Quando um órgão do setor público avalia uma plataforma de desktop virtual, a lista de finalistas geralmente se resume a nomes conhecidos, avaliados com base em recursos de segurança, desempenho e preço. Há uma questão que raramente aparece na matriz de avaliação, e é justamente essa que pode, discretamente, se sobrepor a todas as outras:
Quem, em última instância, pode ser obrigado a acessar seus dados?
Não onde os dados estão armazenados. Quem pode ser obrigado a entregá-los.
O risco da Lei CLOUD oculto em uma implantação “em conformidade”
A maioria das equipes de TI do governo tem os requisitos de residência de dados bem controlados. Os dados permanecem no país, em infraestrutura aprovada, criptografados e auditados. No papel, estão em conformidade.
Aí está a lacuna. Vários dos maiores provedores de desktop virtual e DaaS estão sujeitos à jurisdição dos EUA. De acordo com a Lei CLOUD dos EUA, um provedor sujeito à jurisdição dos EUA pode ser obrigado a apresentar dados em sua posse, custódia ou controle em resposta a uma solicitação judicial dos EUA, mesmo quando esses dados estiverem armazenados fora dos Estados Unidos. Um fornecedor que hospeda os dados da sua agência em um data center local não elimina necessariamente esse risco, pois a obrigação recai sobre o provedor, e não sobre a localização do servidor.
Para uma empresa comercial, esse risco costuma ser aceitável. Para um órgão governamental, ou qualquer organização sujeita a obrigações de soberania, isso pode ser motivo de desqualificação e, muitas vezes, só vem à tona na fase final do processo de aquisição — se é que chega a vir à tona. Uma plataforma pode atender a todos os itens de uma lista de verificação de residência e, mesmo assim, permitir que os dados do órgão fiquem acessíveis a um governo estrangeiro por meio do fornecedor.
Portanto, a questão da soberania não é “onde nossos dados ficarão armazenados?”, mas sim “nosso fornecedor está sujeito a legislação estrangeira que possa obrigá-lo a divulgar os dados?”. Se a resposta for sim, os controles de residência são uma medida parcial, não completa.
O que realmente diferencia as plataformas de VDI em termos de soberania e segurança
Depois de fazer a pergunta certa, há alguns fatores que realmente fazem a diferença na hora de distinguir uma plataforma da outra para uso no setor público.
Alôquação de responsabilidade do fornecedor.
Esse é o fator diferenciador que a maioria das avaliações deixa passar. Um fornecedor fora da jurisdição dos EUA, para começar, não está sujeito à Lei CLOUD. A Inuvika está sediada no Canadá e não está sujeita a ela. Para implantações locais, o Inuvika OVD Enterprise não coleta absolutamente nenhum dado do cliente, o que reduz significativamente essa exposição específica à Lei CLOUD; quando se prefere um serviço gerenciado, ele é fornecido por meio de parceiros de hospedagem locais independentes, em vez de uma única nuvem global.
Onde os dados ficam armazenados fisicamente durante uma sessão.
Centralizar os dados no data center, onde eles nunca ficam armazenados no terminal, representa uma vantagem estrutural em termos de segurança em relação aos desktops tradicionais. A plataforma deve, por padrão, manter os dados fora do dispositivo.
Arquitetura e superfície de ataque.
Os ambientes Windows continuam sendo um dos principais alvos de ransomware; portanto, reduzir a dependência do Windows no plano de controle da VDI pode diminuir a exposição a rotas de ataque comuns específicas do Windows. Uma plataforma baseada em Linux pode reduzir a exposição a vulnerabilidades comuns específicas do Windows e às dependências de atualizações de patch antes mesmo de qualquer configuração. O Inuvika OVD Enterprise é desenvolvido em Linux. Combine isso com um modelo Zero Trust, autenticação multifatorial integrada e criptografia de ponta a ponta como recursos nativos, em vez de complementos pagos.
Controle de terminais.
