O modo soberano é um interruptor de funcionalidade, não um selo de certificação

A Altovar está a clarificar uma distinção que continua a esbater-se nas discussões sobre soberania: o modo soberano, uma definição disponível na Auris, é uma postura do produto, não uma certificação. Ativá-lo altera o que o produto faz por predefinição. Não significa que a implementação tenha obtido a certificação ACN de Itália, a BSI C5 da Alemanha, a SecNumCloud de França, nem qualquer alegação de imunidade à CLOUD Act dos EUA.

O que o interruptor altera efetivamente

De acordo com a própria documentação do produto da Altovar, o modo soberano desativa por predefinição certos fornecedores de identidade social sediados nos EUA e o envio de SMS encaminhado por um fornecedor dos EUA, juntamente com um pequeno conjunto de alternâncias de postura relacionadas. A lista exata do que é afetado numa determinada implementação encontra-se na referência de configuração do produto, não no texto de marketing — porque o interruptor é uma definição, o seu âmbito deve ser verificado na documentação atual e não assumido a partir de uma descrição de uma linha.

Porque é que um interruptor não é uma certificação

ACN, BSI C5 e SecNumCloud são esquemas formais geridos por autoridades nacionais, cada um exigindo uma auditoria independente contra um conjunto publicado de controlos. A Agenzia per la Cybersicurezza Nazionale de Itália certifica serviços cloud vendidos ao setor público. A BSI da Alemanha gere o Cloud Computing Compliance Criteria Catalogue, conhecido como C5. A ANSSI de França gere a SecNumCloud, amplamente considerada a mais rigorosa das três porque exige que um fornecedor esteja legalmente domiciliado e seja operacionalmente independente de influência externa à UE. Nada disto é algo que um fabricante de software possa atribuir a si próprio ao disponibilizar um sinalizador de configuração — cada um exige um auditor nomeado, um âmbito de avaliação e um certificado com data de validade.

Porque é que isto é importante para os compradores

As equipas de compras que avaliam requisitos de soberania de dados por vezes interpretam as definições predefinidas de um fornecedor como equivalentes a uma garantia certificada. Não são a mesma alegação. Um comprador que necessite de SecNumCloud, C5 ou ACN para um concurso específico deve pedir ao fornecedor o certificado e o seu âmbito, não uma lista de interruptores. A posição da própria Altovar é manter estes factos separados: o modo soberano descreve o que o produto faz; a certificação descreve o que um auditor independente verificou.

Fontes: SecNumCloud (Wikipedia), OVHcloud sobre normas de segurança da UE.