Departamento de Comércio dos EUA propõe regra para tornar obrigatório KYC de clientes estrangeiros de IaaS
(federalregister.gov)- O BIS do Departamento de Comércio dos EUA propôs uma emenda ao 15 CFR Part 7 para exigir que provedores de IaaS dos EUA façam verificação de identidade de clientes estrangeiros e reportem certas transações de treinamento de IA
- A regra proposta se baseia nas E.O. 13984 e E.O. 14110 e mira situações em que agentes cibernéticos estrangeiros maliciosos evitam rastreamento usando produtos de IaaS dos EUA e revendedores estrangeiros
- Os provedores devem criar um Customer Identification Program (CIP) baseado em risco e coletar, verificar e reter nome, endereço, meio de pagamento, e-mail, telefone, endereço IP e outros dados de clientes estrangeiros e beneficiários finais estrangeiros
- Quando souberem de transações para treinar grandes modelos de IA que possam ser usados em atividade cibernética maliciosa por estrangeiros, tanto provedores de IaaS dos EUA quanto revendedores estrangeiros passam a ter obrigação de reportar
- O escopo inclui provedores de IaaS dos EUA e também revendedores dos EUA; em caso de violação, são previstas sanções civis e criminais nos termos do IEEPA e custos cumulativos de conformidade estimados entre $270,672 e $171.7 million
Objetivo da proposta de regra e base legal
- O Bureau of Industry and Security (BIS) do Departamento de Comércio pretende, por meio da Proposed Rule, adicionar subregulamentos relacionados a IaaS ao 15 CFR Part 7
- A regra proposta foi estruturada para implementar duas ordens executivas
- E.O. 13984: permite que provedores de IaaS dos EUA confirmem a identidade de clientes estrangeiros e imponham medidas de restrição de acesso a certos agentes ou jurisdições estrangeiras
- E.O. 14110: exige reporte quando estrangeiros treinarem grandes modelos de IA que possam ser usados em atividade cibernética maliciosa usando determinados produtos de IaaS dos EUA
- O prazo para envio de comentários foi 29 de abril de 2024
- Segundo os metadados do documento no Federal Register, o Regulations.gov recebeu 523 comentários
Por que IaaS virou alvo de regulação
- Produtos de IaaS permitem que clientes executem software e armazenem dados sem manter ou operar diretamente os servidores
- A proposta entende que agentes cibernéticos estrangeiros maliciosos vêm usando produtos de IaaS dos EUA para roubo de propriedade intelectual e dados sensíveis, atividades clandestinas de inteligência e ameaças à infraestrutura crítica dos EUA
- Após uma ação maliciosa, esses agentes podem migrar rapidamente para infraestrutura alternativa de outro provedor de IaaS dos EUA, dificultando o rastreamento pelo governo
- Se revendedores estrangeiros não rastrearem informações de identidade, órgãos de aplicação da lei terão dificuldade para obter dados de identificação dos agentes maliciosos por meios compulsórios
- O fato de infraestrutura computacional em larga escala poder ser usada no treinamento de grandes modelos de IA por agentes estrangeiros maliciosos também serve de base para a regulação
Exigências do Customer Identification Program (CIP)
- Cada provedor de IaaS dos EUA deve manter e implementar um CIP por escrito
- O CIP deve adotar procedimentos baseados em risco que reflitam o porte do provedor, o tipo de produto de IaaS, a forma de abertura de contas, a base de clientes e os riscos relacionados
- O provedor de IaaS dos EUA também deve garantir que revendedores estrangeiros mantenham e implementem um CIP
- Revendedores dos EUA podem consultar, usar ou adotar o CIP do provedor original de IaaS dos EUA, conforme acordo entre as partes
- O Departamento de Comércio prevê permitir um período de transição de até 1 ano após a publicação da regra final para implementação de algumas disposições
Informações de clientes que devem ser coletadas e verificadas
- O CIP deve incluir procedimentos para determinar se clientes em potencial e beneficiários finais são U.S. persons
- Antes de abrir uma conta para um cliente estrangeiro ou beneficiário final estrangeiro, no mínimo as seguintes informações devem ser obtidas
- Nome legal da pessoa física ou nome empresarial da pessoa jurídica, além de nomes comerciais usados no passado e no presente
- Endereço residencial da pessoa física ou endereço comercial, e local de uso do produto de IaaS
- Principal local de negócios da pessoa jurídica, jurisdição de constituição e nome do beneficiário final da conta
- Meio de pagamento e origem: número de cartão de crédito, número de conta, identificador do cliente, identificador da transação, carteira de criptomoeda ou identificador de endereço de carteira etc.
