Controles de dados

A soberania de dados é um conceito crítico em governança e conformidade na nuvem. Refere-se à autoridade legal e regulatória que um país/região ou organização tem sobre dados, particularmente em relação ao local em que esses dados são armazenados e processados. Esse conceito molda como cargas de trabalho confidenciais são arquitetas, governadas e auditadas em ambientes de nuvem. Neste artigo, você explorará os princípios da soberania de dados e como eles se aplicam a ambientes de nuvem.

O que é soberania de dados?

A soberania de dados é um conceito multifacetado, que afirma que os dados estão sujeitos às leis e à governança do país/região em que os dados estão fisicamente localizados, independentemente de quem possui ou gerencia os dados. Esse conceito significa que as nações têm o direito de exercer autoridade legal sobre os dados armazenados dentro de suas fronteiras.

No entanto, embora Microsoft permita que você escolha onde seus dados residem, os direitos do país/região de hospedagem são limitados no contexto de acesso a esses dados. Os reguladores não podem exigir acesso aos dados apenas com base em sua localização. Em vez disso, o acesso é regido por processos legais e salvaguardas controladas pelo cliente.

Principais princípios

A soberania de dados baseia-se em quatro princípios fundamentais:

Princípio Descrição
Propriedade de dados As organizações mantêm a propriedade e o controle de seus dados, mesmo quando armazenados em serviços de nuvem de terceiros.
Proteção de Dados &privacidade Dados confidenciais devem ser protegidos por meio de medidas de segurança robustas e conformidade com as regulamentações de privacidade locais.
Transferência de dados transfronteiriços A movimentação de dados através das fronteiras internacionais está sujeita ao escrutínio regulatório e é restrita pelas leis nacionais.
Jurisdição legal O marco legal que rege os dados é determinado por sua localização física, independentemente da origem do proprietário dos dados.

Criptografia como um controle de soberania

Em ambientes de nuvem, a criptografia desempenha um papel central na imposição da soberania de dados. Os dados são criptografados por padrão, garantindo que o acesso físico à infraestrutura não conceda acesso a dados legíveis. Somente o proprietário ou o sistema de dados contém as chaves de criptografia, tornando a criptografia o mecanismo primário para manter o controle sobre os dados hospedados na nuvem. Para fornecer proteção abrangente em todo o ciclo de vida de dados, a criptografia normalmente é aplicada em três estados distintos: em repouso, em trânsito e em uso. Cada estado de criptografia aborda diferentes estágios de tratamento de dados e risco de exposição.

Tipo de Criptografia Descrição
Criptografia em trânsito Protege os dados conforme eles se movem entre redes , entre dispositivos, serviços ou data centers. Normalmente implementado usando TLS.
Criptografia em repouso Protege os dados armazenados em disco ou em outro armazenamento persistente, como bancos de dados, sistemas de arquivos e backups.
Criptografia em uso Protege os dados enquanto eles estão sendo processados ativamente na memória ou na CPU. Geralmente envolve tecnologias de computação confidenciais.

Por padrão, todos os serviços Azure usam criptografia em trânsito, incluindo comunicações região a região. Os serviços normalmente implementam a criptografia usando certificados TLS, que são gerados automaticamente quando um serviço é provisionado e assinado por uma autoridade de certificação pública confiável. Em alguns cenários, você pode trazer seus próprios certificados importando um arquivo PFX (com a chave privada) para um serviço ou manando o certificado por meio de Azure Key Vault.

