Os desafios da soberania dos dados do M365: implicações para o governo do Reino Unido e além.

Revelações recentes sobre a incapacidade da Microsoft de garantir a soberania dos dados para os seus serviços Microsoft 365 (M365) geraram uma controvérsia significativa no Reino Unido. Esta questão levanta questões críticas sobre proteção de dados, segurança nacional e as implicações de depender de serviços de nuvem estrangeiros para operações governamentais confidenciais.

A Microsoft declarou que poderá ter de transferir os dados dos clientes para fora do Reino Unido para manter a continuidade do serviço, expondo potencialmente informações confidenciais a jurisdições estrangeiras. Esta admissão causou um grande impacto no governo britânico, que investiu fortemente nestas soluções em nuvem.
Questões-chave:

• Proteção de dados: risco de exposição de informações confidenciais a jurisdições estrangeiras
• Conformidade legal: possíveis violações das leis de proteção de dados do Reino Unido e acordos internacionais
• Segurança nacional: riscos associados ao acesso estrangeiro a dados governamentais críticos

O governo do Reino Unido adotou amplamente o M365 em vários departamentos e agências, mudando fundamentalmente a forma como os funcionários públicos comunicam, colaboram e gerem informações. A dimensão dessa mudança é evidente no compromisso financeiro assumido pelo governo, com o Gabinete do Governo, por si só, a gastar mais de 50 milhões de libras no M365 nos últimos anos.

Gastos com nuvem no Reino Unido vs. preocupações com soberania de dados de 2019 a 2023.

O governo do Reino Unido enfrenta agora o desafio de equilibrar os seus objetivos de transformação digital com a necessidade imperativa de proteger dados nacionais sensíveis. Esta situação levou a uma análise crítica da estratégia de nuvem do governo, forçando os funcionários a reconsiderar as compensações entre o avanço tecnológico e a soberania dos dados.

A questão da soberania tem implicações particularmente significativas para as agências de aplicação da lei do Reino Unido:

Desafios de conformidade legal e regulamentar

• Violações da Lei de Proteção de Dados: Os órgãos policiais do Reino Unido são regidos pela Parte 3 da Lei de Proteção de Dados de 2018, que restringe o uso de provedores de nuvem no exterior, a menos que haja salvaguardas adequadas em vigor. A divulgação da Microsoft sugere que essas salvaguardas podem ser inadequadas.
• Transferências internacionais de dados: A revelação de que os dados hospedados na infraestrutura em nuvem da Microsoft são regularmente transferidos e processados no exterior entra em conflito com os requisitos legais de soberania de dados.

Preocupações operacionais e de segurança

• Controlo de dados: As agências policiais podem ter menos controlo sobre dados confidenciais do que se pensava anteriormente, comprometendo potencialmente investigações e operações.
• Riscos de segurança: as transferências internacionais de dados aumentam a superfície de ataque e podem expor os dados a diferentes jurisdições legais, comprometendo potencialmente a confidencialidade.

Um outdoor destacando as regulamentações de proteção de dados no contexto do GDPR após o Brexit.

O desafio da soberania do M365 destaca vários aspetos importantes da governança de dados:

• Residência de dados: as organizações precisam considerar cuidadosamente onde os seus dados são armazenados e processados, especialmente no caso de informações confidenciais.
• Desafios de conformidade: Cumprir regulamentos como o GDPR e a Lei de Proteção de Dados torna-se mais complexo quando os dados podem ser transferidos internacionalmente.
• Considerações geopolíticas: o Brexit e a relação do Reino Unido com a UE acrescentam outra camada de complexidade às questões de soberania dos dados.

Esta divulgação tem implicações mais amplas para as políticas e aquisições de TI do governo:

• Revisão da estratégia «Cloud-First»: O próximo governo poderá ter de reavaliar a atual estratégia «Cloud-First» para garantir que esta está em conformidade com os requisitos de soberania dos dados.
• Análise do domínio da Microsoft: O domínio da Microsoft sobre as tecnologias da informação do governo central está agora a ser analisado mais de perto devido a estas revelações.
• Possíveis alterações nas políticas: Pode ser necessário atualizar as políticas e diretrizes relativas à utilização de serviços em nuvem nas operações governamentais.
• Critérios de aquisição: Os futuros processos de aquisição de TI podem precisar de dar maior ênfase às garantias verificáveis de soberania dos dados.