- Endereço de e-mail e telefone de contato
- Endereço IP usado para acesso ou administração da conta, bem como data e hora do acesso/administração
- A coleta e verificação de national identification number foi excluída dos requisitos propostos por ser considerada excessivamente onerosa e desnecessária para confirmação de identidade
- O Departamento de Comércio também solicitou comentários sobre meios de identificação digitais ou tecnológicos, tecnologias de preservação de privacidade e a necessidade de coleta adicional de dados
Verificação de identidade e tratamento de contas
- O CIP deve incluir procedimentos de verificação documentais ou não documentais capazes de formar uma convicção razoável sobre a identidade real de clientes estrangeiros e beneficiários finais estrangeiros
- Os procedimentos de verificação devem refletir a avaliação de risco segundo o tipo de serviço prestado, a forma de abertura da conta, as informações de identificação disponíveis e a base de clientes
- O CIP também deve definir como verificar clientes que não consigam fornecer os documentos solicitados
- Se a identidade não puder ser verificada, o CIP deve incluir os seguintes critérios de tratamento
- Em quais casos a conta não deve ser aberta
- Em quais condições o uso da conta pode ser permitido durante a verificação com privilégios limitados ou monitoramento reforçado
- Em quais condições a conta deve ser encerrada ou submetida a monitoramento adicional após falha na verificação
- Procedimentos de remediação e gestão para clientes legítimos que falhem na verificação ou para contas falsas criadas por roubo de informações
- Se o cliente e todos os beneficiários finais forem verificados como U.S. persons, a conta não fica sujeita aos demais requisitos desse subregulamento
Retenção de registros e restrição de acesso
- O CIP de provedores de IaaS dos EUA e de revendedores estrangeiros deve incluir procedimentos para criar e manter registros das informações de clientes obtidas no processo de verificação de identidade
- Os itens mínimos de registro são os seguintes
- Informações de identificação do cliente ou do beneficiário final
- Cópias ou descrição dos documentos usados na verificação
- Métodos e resultados da verificação não documental
- Solução de discrepâncias relevantes encontradas durante a verificação das informações de identificação
- Os registros devem ser mantidos por no mínimo 2 anos após o encerramento da conta ou o último acesso
- Os registros não devem ser compartilhados com terceiros nem com funcionários sem necessidade de saber, e sua disponibilidade, integridade e confidencialidade devem ser protegidas por meios como criptografia
- O compartilhamento de boas práticas de segurança ou informações sobre ameaças com outros provedores de IaaS dos EUA ou consórcios relevantes pode não estar sujeito a restrição
Obrigações de gestão de revendedores estrangeiros
- O provedor de IaaS dos EUA deve garantir que o revendedor estrangeiro mantenha e implemente um CIP por escrito em conformidade com a regra
- Se o Departamento de Comércio solicitar o CIP do revendedor estrangeiro, o provedor de IaaS dos EUA deve enviá-lo em até 10 dias
- Se houver evidência de que o revendedor estrangeiro não mantém ou implementa o CIP, ou de que não está fazendo esforços de boa-fé para impedir o uso de produtos de IaaS dos EUA em atividade cibernética maliciosa, o provedor de IaaS dos EUA deve agir
- Deve reportar a atividade cibernética maliciosa relacionada e encerrar a conta
- Se souber que o problema não foi corrigido ou que manter a relação com o revendedor aumenta o risco, deve encerrar a relação com o revendedor em até 30 dias
- O provedor de IaaS dos EUA deve coletar as informações necessárias para a certificação inicial e anual do CIP do revendedor estrangeiro
Reporte, certificação do CIP e avaliação de conformidade
- O provedor de IaaS dos EUA deve notificar o Departamento de Comércio sobre a implementação do CIP por meio de um CIP certification form
- O formulário de certificação inclui ferramentas e procedimentos de verificação de identidade, procedimentos de notificação de mudança de propriedade, ferramentas de detecção de atividade cibernética maliciosa, procedimentos para exigir CIP de revendedores estrangeiros e procedimentos para identificar transações de treinamento de grandes modelos de IA
- O CIP deve ser revisado e atualizado anualmente, e uma certificação anual deve ser enviada
- Refletir mudanças na prestação do serviço
- Refletir mudanças no ambiente de ameaças
