1.
小分段:梳理法律边界 —— 列表方式识别适用法律(LGPD、金融/医疗行业专规)并记录数据类型(个人数据、敏感个人数据、匿名化数据)。
小分段:确定合规基线 —— 确定需在巴西境内处理/存储的数据类别;如果必须驻留,列入“驻留清单”。
2.
小分段:列出候选厂商(例如:AWS sa-east-1、Azure Brazil South、Google São Paulo、本地托管商)并收集证据(数据中心地点、DPA、第三方审计报告)。
小分段:评估要点 —— 数据驻留承诺、可见性(日志审计)、加密与密钥管理、法律响应流程(司法要求应对)和 SLA/可用性。
3.
小分段:签署前必须索取并核对数据处理协议(DPA),明确数据处理者/控制者角色、数据驻留条款与删除流程。
小分段:附加条款建议 —— 明确跨境传输条件、BYOK(自带密钥)、审计权限、事故通知时间(建议≤72小时)与责任限制。
4.
小分段:创建私有网络(VPC/VNET)—— 在巴西区域起VPC,划分子网、公私域,配置NAT/Internet Gateway。示例(AWS CLI):aws ec2 create-vpc --cidr-block 10.0.0.0/16 --region sa-east-1。
小分段:安全组/ACL —— 最小权限开放端口,管理入口白名单,启用流量日志(VPC Flow Logs/Network Watcher)。
5.
小分段:加密要点 —— 开启静态数据加密(KMS),传输层使用TLS 1.2+,对敏感字段做应用层加密。
小分段:密钥管理 —— 优先BYOK或在巴西托管的HSM;示例步骤:在云厂商KMS创建CMK,导入或生成密钥,并设定密钥轮换策略。
小分段:备份与恢复 —— 备份保存在同一国家的不同可用区,定期做恢复演练并记录RTO/RPO。
6.
小分段:开启完整审计 —— API 调用日志、访问日志、操作日志集中到SIEM或云日志服务并异地只保留元数据。
小分段:合规报告 —— 要求厂商提供ISO/IEC、SOC 报告或本地审计证书,定期进行第三方合规检查并保存证据链。
7.
小分段:1) 在巴西区域创建VPC及子网;2) 启动实例并绑定角色;3) 挂载加密卷并启用KMS密钥;4) 配置安全组仅允许HTTPS访问;5) 将日志推送到云日志并开启告警。
小分段:命令示例(简化)—— ssh 部署、安装应用、配置环境变量指向本地KMS密钥;进行恢复测试并记录步骤。
8.
问:万一发生数据泄露,我在巴西的应急流程应该怎样做?
答:立即按预案启动:隔离受影响系统、保存日志快照、通知法定代表与DPO、在72小时内按LGPD要求向监管机构与受影响主体通报,并配合司法要求提供证据链。
9.
问:是否可以把驻留在巴西的数据备份到海外?
答:原则上受限,需有法律依据或合同授权。若允许,必须在DPA中明确并采用强加密、合同保障与数据传输评估,并记录合规依据与用户同意(如适用)。
10.
问:选择本地小厂商还是国际云厂商更稳妥?
答:取决于需求:若强调数据主权与本地化支持,本地厂商响应快、法律适配好;若需成熟生态与高可用,国际厂商在巴西的区域(带DPA与本地数据中心)通常更易满足可用性与合规审计,建议结合混合/多云策略并在合同层面锁定驻留承诺。