Com a incerteza e a volatilidade geopolítica a atravessarem o mundo, organizações e governos querem, mais do que nunca, saber onde estão os seus dados e quem os controla. O Estreito de Ormuz, por exemplo, transporta cerca de 20% do petróleo mundial, mas também assegura uma parte significativa dos dados globais. Sete grandes cabos submarinos passam por este corredor, ligando a Europa à Ásia e suportando transações financeiras, cargas de trabalho em cloud e comunicações encriptadas de empresas que operam em diferentes fusos horários. Os avisos do Irão sobre a possibilidade de exercer controlo sobre estes cabos são um lembrete de que este tipo de operações se tornaram instrumentos de poder.
Atualmente há um padrão que surge de forma consistente: as organizações estão a dedicar tempo e energia a perceber onde residem os dados, através de cláusulas de soberania, acordos de cloud e mapeamento regulatório. No entanto, compreender como esses dados se movem, quem lhes pode aceder em trânsito e o que acontece quando a infraestrutura subjacente se torna disputada ou sofre disrupções continua a não ser devidamente explorada.
A Gartner prevê que, até 2030, mais de 75% das empresas fora dos Estados Unidos terão implementado uma estratégia de soberania digital. Isto mostra-nos quais são as prioridades, mas não nos diz quantas dessas estratégias continuarão de pé quando a conectividade se degrada ou quando um cabo é cortado. Uma organização pode tomar todas as decisões certas sobre onde os seus dados são armazenados e, ainda assim, perder o controlo sobre os mesmos. O verdadeiro teste ao sistema acontece sempre que uma identidade diferente se liga a uma aplicação, a uma carga de trabalho ou a um conjunto de dados sensíveis.
As arquiteturas tradicionais não foram concebidas para isto. Assumiam que os utilizadores estavam dentro de um perímetro de confiança e que as aplicações viviam no ecossistema corporativo. Esse modelo já não reflete a realidade. A força de trabalho distribuída é permanente. Os ambientes híbridos e multi-cloud são permanentes. O que não deve ser permanente é a premissa de que os modelos de conectividade ligados ainda conseguem aplicar controlos de soberania robustos nestes contextos.
A IA, por exemplo, alterou o custo e a velocidade dos ataques. O phishing com recurso a deepfakes, a usurpação de identidade altamente personalizada e o reconhecimento assistido por IA estão a tornar mais fácil para os atacantes chegar a executivos, administradores e utilizadores privilegiados. As mesmas tecnologias que as organizações estão a adotar para melhorar a produtividade estão também a tornar o comprometimento de identidades mais credível, mais rápido e mais difícil de detetar.
O mesmo padrão é visto nos serviços financeiros, na saúde, na indústria transformadora e no setor público em toda a região EMEA. A organização define uma estratégia de soberania, seleciona as jurisdições certas, e escolhe plataformas conformes. Depois, alguns meses mais tarde, descobre que os logs estão a ser processados numa consola não soberana, que os fluxos administrativos dependem de planos de controlo externos ou que o tráfego está a ser otimizado através de escolhas de encaminhamento que nunca foram desenhadas com a soberania em mente. Soberania sem controlo de acesso não é soberania plena. É residência de dados e, por si só, a residência não protege o negócio. Se o controlo passar por demasiadas ferramentas desconectadas, a soberania torna-se difícil de provar e ainda mais difícil de operar.
As organizações devem, por isso, deixar de separar o acesso à rede da estratégia de soberania. Cada decisão de acesso determina como a política é aplicada, sob que controlo e com que nível de confiança. Isto exige arquiteturas SASE distribuídas regionalmente, Zero Trust, SecOps potenciadas por IA e maior consolidação tecnológica, para garantir que a soberania não existe apenas no papel, mas resiste à degradação das rotas, à pressão regulatória, ao comprometimento de identidades e à disrupção da infraestrutura.
Num mundo frágil, a soberania digital tornou-se um teste à capacidade de as organizações manterem o controlo quando a infraestrutura é interrompida, as rotas são disputadas, as identidades estão sob ataque e as expectativas regulatórias continuam a aumentar. As estratégias de soberania estão a tornar-se mainstream, mas o verdadeiro desafio é perceber se conseguem sobreviver à realidade operacional.
