Guillem Alsina Gonzàlez
Historicamente, a localização física dos servidores ditava as políticas de controlo da informação, mas a evolução normativa e tecnológica transformou este paradigma. A entrada em vigor das normas europeias de proteção da privacidade estabeleceu que a informação deve ser gerida com elevados padrões, independentemente do local onde seja armazenada. Atualmente, um conjunto de dados alojado em território nacional não cumpre os requisitos de soberania se uma entidade de propriedade estrangeira tiver acesso ao mesmo e, pelo contrário, a informação armazenada no estrangeiro pode cumprir estas exigências se estiver sujeita a normas rigorosas de confidencialidade, disponibilidade e portabilidade.
Para compreender como os diretores de tecnologia navegam neste ambiente distribuído, o jornal Mobile World Live realizou uma investigação entrevistando mais de duzentos responsáveis globais pela segurança e sistemas de informação, o que resultou no documento Data sovereignty in an AI and cloud-centric world: A briefing document for CTOs. O Mobile World Live é o órgão de comunicação oficial da GSMA, que publica notícias da indústria tecnológica com especial ênfase no mundo da mobilidade.
A utilização de ferramentas de aprendizagem automática e análise avançada consolidou-se como uma prioridade empresarial para as empresas de telecomunicações, e a grande maioria das organizações considera que estas tecnologias são estratégicas para melhorar a segurança das suas redes, ao ponto de um quinto dos inquiridos classificar esta tarefa como urgente, face a uma minoria que lhe atribui pouca importância. Estas ferramentas permitem aos analistas de sistemas gerir enormes volumes de eventos e priorizar alertas da forma mais eficiente para fazer face à escassez generalizada de pessoal qualificado.
No entanto, e apesar desta urgência técnica, o ritmo de implementação real é lento, com grande parte das empresas ainda em fase de testes ou sem ter adotado estas tecnologias. Este atraso explica-se pela complexidade intrínseca de proteger a informação em ambientes informáticos híbridos, pela falta de interoperabilidade entre os diferentes produtos e pela própria incerteza económica.
Ao redesenhar os fluxos de trabalho para integrar estas novas capacidades algorítmicas, os responsáveis técnicos alertam que vários serviços em cloud serão profundamente afetados; as bases de dados geridas representam a área de maior impacto para 41% dos profissionais, seguidas dos próprios serviços algorítmicos geridos, da gestão de chaves e das funções sem servidor.
Ao utilizar estas infraestruturas públicas, o principal obstáculo que travou os projetos de segurança algorítmica é o risco associado à soberania e à privacidade dos dados, mencionado por 62% dos gestores. A este grande desafio somam-se as dificuldades quotidianas para partilhar informações de forma segura, a conformidade legal e o receio de fuga ou roubo de propriedade intelectual.
Perante a crença errada de alguns gestores que confiam cegamente nas ferramentas predefinidas dos fornecedores de cloud, a indústria técnica está a recorrer à chamada computação confidencial, uma arquitetura que protege a informação enquanto está em uso através do seu isolamento num ambiente de execução de confiança baseado em hardware, independentemente da empresa fornecedora ou da localização geográfica. Os fabricantes de semicondutores desenvolvem estas bases de confiança ao nível da aplicação e da máquina virtual, enquanto diversas empresas de software complementam a infraestrutura com sistemas de encriptação adaptados à era pós-quântica.
Neste contexto, a verdadeira soberania exige que a informação permaneça oculta a terceiros, que esteja sempre acessível ao proprietário e que possa ser transferida livremente entre diferentes plataformas de armazenamento. A conclusão do documento da Mobile World Live é que, conscientes desta necessidade técnica ineludível, a imensa maioria dos líderes de segurança prevê utilizar a computação confidencial durante o próximo ano para consolidar o controlo dos seus ativos na cloud e no perímetro físico das suas redes.
