Pontos principais
- O AWS GovCloud (US) é um ambiente de nuvem isolado física e logicamente, operado em solo americano por cidadãos dos EUA previamente avaliados, criado para cargas de trabalho sujeitas a ITAR, CJIS, FedRAMP e DFARS.
- MSPs e departamentos de TI precisam de ferramentas de backup compatíveis com o AWS GovCloud, com controle de acesso baseado em IAM, armazenamento WORM e versionamento. Dropsuite, Veeam e Commvault aparecem como opções compatíveis.
- A soberania de dados no GovCloud exige desativar a replicação de backup para destinos fora do GovCloud e gerenciar a criptografia com chaves gerenciadas pelo cliente (CMKs) no AWS KMS.
- Automatizar agendamentos de backup, políticas de retenção e imutabilidade com recursos como o S3 Object Lock reduz o risco de conformidade criado por processos manuais.
- Comprovar conformidade a auditores do governo depende dos logs do CloudTrail, da autenticação multifator e de funções IAM limitadas pelo princípio do menor privilégio.
Departamentos de TI e MSPs que atendem agências e contratantes do governo dos EUA precisam cumprir requisitos rígidos de segurança sobre onde e como os dados são armazenados, além de quem participa do processo de hospedagem e gerenciamento. O AWS GovCloud (US) responde a isso com duas regiões soberanas e isoladas, operadas em solo americano por cidadãos dos EUA previamente avaliados.
Este artigo mostra como estruturar soluções de backup e recuperação com o AWS GovCloud ao lidar com dados ou clientes sujeitos a regulamentações como ITAR, CJIS, FedRAMP e DFARS. Abordamos planejamento de infraestrutura, requisitos de conformidade, recomendações de ferramentas e boas práticas operacionais para cargas de trabalho do setor público e da defesa dos EUA.
O que é o AWS GovCloud (US) e como ele se diferencia da nuvem comercial
O AWS GovCloud (US) reúne duas regiões AWS isoladas (data centers em uma localização geográfica física) com equipes formadas apenas por cidadãos dos EUA. Assim, dá para usar a infraestrutura de nuvem dessa região para processar e armazenar dados sensíveis sujeitos a requisitos especiais de proteção de dados do governo americano.
Isso a diferencia de outras ofertas de nuvem pública comercial, que podem ter equipes com profissionais de outras nacionalidades, ficar fora dos Estados Unidos ou não estar isoladas física e logicamente de infraestruturas que não atendem aos mesmos padrões de segurança.
Principais recursos do AWS GovCloud (US):
- Infraestrutura isolada física e logicamente
- Controle e operação por cidadãos dos EUA em solo americano
- Suporte a regulamentações do governo americano para dados sensíveis, incluindo FedRAMP High, ITAR, CJIS e DoD SRG IL4 e DoD SRG IL5
- Compatibilidade com AWS EC2, S3, RDS, Lambda e integrações de backup
Para usar esses serviços, é preciso ser elegível: contratantes federais, subcontratados do DoD, agências estaduais e municipais que exigem conformidade com CJIS e demais contratantes, provedores de serviços de nuvem (CSPs) ou provedores de serviços gerenciados (MSPs) que atendem agências federais, estaduais, municipais, tribais ou ligadas à defesa dos EUA precisam validar a elegibilidade junto à AWS e comprovar o escopo de conformidade e a verificação dos usuários.
Alinhamento com conformidade e segurança
Os frameworks de conformidade a seguir têm suporte explícito no AWS GovCloud (US). Vale lembrar: ao desenhar as políticas de backup, o ideal é alinhá-las aos requisitos específicos de cada agência e documentar todas as medidas de conformidade e salvaguardas técnicas.
| Framework de conformidade | Suporte no AWS GovCloud (US) |
| FedRAMP High | Suportado (ATO válida para todo o governo) |
| ITAR | Totalmente em conformidade com as restrições de controle de exportação quando configurado corretamente |
| CJIS | Atende às políticas de segurança criminal do FBI |
| DFARS/NIST 800-171 | Viabiliza a conformidade de contratantes do DoD com implementação cuidadosa |
| DoD SRG IL4/DoD SRG IL5 | Suportado com a configuração adequada das cargas de trabalho |
| CMMC 2.0 | Autoavaliação da Fase 1 em vigor; certificação por terceiros da Fase 2 suspensa até revisão do DoD (em julho de 2026); as obrigações subjacentes da NIST 800-171/DFARS continuam valendo |
Observação: o status do CMMC 2.0 ainda está em transição. Os requisitos de autoavaliação da Fase 1 entraram em vigor em 10 de novembro de 2025 e continuam valendo, mas, em julho de 2026, o Department of War suspendeu a exigência da Fase 2, que tornaria obrigatória a certificação por terceiros (C3PAO) a partir de novembro daquele ano.
Uma revisão conduzida pelo departamento está em andamento para recomendar um framework revisado. A obrigação de proteger informações de defesa cobertas pela DFARS 252.204-7012 e pela NIST SP 800-171 não mudou, então as organizações devem seguir construindo práticas de backup preparadas para o CMMC, mesmo com o cronograma de certificação em aberto.
Como montar uma estratégia de backup de MSP no GovCloud
Antes de projetar e implementar uma solução de backup baseada no AWS GovCloud, entenda a fundo a classificação dos dados do cliente (como CUI, ITAR, FCI ou dados classificados IL4–IL6) e quais regulamentações se aplicam a ele. A partir daí, dá para desenhar a solução de backup conforme esses requisitos.