As organizações e os governos podem tomar várias medidas para enfrentar os desafios da soberania dos dados. Em primeiro lugar, devem avaliar os riscos da utilização de serviços em nuvem e compreender como esses serviços tratam os dados. Isso ajuda a identificar potenciais problemas numa fase inicial.

É fundamental implementar medidas de segurança robustas. Isso inclui o uso de criptografia para proteger os dados e controlar quem pode aceder a eles. As organizações também devem ter planos em vigor para responder a quaisquer violações de dados.

É importante trabalhar com especialistas jurídicos e profissionais de cibersegurança. Esses especialistas podem ajudar a navegar pelas complexas regras relacionadas à soberania dos dados.

Algumas organizações podem considerar o uso de soluções alternativas em nuvem que oferecem mais controlo sobre onde os dados são armazenados. Isso pode incluir o uso de centros de dados locais ou uma combinação de armazenamento em nuvem e local.

Por fim, as organizações devem criar uma cultura em que todos compreendam a importância da proteção de dados. Isso inclui atualizar regularmente as políticas para acompanhar as mudanças nas leis e nas melhores práticas.

A Microsoft tomou medidas para resolver as preocupações sobre a soberania dos dados. Lançou um novo serviço chamado Microsoft Cloud for Sovereignty, que visa dar aos governos mais controlo sobre os seus dados.

A Cloud for Sovereignty da Microsoft concentra-se na cibersegurança e na soberania dos dados.

Eles também introduziram novos recursos para ajudar os clientes a cumprir as leis locais de dados. Por exemplo, a Sovereign Landing Zone ajuda a configurar serviços em nuvem que estão em conformidade com regulamentos específicos.

A Microsoft agora fornece registos que mostram como os dados estão a ser tratados, o que ajuda a construir confiança com os clientes. No entanto, esses esforços podem não resolver todos os problemas, especialmente para organizações com regras muito rígidas sobre onde os seus dados podem ser armazenados.

As questões relacionadas ao M365 e à soberania dos dados provavelmente mudarão o setor de computação em nuvem. Podemos esperar que seja dada mais atenção à forma como os fornecedores de nuvem lidam com os dados em diferentes países.

Os clientes podem começar a procurar serviços em nuvem que garantam que os seus dados permaneçam em locais específicos. Isso pode levar ao surgimento de novas empresas focadas em oferecer essas garantias.

Os fornecedores de serviços em nuvem existentes provavelmente adaptarão os seus serviços para oferecer mais opções de soberania de dados. Eles podem criar diferentes níveis de serviço com base no grau de rigor das regras de armazenamento de dados.

No futuro, novas tecnologias, como a computação quântica, poderão oferecer melhores formas de manter os dados seguros e seguir regulamentos rigorosos.

De modo geral, as preocupações levantadas pela questão da soberania do M365 estão a levar o setor de nuvem a encontrar novas maneiras de equilibrar os benefícios da computação em nuvem com a necessidade de proteger e controlar dados confidenciais.

O desafio da soberania dos dados do M365 no Reino Unido serve como um alerta para governos e organizações em todo o mundo. Ele destaca a necessidade de regulamentos e normas mais claros em relação à soberania dos dados em serviços na nuvem. À medida que o cenário digital evolui, encontrar o equilíbrio certo entre aproveitar as tecnologias avançadas da nuvem e manter o controlo sobre dados críticos será crucial para a segurança nacional e a conformidade regulatória.

• Avalie regularmente as garantias de soberania de dados dos fornecedores de serviços em nuvem
• Considere uma estratégia multicloud para mitigar riscos
• Mantenha-se informado sobre as mudanças nas regulamentações de proteção de dados
• Invista na formação dos funcionários sobre as melhores práticas de proteção de dados
• Explore soluções de nuvem domésticas, quando disponíveis e apropriadas.
• Implementar criptografia adicional e controlos de acesso para dados confidenciais
• Realizar análises jurídicas e técnicas exaustivas da utilização atual da nuvem

Ao enfrentar esses desafios de frente, as organizações podem aproveitar os benefícios da computação em nuvem, ao mesmo tempo em que protegem os seus dados confidenciais e mantêm a conformidade regulatória. A questão da soberania do M365 serve como um alerta para que governos e organizações avaliem cuidadosamente as suas estratégias de nuvem, ressaltando a necessidade de uma abordagem equilibrada que aproveite a inovação da nuvem, mantendo o controlo sobre os dados confidenciais e cumprindo os requisitos regulatórios.