A Rede Nacional de Ensino e Pesquisa (RNP) é uma Organização Social (OS) ligada ao Ministério da Ciência, Tecnologia e Inovações (MCTIC) e mantida em conjunto com os Ministérios da Educação (MEC), Cultura (MinC), Saúde (MS) e Defesa (MD), por meio do Programa Interministerial RNP (PI-RNP). Como rede federal de ensino e pesquisa que atende milhões de estudantes e pesquisadores brasileiros, a RNP trata dados sensíveis de educação e pesquisa regidos pela LGPD e por mandatos federais de governança de TI.
Acompanhe a jornada
Navegue pelas etapas da transformação deste projeto
Uma rede nacional com base frágil
A RNP conecta instituições de ensino e pesquisa em todo o Brasil. Sua infraestrutura de nuvem, criada em 2018, já não acompanhava o crescimento da organização — a Landing Zone estava desatualizada e sem as configurações essenciais de segurança.
Landing Zone de 2018 desatualizada — sem criptografia de logs, sem políticas de controle
Landing Zone reestruturada com as melhores práticas atuais da AWS
Desafios — um imperativo de soberania
O ambiente AWS da RNP, estabelecido em 2018, era anterior aos controles de soberania esperados de um órgão federal. A dataRain identificou que a Landing Zone existente carecia de:
- Residência de dados por Região — sem controle sobre as Regiões AWS utilizadas;
- Trilha de auditoria centralizada e imutável — sem CloudTrail criptografado no nível da organização;
- Governança de identidade consistente — gestão de acessos fragmentada entre as agências, cada uma com seu próprio tenant Azure AD;
- Estrutura de contas defasada e ausência de políticas de controle de serviços (SCPs).
Para uma rede federal que trata dados públicos regidos pela LGPD, essas lacunas eram riscos de soberania: não havia garantia de que os dados de educação e pesquisa permaneciam sob controle nacional.
Solução — Landing Zone soberana por design
A dataRain reestruturou o ambiente da RNP em uma Landing Zone com AWS Control Tower + AWS Organizations, projetada para soberania digital:
- Residência de dados (region lock): SCPs garantem que todas as cargas e dados da RNP permaneçam exclusivamente na Região sa-east-1 (São Paulo). Políticas region-deny bloqueiam qualquer chamada de API que crie recursos ou transfira dados para fora da Região aprovada, com exceções restritas apenas a serviços globais (ex.: IAM, Route 53) — reforçando a localização de dados exigida pela LGPD.
- Auditoria imutável e criptografada: CloudTrail no nível da organização enviando logs criptografados com AWS KMS para uma conta Log Archive dedicada, protegidos com Amazon S3 Object Lock (WORM).
- Compliance contínuo: AWS Config com conformance packs e regras customizadas avaliando continuamente o baseline e detectando desvios de residência e configuração.
- Identidade entre agências: IAM Identity Center federado ao Azure AD/ADFS de cada agência, com permission sets baseados em papel e MFA obrigatório.
- Infraestrutura como código: a Landing Zone é versionada e implantada via Control Tower Account Factory customizations e CloudFormation StackSets, provisionando contas padronizadas e conformes com a residência.
Residência de dados (explícita)
Todas as cargas e dados da RNP residem exclusivamente em sa-east-1 (São Paulo, Brasil). As políticas deny das SCPs impedem a criação de recursos ou a transferência de dados para fora da Região aprovada, reforçando a localização de dados da LGPD e mantendo os dados e o control plane sob jurisdição nacional.
Serviços nativos de segurança
AWS Control Tower, AWS Organizations (SCPs), AWS CloudTrail, AWS Config, AWS KMS, Amazon S3 (Object Lock), IAM Identity Center, AWS Backup e AWS CloudFormation (StackSets) — escolhidos para garantir residência, auditabilidade e um alto padrão de segurança e conformidade.
Resultados e métricas
- 100% das cargas confinadas em sa-east-1 — residência de dados garantida por SCPs region-deny.
- Novas contas provisionadas em menos de 30 minutos, ante 2+ dias anteriormente (+200% de eficiência via Account Factory).
- 100% das contas sob SCPs obrigatórias desde o primeiro dia.
- Logs do CloudTrail imutáveis e criptografados com KMS, retidos conforme mandato federal (S3 Object Lock).
- MTTD < 15 minutos para eventos de segurança; MTTR < 4 horas para desvios de conformidade.
- ~70% de redução de acessos superprovisionados via matriz de menor privilégio.
- Federação de identidade Azure AD ↔ AWS simplificada e automatizada.
Lições aprendidas
- Federar identidade entre agências (cada uma com tenant e políticas de Azure AD distintos) exige um desenho cuidadoso de permission sets — uma matriz de menor privilégio mapeando papéis por agência reduziu em ~70% os acessos superprovisionados.
- Para órgãos públicos, a imutabilidade dos logs é inegociável — habilite o S3 Object Lock no CloudTrail desde o primeiro dia, pois a aplicação retroativa é complexa.
- Controles de soberania precisam equilibrar segurança e agilidade: "guardrail zones" (rígidas em produção, flexíveis em sandbox) permitem que as equipes de pesquisa inovem sem enfraquecer o baseline soberano.
Próximos passos
Para elevar ainda mais a maturidade de soberania, a dataRain sugeriu expandir os conformance packs (incluindo controles de residência), automatizar a coleta de evidências de auditoria e definir estratégia de Disaster Recovery in-Region.