O GovCloud oferece uma infraestrutura que ajuda a manter a conformidade com as leis e os requisitos de segurança do governo americano, mas é fundamental consultar especialistas jurídicos e técnicos familiarizados com esse cenário durante todo o planejamento e a implementação. Falar com os fornecedores dos produtos é um bom primeiro passo: eles conhecem como suas soluções atendem à conformidade e já têm experiência no onboarding de clientes com requisitos semelhantes.
Passo 1: escolha uma ferramenta de backup compatível
As ferramentas de backup precisam ser compatíveis com o armazenamento hospedado no AWS GovCloud e com o gerenciamento de identidade e acesso (IAM) para controle de acesso. Também devem oferecer armazenamento WORM (write once, read many, ou seja, os dados não podem ser alterados depois de gravados) e versionamento para fins de conformidade.
Entre as soluções de backup com integração ao AWS GovCloud (US), estão Dropsuite (uma empresa NinjaOne), Veeam e Commvault.
Passo 2: configure as definições de soberania de dados
Para garantir a soberania de dados, tudo precisa permanecer nos Estados Unidos e não sair da região do AWS GovCloud. Para isso funcionar, desative a replicação de dados em todas as ferramentas de backup para qualquer destino fora do GovCloud.
A criptografia também é obrigatória. O gerenciamento das chaves de criptografia pode ser feito com o AWS KMS, usando chaves gerenciadas pelo cliente (CMKs) dentro do próprio GovCloud.
Passo 3: automatize políticas de backup e retenção
A automação impede que o erro humano comprometa a conformidade. Agende os backups conforme seus objetivos de tempo de recuperação (RTO) e objetivos de ponto de recuperação (RPO) e aplique políticas de ciclo de vida. O armazenamento em camadas (por exemplo, S3 Standard e S3 Glacier) ajuda a manter backups econômicos e em conformidade.
Avalie e implemente recursos de armazenamento da AWS que favorecem a conformidade, como o S3 Object Lock para criar backups imutáveis e o versionamento para gerar backups históricos com uso eficiente de armazenamento.
Passo 4: audite logs e proteja o acesso
Você precisa comprovar a conformidade sempre que um órgão governamental solicitar. Configure o CloudTrail na sua região do AWS GovCloud para rastrear mudanças, de modo que toda atividade relevante de usuários e de API fique registrada.
Implemente autenticação multifator (MFA) para todos os administradores (e, de preferência, para todos os usuários). As funções IAM devem se limitar apenas às tarefas que cada usuário ou serviço precisa executar, seguindo o princípio do menor privilégio.
Integração com o Microsoft GCC High
Se usa o Microsoft 365 GCC High, um serviço de nuvem semelhante voltado a contratantes do governo americano, precisa fazer backup dos dados armazenados nele em um serviço com paridade de conformidade. Isso reduz as opções para proteger dados cobertos pelos frameworks de proteção de dados do governo dos EUA.
O AWS GovCloud (US) resolve esse obstáculo: oferece uma infraestrutura em conformidade que serve como destino de backup em uma implantação multinuvem, evitando combinar uma infraestrutura Microsoft 365 em conformidade com backups guardados na nuvem pública, o que violaria as regulamentações.
Outras considerações de segurança de dados e boas práticas para MSPs e CSPs
MSPs e CSPs multi-tenant podem adotar considerações e boas práticas adicionais para aproveitar melhor o AWS GovCloud e reforçar a conformidade com as leis de proteção de dados:
- Separe os dados de cada cliente
- Criptografe os dados e restrinja o acesso com controle de acesso baseado em funções (RBAC), aplicando o princípio do menor privilégio (PoLP)
- Garanta que o sistema de backup ofereça logs de auditoria, retenção legal e cadeia de custódia
- Treine a equipe para lidar com dados regulados e deixe claras as responsabilidades, incluindo controles de exportação e SLAs específicos de cada cliente
Teste o processo de recuperação com regularidade e confirme que os backups contêm todos os dados exigidos, atendem aos padrões de conformidade e cumprem os RTOs.
Conformidade em todo o conjunto de ferramentas de TI
Manter a conformidade legal exigida para atuar como contratante ou subcontratado do governo americano é complexo e exige aderência a vários padrões rígidos de segurança em toda a infraestrutura e nos processos de TI.
Escolher ferramentas que apoiem essa conformidade é essencial para uma operação eficiente, capaz de atender vários clientes em ambientes regulados pelo governo. Usar o AWS GovCloud (US) é uma dessas medidas, pois assegura a soberania dos dados e a presença das salvaguardas técnicas exigidas.
Gerenciar sua infraestrutura de TI e a dos seus clientes também exige conformidade. NinjaOne oferece uma plataforma unificada de gerenciamento de TI, com backup, monitoramento e gerenciamento remoto (RMM), gerenciamento de dispositivos móveis (MDM) e ferramentas de suporte ao cliente. Estamos em conformidade com diversos frameworks de proteção de dados do governo americano desde o primeiro dia (e mais estão por vir), e nossas ferramentas podem ser configuradas para armazenar dados no AWS GovCloud e atender a necessidades mais exigentes de conformidade.
Se você é um MSP que atua no setor público e quer simplificar as operações de TI e crescer mais rápido, fale com um representante NinjaOne para discutir seus requisitos de segurança e conformidade.