- Verificar conformidade com a regra
- Registrar o número de falhas na verificação de identidade de clientes e o resultado de cada resolução
- Mudanças significativas nas operações do negócio ou na estrutura corporativa, mudanças materiais no CIP e alteração do principal contato responsável pelo CIP também devem ser notificadas
- O Departamento de Comércio pode avaliar risco com base nas informações enviadas e em informações públicas e, se necessário, solicitar cópia do CIP, avaliação de conformidade, avaliação posterior e auditoria
Isenção de CIP e Abuse of IaaS Products Deterrence Program
- O Secretary pode isentar das exigências de CIP provedores de IaaS dos EUA, certos tipos de conta, locatários ou determinados revendedores estrangeiros
- A decisão de isenção se baseia na implementação de boas práticas de segurança voltadas a coibir o abuso de produtos de IaaS
- O provedor que buscar isenção deve apresentar por escrito uma descrição do Abuse of IaaS Products Deterrence Program (ADP)
- O ADP deve incluir os seguintes elementos
- Identificação de Red Flags com base no tipo de conta, forma de acesso, histórico de atividade maliciosa e outros fatores
- Procedimentos para detectar Red Flags
- Procedimentos de resposta, como monitoramento da conta, contato com o cliente, alteração de senha ou dispositivo de segurança, recusa de nova conta, encerramento ou suspensão de conta e notificação a órgãos de aplicação da lei
- Atualizações periódicas conforme mudanças de risco e da estrutura do negócio
- Aprovação por conselho ou alta administração, treinamento de funcionários e procedimentos de supervisão de revendedores
- Entre os fatores para concessão de isenção também estão a participação em consórcios públicos ou privados e a cooperação com investigações de órgãos de aplicação da lei
- A isenção pode ser revogada a qualquer momento, inclusive para imposição de medidas especiais
Medidas especiais para certas jurisdições estrangeiras e estrangeiros
- Se houver fundamento razoável, o Secretary pode proibir ou impor condições para abertura e manutenção de contas de IaaS dos EUA relacionadas a determinada jurisdição estrangeira ou a certos estrangeiros
- Os alvos incluem
- Jurisdições estrangeiras com número significativo de estrangeiros que fornecem ou obtêm diretamente produtos de IaaS dos EUA para uso em atividade cibernética maliciosa
- Estrangeiros que tenham demonstrado um padrão de fornecer ou obter diretamente produtos de IaaS dos EUA para uso em atividade cibernética maliciosa
- Entre os fatores considerados estão
- Evidências de que agentes cibernéticos estrangeiros maliciosos obtiveram produtos de IaaS dos EUA naquela jurisdição
- O grau em que a jurisdição é fonte de atividade cibernética maliciosa
- A existência de tratado de assistência jurídica mútua com os EUA e a experiência das autoridades para obter informações
- O grau em que o uso ou fornecimento de produtos de IaaS dos EUA pelo estrangeiro facilita atividade maliciosa
- O grau de uso para fins empresariais legítimos
- Se medidas menos severas que uma medida especial seriam suficientes
- Na escolha da medida especial, serão considerados desvantagem competitiva relevante para provedores de IaaS dos EUA, custo ou ônus excessivo, impacto negativo sobre atividades empresariais legítimas e efeitos sobre segurança nacional, aplicação da lei, cadeia de suprimentos, política externa, saúde pública e segurança dos EUA
- A decisão sobre medida especial pode permanecer em vigor por até 365 dias e ser prorrogada por aviso no Federal Register
- Provedores de IaaS dos EUA não serão obrigados a implementar a medida especial antes de 180 dias após a emissão da decisão
Reporte de transações de treinamento de grandes modelos de IA
- O provedor de IaaS dos EUA deve reportar ao Departamento de Comércio quando souber de uma covered transaction em que um estrangeiro treine um grande modelo de IA que possa ser usado em atividade cibernética maliciosa
- O revendedor estrangeiro que souber de uma covered transaction também deve reportá-la ao provedor de IaaS dos EUA, e o provedor deve enviá-la ao Departamento de Comércio
- Covered transaction inclui casos em que uma transação para ou em nome de um estrangeiro resulte ou possa resultar nesse treinamento de grande modelo de IA
- Mesmo que inicialmente não atendesse às condições, a transação passa a ser covered transaction se vier a atendê-las por ajuste no processo de treinamento ou por novas informações sobre a capacidade do modelo
- Os prazos de reporte são os seguintes
