Os quadros de nuvem soberana na Europa

Os principais quadros

• EU Cloud Sovereignty Framework (SEAL). A escala da Comissão Europeia para a soberania na contratação de serviços de nuvem, pontuada por objetivo de SEAL-0 a SEAL-4.
• SecNumCloud (França). A qualificação da ANSSI para serviços de nuvem de confiança, com requisitos rigorosos de imunidade face a direitos não europeus.
• BSI C5 (Alemanha). O Cloud Computing Compliance Criteria Catalogue do gabinete federal alemão de segurança da informação, uma norma de auditoria muito difundida para a segurança na nuvem.
• BIO (Países Baixos). A Baseline Informatiebeveiliging Overheid, o quadro de segurança da informação da administração pública neerlandesa.
• ENS (Espanha). O Esquema Nacional de Seguridad, o quadro nacional de segurança dos sistemas de informação do setor público espanhol.
• Qualificação ACN (Itália). A qualificação de serviços de nuvem para a administração pública italiana pela agência nacional de cibersegurança.

Em Portugal, o Centro Nacional de Cibersegurança publica o Quadro Nacional de Referência para a Cibersegurança, que muitas entidades usam como referência nos seus requisitos de segurança.

O que significa para uma plataforma de vídeo

A maioria dos quadros partilha o mesmo núcleo: controlo europeu, jurisdição clara, segurança documentada e possibilidade de sair. O StreamZilla publica as suas declarações de conformidade e a sua autoavaliação SEAL e fornece a fundamentação para o seu concurso. Pergunte-nos que quadro tem de cumprir.

Como funciona a escala SEAL

O EU Cloud Sovereignty Framework pontua oito objetivos de soberania, de SOV-1 a SOV-8, cada um de SEAL-0 a SEAL-4. Funcionam dois mecanismos em conjunto:

• Um mínimo por objetivo. O nível SEAL global é o mais baixo atingido em qualquer um dos objetivos. Um único ponto fraco determina o nível.
• Uma pontuação ponderada. O Sovereignty Score pondera os oito objetivos e ordena as propostas que atingem os mínimos. A soberania da cadeia de fornecimento é a que mais pesa, com 20 %.

Não há nenhum esquema de certificação por trás do SEAL. Um nível oficial só existe quando um comprador público avalia um fornecedor num concurso. Desconfie de fornecedores que apresentam o SEAL como um selo.

A autoavaliação do StreamZilla: SEAL-4 em sete de oito objetivos

Avaliámo-nos nos oito objetivos, com provas para cada afirmação. O StreamZilla atinge SEAL-4 em sete objetivos e SEAL-3 num. Como o nível global é a nota mais baixa, o nosso nível global é hoje SEAL-3.

• SOV-1 Estratégico (SEAL-4): uma empresa neerlandesa com empresa-mãe neerlandesa, propriedade e financiamento totalmente nos Países Baixos, sem controlo por parte de qualquer ator de fora da UE.
• SOV-2 Jurídico e jurisdicional (SEAL-4): apenas direito neerlandês e europeu. Nenhuma empresa-mãe, filial ou acionista fora da UE, e nenhuma via pela qual um governo de fora da UE possa impor o acesso aos dados.
• SOV-3 Dados e IA (SEAL-4): todo o tratamento no EEE, cifra com chaves que nós guardamos, sem modelo de negócio baseado nos seus conteúdos ou dados. As funcionalidades de IA usam modelos abertos na nossa própria infraestrutura na UE, e os seus conteúdos nunca treinam o modelo de ninguém.
• SOV-4 Operacional (SEAL-4): operação, suporte e desenvolvimento inteiramente pelos nossos próprios colaboradores nos Países Baixos, sem subcontratação nem suporte deslocalizado.
• SOV-5 Cadeia de fornecimento (SEAL-4): uma cadeia excecionalmente curta de dois fornecedores europeus, cada um identificado com o seu país e o direito aplicável. Sem hyperscalers, sem redes de análise ou publicidade. O serviço corre em servidores normais, sem depender de um único fabricante de hardware.
• SOV-6 Tecnologia (SEAL-4): normas abertas, sem formatos proprietários, sem custos de saída ou de egress, e a escolha entre infraestrutura partilhada, o seu próprio hardware ou um funcionamento totalmente isolado nas suas instalações.
• SOV-7 Segurança e conformidade (SEAL-3): segurança em mãos neerlandesas, com um SGSI em funcionamento e aplicação voluntária das medidas da NIS2. Este objetivo fica em SEAL-3 até obtermos a certificação ISO 27001: é uma questão de prova, não de controlo.
• SOV-8 Sustentabilidade ambiental (SEAL-4): centros de dados com certificação verde e energia renovável, e uma codificação muito eficiente que precisa de muito menos armazenamento e tráfego.

Assim que obtivermos a certificação ISO 27001, os oito objetivos estarão em SEAL-4. Clientes e compradores públicos podem pedir a autoavaliação completa, com as provas por objetivo. Veja confiança e conformidade.