Resumo

  • Thales anunciou em 14 de setembro a disponibilidade de Luna Cloud HSM hospedado no Reino Unido. As chaves serão geradas, armazenadas, usadas, copiadas para backup e destruídas no país.
  • Duas instâncias britânicas de Data Protection on Demand apoiam a oferta declarada de disponibilidade e recuperação de desastres. A localização não comprova um teste de restauração ou a conformidade de toda a aplicação.

Uma exigência de manter chaves criptográficas em determinado país também precisa contemplar as cópias usadas para recuperá-las. Caso contrário, a descrição do ambiente principal pode ser precisa e a do procedimento de emergência continuar incompleta. A nova oferta britânica da Thales torna esse limite mais explícito.

Em 14 de setembro, a empresa anunciou Luna Cloud HSM hospedado no Reino Unido por meio de Data Protection on Demand. Segundo o comunicado, geração, armazenamento, uso, backup e destruição das chaves ocorrerão no país. Duas instâncias britânicas deverão fornecer alta disponibilidade e recuperação de desastres dentro dessa fronteira.

É uma condição de produto mais detalhada que a simples indicação do local de operação. Ainda é, contudo, uma declaração do fornecedor. O anúncio não apresenta um exercício de recuperação concluído nem a aprovação de uma implantação de cliente por um regulador.

A chave não determina a residência de todo o ambiente

Um módulo de segurança de hardware, ou HSM, protege chaves e executa operações criptográficas com elas. A modalidade em nuvem permite usar essas funções sem implantar e administrar infraestrutura HSM dedicada ao serviço. Thales cita organizações britânicas reguladas e do setor público entre os usuários visados.

Isso não coloca automaticamente no Reino Unido os dados da aplicação, seus registros, o software cliente ou os administradores. Também não transforma todo ambiente híbrido que utilize o serviço numa operação exclusivamente nacional.

O próprio comunicado afirma que soberania envolve mais que localização física: inclui acesso, controle e exigências operacionais. A novidade comercial é uma alternativa geográfica definida para o ciclo de chaves gerenciado, não um certificado universal de conformidade.

O anúncio não informa preço, quantidade de clientes ou uma divisão detalhada das responsabilidades de recuperação. Tampouco publica compromissos precisos de tempo e ponto de recuperação, prazo de retenção de estados anteriores ou arquitetura de isolamento de falhas. Duas instâncias não equivalem, sem outras evidências, a duas regiões independentes verificadas ou à proteção contra qualquer interrupção de alcance nacional.

Disponibilidade atual não é histórico preservado

A documentação geral de Luna explica uma diferença importante. No guia de alta disponibilidade, membros de reserva recebem objetos replicados no estado atual. Essa função, isoladamente, não mantém várias gerações anteriores do conteúdo de uma partição. Quando é necessário preservar estados passados, o guia remete a backups específicos.

Trata-se de orientação geral da família de produtos, não de um desenho da nova implantação britânica. Ela não demonstra que as duas instâncias adotam esse arranjo administrado pelo cliente nem que a nova oferta não possui cópias históricas. Mostra apenas por que a contagem de instâncias não responde qual estado válido será recuperável.

O guia de backup de Luna Cloud HSM recomenda documentar o conteúdo salvo, a frequência, o local, quem pode restaurar e a periodicidade dos testes. Recomenda exercitar a recuperação pelo menos a cada seis meses. Isso é prática geral sugerida pelo fornecedor, não uma nova exigência regulatória britânica ou um teste já realizado no serviço anunciado.

O mesmo manual descreve implementações com HSMs dedicados ao backup, domínios compatíveis e credenciais necessárias. Não significa que todos os clientes da oferta gerenciada precisem comprar esse equipamento. Significa que uma família de serviços admite arranjos diferentes e que as responsabilidades efetivas precisam ser especificadas.

A promessa territorial precisa encontrar o procedimento

O lançamento oferece uma condição concreta de localização para o comprador analisar. As próximas informações úteis ligariam essa condição aos incidentes cobertos, ao histórico disponível, aos objetivos de restauração e às pessoas autorizadas a executar as etapas.

Se o cliente acrescentar integrações ou componentes próprios de recuperação, o escopo e os requisitos geográficos desses elementos também precisam ser acordados. Essa é uma pergunta sobre implantação, não uma alegação de que o serviço britânico permita retirar chaves do país.

Na compra, convém separar duas evidências: onde as operações ocorrem e como um procedimento testado devolve o serviço criptográfico ao uso. A localização correta não substitui a capacidade de recuperar. Uma boa recuperação também não substitui a exigência territorial do cliente.

Fontes