- Provedor de IaaS dos EUA: em até 15 dias após a ocorrência ou ciência da covered transaction
- Revendedor estrangeiro: em até 15 dias ao provedor
- Provedor de IaaS dos EUA: envio ao Departamento de Comércio do reporte do revendedor estrangeiro em até 30 dias após a covered transaction
- Pedido de informação adicional e reporte corrigido: em até 15 dias após o pedido ou após tomar conhecimento da inexatidão, respectivamente
- O reporte inicial inclui informações do cliente estrangeiro e do beneficiário final, além de informações sobre a execução do treinamento
- Quantidade estimada de computação usada no treinamento
- Data prevista de início e conclusão
- Práticas de treinamento e informações sobre os principais modelos de aceleradores de IA
- Políticas de armazenamento seguro e proteção de acesso aos pesos do modelo
- Incidentes de cibersegurança ou ameaça interna nos últimos 4 anos envolvendo acesso não autorizado a pesos do modelo ou código-fonte, ou que tenham causado danos relevantes
Definições e escopo de aplicação
- U.S. IaaS provider significa uma U.S. person que fornece produtos de IaaS, incluindo o provedor direto e revendedores dos EUA
- A proposta esclarece que subsidiárias estrangeiras não devem ser consideradas “United States Infrastructure as a Service provider”
- IaaS product é um produto ou serviço que fornece processamento, armazenamento, rede ou outros recursos computacionais básicos e permite ao cliente implantar e executar softwares não predefinidos, como sistemas operacionais e aplicações
- A definição inclui ofertas gratuitas ou de teste, serviços gerenciados ou não gerenciados, produtos virtualizados e produtos dedicados
- No texto, essa definição pode abranger CDN, serviços de proxy e serviços de resolução de nomes de domínio, mas não inclui serviços de registro de nome de domínio, pois eles não fornecem recursos computacionais básicos
- Beneficial owner é definido como a pessoa física que efetivamente controla o cliente ou possui/controla no mínimo 25% da participação societária do cliente
Custos e impacto esperados
- A regra proposta se aplica a todos os provedores e revendedores de produtos de IaaS dos EUA
- O Departamento de Comércio estima que 25 a 1,837 entidades possam ser afetadas
- O limite inferior considera cerca de 25 provedores centrais de IaaS nos EUA
- O limite superior foi calculado incluindo 1,812 empresas classificadas pelo Census Bureau em 2020 como Telecommunications Resellers
- Entre essas Telecommunications Resellers, 99%, ou seja, 1,791 empresas, são classificadas como tendo até 500 funcionários
- Os custos estimados de conformidade incluem aprendizado da regra, desenvolvimento, implementação e atualização do CIP, certificação anual, treinamento de revendedores estrangeiros e tratamento de reportes de revendedores estrangeiros e de treinamento de IA
- O custo cumulativo de conformidade é estimado entre $270,672 e $171.7 million
- Na análise do Paperwork Reduction Act, a carga inicial de aprendizado, desenvolvimento e implementação foi estimada em 245,229 horas; a carga posterior de atualização e certificação anual, em 84,494 horas; e a carga de treinamento de revendedores estrangeiros e tratamento de reportes, em 127,328 horas
- O custo total estimado para o governo dos EUA é de $409,200
Execução e penalidades
- Violações da regra proposta podem resultar em sanções civis ou criminais nos termos do IEEPA
- Os atos proibidos incluem
- Não apresentar os reportes, certificações ou recertificações exigidos
- Não implementar ou não manter o CIP
- Continuar negociando com revendedor estrangeiro que não implemente ou mantenha o CIP
- Fornecer produto de IaaS a estrangeiro sem cumprir instruções, decisões ou condições do Department
- Fazer declarações, notificações ou certificações falsas ou enganosas
- A multa civil pode ser aplicada até o maior valor entre $250,000 ajustados pela inflação por violação e o dobro do valor da transação que fundamenta a violação
- Para violação dolosa, a pena criminal pode incluir multa de até $1,000,000, para pessoa física até 20 anos de prisão, ou ambos
- Quem tomar conhecimento de possível violação pode notificar o Office of Information and Communications Technology and Services, Bureau of Industry and Security, U.S. Department of Commerce
1 comentários
Opiniões no Hacker News
Dando uma olhada no texto, esta regra parece ter como objetivo fazer com que provedores de infraestrutura IaaS verifiquem a identidade de quem usa seus serviços para treinar IA.