Todos os serviços em Azure usam criptografia do lado do servidor para dados em repouso com PMKs (chaves gerenciadas pela plataforma). A plataforma gera e mantém essas chaves para você. Muitos serviços também dão suporte a CMKs (chaves gerenciadas pelo cliente). Dependendo do serviço, essas chaves podem funcionar em combinação com os PMKs para uma proteção ainda melhor. Você pode armazenar chaves gerenciadas pelo cliente em Azure Key Vault (standard ou Premium) ou, em muitos casos, em Azure Key Vault HSM gerenciado. Para suas cargas de trabalho soberanas mais confidenciais, use o HSM gerenciado do Azure Key Vault, uma vez que este serviço garante o controle total sobre as chaves de criptografia em um ambiente de inquilino único. Você é totalmente responsável por proteger o domínio de segurança, que deve ser baixado após a ativação da instância do HSM Gerenciado.

Você também pode considerar o Gerenciamento de Chaves Externas para cargas de trabalho regulamentadas específicas. Esse serviço é uma extensão do HSM gerenciado Azure Key Vault e permite que você possua e gerencie suas chaves fora de Azure. O gerenciamento de chaves externas é uma funcionalidade que permite que os clientes usem seus próprios HSMs (Módulos de Segurança de Hardware) para dar suporte a operações criptográficas para serviços de nuvem. Usando o gerenciamento de chaves externas, você pode armazenar suas chaves em seus próprios HSMs, que são fisicamente separados dos serviços de nuvem. Essa funcionalidade, conhecida como HYOK (Hold Your Own Key), garante que você sempre mantenha controle total sobre suas chaves. Esse controle total vem com mais responsabilidades, pois você é responsável pela disponibilidade, escalabilidade e backups de todo o material chave.

Embora a maioria das medidas de segurança de dados seja baseada na criptografia de dados em repouso e em trânsito, Azure Computação Confidencial também estende esses recursos à criptografia de dados em uso. Essa extensão significa que a instância de computação real, ao interagir com os dados descriptografados, utiliza criptografia no próprio espaço de memória alocado. Azure está totalmente em conformidade com os padrões Confidential Computing Consortium disponíveis no hardware Intel, AMD e NVIDIA.

Residência de dados

A residência de dados concentra-se principalmente no local em que os dados residem fisicamente. Considerações práticas, como desempenho, conformidade, residência de dados e continuidade de negócios. A tabela a seguir descreve os principais aspectos que influenciam as decisões de residência de dados:

Aspecto Descrição
Latência e desempenho As decisões de residência de dados podem afetar a velocidade e o desempenho do acesso a dados. Colocar dados mais próximos dos usuários finais reduz a latência e melhora a experiência geral do usuário.
Requisitos de conformidade Escolha as opções de residência de dados que se alinham aos requisitos de conformidade locais e específicos do setor. Essa escolha garante que os dados sejam armazenados de maneira consistente com as regulamentações aplicáveis.
Jurisdição legal A residência de dados gira em torno da escolha do data center ou da região de nuvem em que os dados são armazenados. Embora os dados normalmente estão sujeitos às leis de sua localização física, alguns países ou regiões declaram autoridade legal sobre dados mantidos por provedores de nuvem domésticos, independentemente da localização física.
Disponibilidade e redundância de dados Considerações sobre residência de dados influenciam estratégias de redundância e recuperação de desastre. Organizações e provedores de nuvem podem replicar dados para várias regiões para garantir alta disponibilidade e resiliência.

Usando Azure, Microsoft 365 e Dynamics 365, você pode escolher onde seus dados são armazenados para atender aos requisitos de residência de dados. Usando regiões de data center estrategicamente alinhadas na mesma geografia por meio de pares de região Azure, você pode aprimorar a redundância geográfica, garantir a recuperação priorizada e se beneficiar de atualizações escalonadas da plataforma, tudo isso mantendo a conformidade e melhorando a resiliência de dados.

Próximas Etapas 

  • Determine o escopo de residência necessário e as regiões Azure permitidas por classificação.
  • Cobertura de criptografia de inventário (em repouso, em trânsito e em uso) em relação às cargas de trabalho atuais.
  • Defina o modelo de propriedade de chave (PMK → CMK → EKM → HSM Gerenciado) por camada de dados.

Consulte também

  • Last updated on