com um CSP que descreva um ambiente de nuvem soberana não deve diferir muito de um que descreva um ambiente de nuvem pública ou privada. Assim como nas nuvens públicas e privadas, as três áreas mais importantes a examinar são controle (gerenciamento da nuvem), disponibilidade, escalabilidade e desempenho.

Conformidade: os CSPs que implementam frameworks de nuvem soberana precisam ter um alto nível de conhecimento sobre as leis de dados nas regiões em que operam, bem como um profundo entendimento sobre o cenário de conformidade e soberania de dados em constante mudança. Fornecedores e clientes precisam compartilhar a responsabilidade de se manterem atualizados com as novas normas e desenvolverem estratégias para lidar com elas.

Criptografia de dados: quando se trata de soberania de dados e privacidade, é importante alcançar a confidencialidade dos dados. Os CSPs precisam oferecer mecanismos para que as organizações criptografem seus dados e os gerenciem com chaves criptográficas, muitas vezes protegidas em um módulo de segurança de hardware (HSM).Em essência, isso significa transformar os dados em conteúdo criptografado que pode ser descriptografado por alguém com as permissões e a chave corretas. Assegurar o acesso exclusivo a essas chaves de criptografia dá às empresas total garantia técnica e controle sobre quem pode acessar seus dados a qualquer momento.

Resiliência: por fim, quando algo dá errado, você precisa ter um plano que o auxilie na recuperação rápida. Considere somente CSPs com histórico de ajuda aos clientes com esforços de resiliência e recuperação em países ou regiões relevantes. Todas as implementações de nuvem soberana precisam ter recursos integrados de recuperação e failover adaptados a cada área de conformidade específica em que os dados estão sendo armazenados.

As abordagens de soberania também variam conforme o provedor. Alguns, como a Microsoft com o Microsoft Sovereign Cloud, incorporam a soberania às suas plataformas de hiperescala; outros, incluindo a IBM, adotam uma abordagem baseada em software com o IBM Sovereign Core, concebido como base para a nuvem soberana e a IA soberana, capaz de operar em vários ambientes de nuvem.