Parece uma tentativa de impedir que alvos de sanções ou agentes mal-intencionados treinem IA, especialmente evitando que continuem treinando o mesmo modelo mudando de serviço ou usando pseudônimos.
Parece bem inofensivo, e não entendo muito bem as analogias que outras pessoas estão fazendo nesta discussão do HN. Não sei se é uma ladeira escorregadia ou se eu estou sendo ingênuo quanto ao escopo.
No fim, para descobrir quem é estrangeiro, é bem provável que os provedores de serviço tenham que verificar a identidade de todo mundo.
Em outras palavras, para rodar seu próprio WordPress, nó Mastodon, site com CMS próprio, chat em grupo, IRC ou nó Bitcoin, você teria que revelar sua identidade ao provedor de hospedagem que quiser usar.
Isso é bem ruim e pode claramente ser abusado para identificar dissidentes políticos. Além disso, os IaaS teriam que informar ao Departamento de Comércio dos EUA sobre estrangeiros que usam seus serviços para treinar grandes modelos de IA.
Ninguém quer mandar uma selfie e o passaporte só para criar um droplet na Digital Ocean.
Ainda assim, eu também não entendo muito bem que partes desta regra as pessoas estão criticando.
Dá para roubar os documentos de alguém ou pagar uma pessoa em situação de rua para fazer a verificação. Além disso, pelo que entendo, os EUA não têm um banco de dados centralizado de cidadãos, então verificar documentos também é difícil.
Um pesadelo completo. Eu ficaria surpreso se os provedores de IaaS não se opusessem com força. Se a AWS começar a exigir documentos de KYC, vou mover imediatamente todos os meus recursos de nuvem.
O esforço para fazer isso é praticamente zero.
Mesmo usando Terraform, que é o IaC comum, você teria que reescrever tudo; se estiver usando algo além de balanceadores de carga, computação e contêineres, isso não parece nem perto de esforço zero.
Para alguns serviços, talvez você precise criar e operar tudo por conta própria para obter funcionalidade equivalente.
O objetivo em si parece razoável, mas sempre existe o medo de que a lei acabe ficando muito mais ampla do que a intenção original.
Se é tão fácil migrar assim, fico curioso por que seria um “pesadelo completo”.
Trabalho com sistemas de KYC em uma instituição financeira de médio a grande porte. A tendência de anexar exigências de KYC a cada vez mais serviços online é preocupante.
KYC impõe um grande ônus a qualquer pessoa que queira oferecer um serviço. Identificar usuários por país e entender regulamentações por região é complexo, cria uma carga considerável para o provedor de serviço e, no fim, leva ao outsourcing de KYC para outra empresa.
Mas a maioria dos fornecedores de KYC não atende todos os países que você gostaria de atender, então você precisa limitar seu serviço às regiões atendidas por esse fornecedor ou integrar vários fornecedores. Eles em geral preferem uso exclusivo, o que também dificulta essa integração.
Se você ainda não tinha uma equipe de engenharia responsável por KYC, agora terá. Também é bem provável que precise adicionar ou expandir uma equipe de compliance. A empresa deixa de ser centrada em engenharia ou produto e passa, em algum grau, a ser uma empresa centrada em compliance.
KYC aumenta a barreira de entrada e consolida os players já estabelecidos. Basta olhar para instituições financeiras e para a indústria pornográfica.
KYC, em geral, também não é uma política baseada em evidências [1, 2]. Agentes mal-intencionados contornam os requisitos de KYC, enquanto sistemas de KYC viram obstáculos para usuários legítimos.
Muitos sistemas de KYC dependem de empresas de coleta e corretagem de dados, ou seja, pessoas que compram informações pessoais. Se você é jovem, pobre ou valoriza privacidade e não está “dentro do sistema”, acaba sendo tratado como suspeito.
Pela minha experiência, sistemas antifraude filtram agentes mal-intencionados melhor do que KYC imposto de cima para baixo pelo governo.
