Quando alguém pergunta se a nuvem da empresa é soberana, a resposta mais comum é “os dados ficam em São Paulo”. Pois a nuvem soberana do governo federal brasileiro, que já consumiu mais de R$ 1,8 bilhão de Serpro e Dataprev em contratos e equipamentos, segundo o SINDPD, mostra que essa resposta cobre só uma parte do problema. A metodologia que o Serpro criou para medir o resto serve de roteiro para qualquer gestor de TI que contrate cloud.
Localização do dado é só um terço da conta
O Serpro desenvolveu o Gradiente de Soberania, um índice de 15 critérios dividido em três dimensões: 30% para soberania de dados, 40% para soberania operacional e 30% para soberania tecnológica, conforme o próprio Serpro. O resultado é um Índice de Soberania Geral, classificado de “muito baixo” a “muito alto”, como detalha a Convergência Digital.
Repare no peso maior da dimensão operacional. Quem administra o ambiente, de onde, com qual console e com qual chave pesa mais do que o endereço do data center. O presidente do Serpro, Wilton Mota, afirmou que soberania não se reduz a um rótulo binário nem ao lugar físico onde o dado está, e que a avaliação precisa estabelecer quem tem acesso às chaves criptográficas.
O estudo apresentado pelo professor Leonardo David Quintiliano, da ESEG, na mesma linha, aponta que servidores em território nacional não garantem controle jurídico exclusivamente brasileiro, já que empresas podem estar sujeitas a leis estrangeiras, como relata o TI Inside. O índice proposto no estudo ainda é acadêmico e não passou por validação empírica.
O teste de desconexão: simples de explicar, difícil de passar
A ideia mais aproveitável do modelo é o Teste de Desconexão. A solução vai para um laboratório, a conexão internacional é cortada e os avaliadores verificam o que continua de pé: workloads, autenticação, APIs, VMs, Kubernetes, storage, bancos de dados, gestão de chaves, DNS, monitoramento, backup, restore e administração, de acordo com a Convergência Digital. Se o console de gestão fica hospedado fora do data center nacional, ou se a administração exige uma conexão externa permanente, isso conta como dependência.
O mesmo exercício cabe em qualquer empresa. Imagine que o link com o provedor caia por uma semana, seja por falha, sanção ou disputa contratual. O que você consegue operar sozinho? Se a resposta depende de um painel no exterior, você tem uma dependência que provavelmente não está no seu registro de riscos.
O papel aceita tudo, o laboratório não
Outro dado que merece atenção: a bateria de verificações do Serpro saiu de cerca de 70 para cerca de 500 testes. Segundo Alexandre Improta, do Serpro, alguns requisitos que estavam atendidos no papel não se sustentaram na prática, conforme o Serpro. É um lembrete útil para quem fecha contrato de cloud olhando apenas a matriz de conformidade do fornecedor.
O caso da AWS ilustra o limite. Em fevereiro, Mota contou que a AWS cedeu e passou a propor uma nuvem soberana isolada dentro da infraestrutura do Serpro, em fase de estudo e validação, mas reconheceu que, fora do modelo da Huawei, os ambientes não são completamente isolados: a orquestração é externa e as atualizações de software levantam questões, segundo a Convergência Digital. São declarações do próprio presidente da estatal, sem verificação independente no texto.
O que levar para a sua contratação de cloud
Você não precisa de uma estatal para aplicar a lógica. Um roteiro enxuto, adaptado do Gradiente:
- Mapeie por camada. Separe dados, operação e tecnologia, e dê peso a cada uma conforme o risco do seu negócio. Para muitas empresas, a operação vai pesar mais que o armazenamento.
- Pergunte quem guarda as chaves. Custódia de chaves criptográficas e jurisdição do fornecedor entram na conversa antes da região do data center.
- Faça o seu teste de desconexão. Simule a perda do acesso ao plano de controle do provedor e registre o que para: autenticação, DNS, backup, restore, monitoramento.
- Classifique os workloads. No governo, informações com restrição legal de acesso, como sigilo fiscal e bancário, devem ficar no ambiente soberano, salvo decisão expressa. Dados menos sensíveis podem continuar na nuvem pública.
- Teste, não confie só no questionário. O salto de 70 para 500 verificações do Serpro vale como referência de maturidade.
Soberania não é isolamento
O governo não está abandonando as big techs. Equipamentos de AWS, Google e Huawei, entre outros, passam a ficar em data centers das estatais, e os ambientes AWS Outposts, Google Distributed Cloud e Huawei Cloud Stack já foram homologados, segundo o SINDPD. Desde 2025, mais de 250 órgãos federais precisam priorizar a nuvem soberana, salvo justificativa técnica do Comitê de Governança Digital, de acordo com a Convergência Digital.
A lição para o setor privado não é migrar tudo para dentro de casa. É saber, workload a workload, o quanto você aceita depender de terceiros e ter evidência de que consegue operar se essa dependência sumir.
Conclusão
O Gradiente do Serpro tem limites, e os 15 critérios nem foram publicados por completo. Mesmo assim, ele muda a pergunta de “onde está o dado?” para “quem consegue desligar, ler ou administrar o meu ambiente?”. Qual dos seus sistemas críticos não sobreviveria a um corte de conexão com o provedor? Se você não sabe responder, esse é o primeiro teste a rodar.