BSI apresenta normas concretas para serviços de cloud soberanos
O Serviço Federal de Segurança da Tecnologia da Informação (BSI) definiu pela primeira vez, com os "Criteria Enabling Cloud Computing Autonomy" (C3A), normas concretas sobre quando os serviços de cloud podem ser considerados soberanos. Os novos critérios pretendem dar clareza sobretudo às aplicações críticas para a segurança da administração pública e aos operadores de infra-estruturas críticas.
Até agora reinava muitas vezes a incerteza quanto a que soluções de cloud podem efectivamente ser operadas de forma independente de fornecedores não europeus como a AWS, a Azure, a Alibaba ou a Huawei Cloud. "Interessam-nos soluções tecnicamente viáveis que formulem condições concretas", explica Thomas Caspers, vice-presidente do BSI.
Experiência prática integrada nas novas normas
No desenvolvimento dos C3A, o BSI apoia-se em vasta experiência prática com diversas variações de dependência. Na Alemanha foram já testadas várias abordagens de cloud soberana, entre elas:
- A cooperação SAP-Microsoft DelosCloud
- A Stackit da Schwarz-Digits
- A T-Systems Sovereign Cloud em cooperação com a Google
- A oferta European Sovereign Cloud da Amazon
Em paralelo, a autoridade francesa de segurança informática ANSSI testou abordagens semelhantes, nas quais estão sempre envolvidas empresas francesas, como o grupo de defesa Thales no S3NS, certificado segundo os requisitos SecNumCloud.
"Vimos, entre outros no exemplo da AWS European Sovereign Cloud, quantos mecanismos são necessários para manter uma cloud operacional", explica Caspers. "Mas não será possível continuar a operar tais ofertas totalmente desacopladas durante anos."
Critérios concretos para situações de emergência
As normas C3A definem requisitos precisos para diferentes cenários. Um critério central é o SOV-4-09-C, que estabelece os requisitos em caso de "disconnect" – a desacoplagem da cloud do operador extra-europeu:
- A operação tem de continuar sem perdas de disponibilidade, integridade, autenticidade e confidencialidade
- Tem de existir um processo documentado para a desacoplagem
- O operador tem de o testar e documentar pelo menos uma vez por ano
Nos requisitos relativos aos colaboradores, o BSI distingue diferentes níveis de segurança. O critério SOV-4-01-C1 exige que todos os colaboradores com acesso aos meios de operação tenham nacionalidade e residência na UE. Para aplicações de alta segurança, como autoridades de segurança ou a Bundeswehr, aplica-se o SOV-4-01-C2: aqui todos os colaboradores têm de ter residência dentro da República Federal.
Para o estado de defesa previsto na Lei Fundamental, os requisitos são especialmente rigorosos: os prestadores de serviços de cloud têm de estar em condições de entregar a operação às autoridades federais, incluindo o material e o pessoal necessários.
Efeitos nas infra-estruturas críticas e na tecnologia de segurança
As novas normas não são, para já, juridicamente vinculativas, mas podem ser declaradas requisitos mínimos em legislação ou concursos públicos. "Os C3A podem tornar-se a referência da administração federal", afirma Caspers.
Isto ganha especial relevância pela ligação a regras já existentes: os organismos federais estão obrigados a aplicar a protecção básica de TI (IT-Grundschutz) do BSI. Na utilização de serviços de cloud externos têm de cumprir o módulo OPS 2.2 e a norma mínima para utilização de serviços de cloud externos (MST-NCD). Os C3A complementam estes critérios de segurança com aspectos de soberania digital.
Para os operadores de infra-estruturas críticas, já sujeitos a requisitos de segurança rigorosos, as novas normas significam uma segurança adicional de planeamento. As empresas de áreas como energia, água, saúde ou telecomunicações podem agora escolher de forma dirigida soluções de cloud que cumprem tanto os requisitos técnicos de segurança como os de soberania.
Dimensão europeia e perspectivas futuras
A publicação dos critérios C3A ocorre estrategicamente antes da apresentação prevista do Cloud and AI Development Act (CADA) pela Comissão Europeia, a 27 de maio. Os observadores esperam que a vice-presidente da Comissão Europeia, Henna Virkkunen, defina com o CADA critérios mais claros para a soberania na cloud.
Se critérios semelhantes vierem a constar dos anexos das leis de segurança informática, como a NIS2 ou o Cybersecurity Act, isso teria efeitos determinantes em toda a Europa. A proposta alemã poderia então tornar-se a norma para serviços de cloud soberanos em toda a UE.
Para o sector da tecnologia de segurança, estes desenvolvimentos significam uma nova segurança de planeamento na escolha de serviços de cloud para aplicações críticas. Se os grandes hyperscalers conseguirão cumprir os requisitos rigorosos dependerá do perfil de exigências de cada cliente e da pressão regulamentar para escolher soluções soberanas.