Para quem não sabe, KYC significa “know your customer”, ou conheça seu cliente. É bom explicar uma sigla na primeira vez que ela aparece, especialmente porque o próprio texto linkado não usa essa sigla.
Também vale apontar que esta proposta não mira “serviços de internet” em geral, mas produtos de infraestrutura como serviço (IaaS) dos EUA.
Comentário para envio:
Restam exatamente 4 dias para deixar uma opinião ao governo federal dos EUA contra a exigência de KYC para provedores de serviços de internet
Esta lei não ajuda uma internet livre nem a sociedade
Você consegue formular da forma mais forte possível o argumento de quem apoia isso e também explicar por que considera esse argumento pouco convincente?
A definição está em https://www.federalregister.gov/d/2024-01580/p-46
Descrever esse assunto de forma incorreta não ajuda
O argumento central que devemos usar é: “se os bancos conhecem seus clientes, nós não precisamos conhecer”
O rastro de verificação de clientes sempre leva a pagamentos e finanças
Se o pagamento pelo serviço é recebido por transações bancárias padrão com cartão ou transferências, a verificação de clientes pode ser centralizada nos bancos
O problema é que KYC é um centro de custo sem vantagens além de “porque a lei obriga”, então rapidamente vira uma tarefa de marcar caixinhas
O setor vai vomitar soluções ruins de “compliance de prateleira”, todo mundo vai usá-las e, no fim, haverá vazamento de dados
E as pessoas que trouxeram Bulletproof Hosting na era do spam de Viagra voltarão com Bulletproof Rack Full Of Quadros
A menos que se crie um sistema global de governança semelhante ao FATF para produtos de IaaS, a oferta de IaaS nos EUA perderá competitividade
A simples digitalização de documentos de identidade já está ficando para trás
A “verificação biométrica” em que, para usar infraestrutura básica de internet, você precisa ligar a webcam e deixar um desconhecido criar um modelo biométrico de toda a sua cabeça é a distopia que merecemos, e é isso que de fato vai acontecer
Espero que a “IA” tenha valido a pena. Vamos ver se vocês conseguem resolver esse problema que criaram
É porque o banco de dados governamental com o rosto de todo mundo, comprado e costurado a partir de parceiros privados, ainda não está suficientemente completo
Isso não tem relação com IA; é um problema de um Poder Executivo e de agências de inteligência fora de controle. IA é apenas mais uma ferramenta que vai tornar isso mais barato
Para quem não sabe do que se trata, a explicação está um pouco mais abaixo na página
Em resumo, a E.O. 13984 dá ao Departamento de Comércio autoridade para exigir que provedores de IaaS dos EUA façam verificação de identidade de usuários estrangeiros, mantenham registros de usuários estrangeiros e restrinjam o acesso de certos atores estrangeiros, a fim de responder à ameaça de atividades cibernéticas maliciosas
Em seguida, a E.O. 14110 dá autoridade para exigir que provedores de IaaS dos EUA obriguem revendedores estrangeiros também a verificar a identidade de usuários estrangeiros, e para exigir relatórios ao Departamento de Comércio quando estrangeiros realizarem transações para treinar grandes modelos de IA com capacidade potencial de serem usados em atividades cibernéticas maliciosas
“Produto de infraestrutura como serviço” significa qualquer produto ou serviço oferecido a consumidores, incluindo ofertas gratuitas ou de teste
Enquadram-se os casos em que ele fornece processamento, armazenamento, rede ou outros recursos básicos de computação, e permite que o consumidor implante e execute software não predefinido, incluindo sistemas operacionais e aplicações
Normalmente, o consumidor não gerencia nem controla a maior parte do hardware subjacente, mas controla os sistemas operacionais, o armazenamento e as aplicações implantadas
O termo inclui tanto produtos e serviços “gerenciados”, nos quais o provedor é responsável por parte da configuração ou manutenção do sistema, quanto produtos e serviços “não gerenciados”, nos quais o provedor é responsável apenas pela disponibilidade do produto
Também inclui produtos e serviços de “virtualização”, que dividem os recursos de computação de uma máquina física em computadores virtuais acessíveis pela internet, como “servidores virtuais privados”, bem como produtos e serviços “dedicados”, que fornecem a uma pessoa todos os recursos de computação de uma máquina física, como servidores “bare-metal”
Há um bom panorama aqui: https://www.akingump.com/en/insights/alerts/commerce-issues-...