A discussão sobre soberania digital costuma começar pela localização dos servidores ou pela origem do fornecedor. A primeira escuta de mercado da Nuvem Brasileira amplia esse conceito: mais importante do que exigir que toda a infraestrutura seja nacional é saber quais dependências existem, quais delas são críticas e se a operação consegue continuar quando um fornecedor, uma tecnologia ou uma conexão externa deixa de estar disponível.
Essa é uma das premissas levadas ao mercado pelo projeto conduzido pelo Ministério da Gestão e da Inovação em Serviços Públicos (MGI), Serpro, Agência Brasileira de Desenvolvimento Industrial (ABDI) e Banco Nacional de Desenvolvimento Econômico e Social (BNDES). A iniciativa pretende estruturar uma solução nacional de computação em nuvem, articulada com a indústria instalada no país e voltada a ampliar o controle sobre dados e infraestrutura digital.
O projeto ainda está em sua primeira fase. A escuta realizada em 3 de setembro integra a etapa de estudos e diagnóstico e servirá de base para a futura modelagem técnica, jurídica e de negócios. A implementação virá depois.
Dependências críticas
O desenho apresentado parte de uma constatação prática: uma infraestrutura pode estar fisicamente localizada no Brasil e ainda depender de elementos externos para funcionar.
Isso pode ocorrer se a administração do ambiente depender de um console hospedado fora do país, se as atualizações precisarem ser autorizadas por um fornecedor estrangeiro, se determinadas licenças forem indispensáveis para manter a operação ou se a equipe local não tiver condições de recuperar e evoluir a plataforma de forma autônoma.
Por isso, o Serpro propõe olhar para três dimensões: controle sobre os dados, controle operacional e controle tecnológico.
A primeira envolve questões como localização, processamento e custódia de chaves criptográficas. A segunda observa quem administra a infraestrutura e se os serviços podem continuar funcionando diante de uma indisponibilidade externa. A terceira considera dependências de software, licenciamento, atualizações, padrões tecnológicos e capacidade de desenvolvimento e manutenção.
O objetivo não é eliminar toda tecnologia estrangeira. É identificar onde uma dependência pode comprometer uma operação crítica e decidir qual nível de autonomia precisa ser exigido para aquela situação.
Arquitetura
Essa lógica influencia diretamente o desenho técnico da futura nuvem.
O Caderno de Apoio da escuta prevê uso de padrões abertos, possibilidade de migração entre ambientes e utilização de equipamentos de diferentes fornecedores. A intenção é reduzir situações em que determinado serviço se torna excessivamente dependente de um único fabricante ou provedor.
Esse tipo de dependência, conhecido como vendor lock-in, vai além do contrato. Pode estar na arquitetura, no formato dos dados, nas interfaces utilizadas ou no conhecimento necessário para manter o ambiente funcionando.
Quanto mais difícil for migrar uma aplicação, substituir um componente ou assumir internamente sua operação, maior será o custo de uma mudança futura — mesmo quando existirem alternativas no mercado.
A interoperabilidade passa, portanto, a funcionar também como instrumento de soberania. Não porque torne a infraestrutura independente de qualquer fornecedor, mas porque preserva opções.
Continuidade
Um dos exemplos apresentados pelo Serpro ajuda a tornar esse conceito mais concreto.
No chamado Teste de Desconexão, uma solução é colocada em laboratório e sua conexão externa é interrompida. A partir daí, as equipes verificam se os serviços essenciais continuam funcionando e se o ambiente ainda pode ser administrado.
O teste procura revelar dependências que documentos contratuais ou especificações técnicas nem sempre deixam evidentes.
Segundo o Serpro, sua metodologia de avaliação evoluiu de aproximadamente 70 para cerca de 500 testes após a identificação de situações em que requisitos declarados como atendidos não se confirmaram na prática.
A mesma preocupação vale para inteligência artificial. Uma infraestrutura pode utilizar unidades de processamento gráfico, as GPUs, instaladas no Brasil e ainda depender de softwares, bibliotecas ou serviços externos sem os quais a solução deixa de operar.
Avaliar soberania, nesse caso, exige olhar para toda a pilha tecnológica.
Gradiente de soberania
Para transformar essa discussão em critérios verificáveis, o Serpro desenvolveu o chamado Gradiente de Soberania.
A metodologia utiliza 15 critérios e distribui a avaliação entre soberania de dados, com peso de 30%; soberania operacional, com 40%; e soberania tecnológica, também com 30%.
O peso maior dado à operação ajuda a mostrar a mudança de perspectiva. Não basta possuir a infraestrutura ou manter os dados no território nacional se a organização não consegue administrar, recuperar, auditar ou manter o serviço diante de uma interrupção externa.
Também não significa que toda aplicação pública precise do grau máximo de autonomia. A criticidade deve orientar os requisitos. Uma base estruturante do Estado, um serviço essencial ou uma informação protegida por sigilo demandam controles diferentes dos necessários para uma carga menos sensível.
Esse é provavelmente o ponto mais útil da discussão para organizações públicas e privadas: soberania deixa de ser uma característica binária da tecnologia e passa a ser uma decisão de arquitetura e gestão de risco.
A Nuvem Brasileira ainda está longe da implementação, e os critérios apresentados durante a escuta poderão mudar com a modelagem do projeto e com as capacidades identificadas no mercado nacional. O hardware, inclusive, não é o foco principal desta etapa; o escopo atual se concentra especialmente no desenvolvimento, manutenção e evolução da plataforma de software.
Mas a discussão já estabelece uma pergunta que vai além desse projeto. Uma organização pode utilizar tecnologia global e continuar mantendo níveis elevados de autonomia. Para isso, precisa saber onde estão suas dependências, quais delas pode substituir e quais comprometeriam sua operação se deixassem de estar disponíveis.
Soberania digital, nessa perspectiva, não significa fazer tudo sozinho. Significa não descobrir tarde demais que uma parte crítica da operação só funciona enquanto outra organização permite.
Informação confiável qualifica conversas e decisões.
» Compartilhe nosso conteúdo e ajude a transformar conhecimento em ação.
📲 Siga a gente também nas redes sociais!