Um sistema operacional de thin client com configuração restrita, como o ResoluteOS da Inuvika, reduz a superfície de ataque dos terminais e, como benefício adicional, transforma hardware obsoleto em thin clients seguros, prolongando sua vida útil em vez de forçar uma renovação.
As agências que utilizam o discriminador de custos podem se defender
A soberania e a segurança determinam se uma plataforma é viável. O custo determina se ela resiste ao escrutínio público, e é no modelo de licenciamento que as plataformas apresentam as maiores diferenças.
O licenciamento por usuário nomeado significa que você paga por cada conta definida, esteja ela em uso ou não. O licenciamento por usuário simultâneo significa que você paga apenas pelos usuários conectados ao mesmo tempo. Para ambientes do setor público que operam em turnos ou sazonalmente, isso pode representar apenas uma fração do número total de funcionários nomeados. Uma plataforma baseada em Linux também evita o acúmulo de licenças do Windows Server e do SQL Server. Órgãos que estão migrando para o Inuvika OVD Enterprise relatam reduções no custo total de propriedade de até 60% em comparação com plataformas legadas, e o licenciamento por usuários simultâneos é muito mais fácil de justificar em um orçamento público do que um modelo por licença que se expande de acordo com o organograma.
Onde a Inuvika entra
O Inuvika OVD Enterprise foi desenvolvido com base na combinação de recursos de que o setor público realmente precisa: um fornecedor fora da jurisdição dos EUA, sem exposição à CLOUD Act; uma arquitetura Zero Trust baseada em Linux; flexibilidade de hipervisor e nuvem sem dependência de fornecedor; e um modelo de licenciamento por usuários simultâneos que resiste à análise orçamentária.
A comprovação é o que mais importa para os compradores do setor público, e a questão relevante é: que tipo de comprovação? Municípios alemães optaram pelo Inuvika OVD Enterprise, incluindo as cidades de Nuremberg, Sulzbach, Stadthagen e Diez. O fato de um governo preocupado com a soberania ter escolhido essa plataforma é a evidência mais direta de que o argumento acima se sustenta em processos reais de aquisição, e não apenas no papel.
A Inuvika também é aprovada em avaliações rigorosas de segurança e entrega de aplicativos de maneira mais ampla. A NASA avaliou várias alternativas antes de escolher a Inuvika para fornecer aplicativos Windows e Linux aos seus usuários. Isso demonstra a solidez do processo de avaliação, e não especificamente a soberania; uma agência ainda precisa se certificar separadamente quanto à jurisdição, e é exatamente por isso que a pergunta no início deste artigo vem em primeiro lugar.
Se sua agência estiver elaborando seus critérios de avaliação, a questão da soberania deve figurar no topo da matriz, e não nas notas de rodapé. Veja como o Inuvika OVD Enterprise se compara como um plataforma VDI soberana e segura, ou comece um teste gratuito para ver quanto seria possível economizar com o licenciamento concorrente.
Perguntas frequentes
A residência de dados atende aos requisitos de soberania do governo?
Não. A residência diz onde os dados são armazenados. A soberania, por sua vez, determina quem pode acessá-los legalmente ou obrigar o fornecedor a divulgá-los. Uma implantação em conformidade com os requisitos de residência ainda pode ficar exposta se o fornecedor estiver sujeito à legislação estrangeira.
A Inuvika está sujeita à Lei CLOUD dos EUA?
A Inuvika está sediada no Canadá e não está sujeita à jurisdição dos EUA; portanto, não está sujeita à lei CLOUD Act. Para implantações locais, o Inuvika OVD Enterprise não coleta dados dos clientes.
De que forma o licenciamento simultâneo reduz os custos de VDI para o setor público?
O licenciamento por usuários simultâneos significa pagar apenas pelo número máximo de usuários conectados ao mesmo tempo, em vez de pagar por cada usuário nomeado. Em ambientes do setor público que operam em turnos, sazonalmente ou em regime de meio período, esse número pode representar apenas uma fração do quadro de funcionários nomeados, o que facilita a justificativa no orçamento público.