En el primer episodio de nuestra serie STRIVE sobre soberanía digital, Alex Zinin, de Commvault, y Max Mortillaro, de Osmium Data Group, cuestionaron uno de los mayores errores de concepto del sector: la soberanía digital no es una función que se pueda comprar, sino un problema empresarial que hay que comprender antes de poder resolverlo.
Esta conversación retoma el hilo de la anterior. En esta ocasión, me he sentado a charlar con Thomas Maurer, Global Black Belt para Sovereign Cloud en la región EMEA de Microsoft, para ver qué ocurre cuando una organización decide que la soberanía es importante. ¿Cómo pasan los equipos ejecutivos de las preocupaciones generales sobre la normativa, la jurisdicción o la incertidumbre geopolítica a la toma de decisiones prácticas sobre la arquitectura?
Resulta que la respuesta casi nunca es tan sencilla como elegir un proveedor de nube o seleccionar el modelo de implementación adecuado. Se trata de plantearse las preguntas adecuadas antes de tomar decisiones técnicas. Mira el episodio completo.
Puntos clave
- Cada organización define la soberanía digital de forma diferente, y ahí es precisamente donde debería comenzar la conversación.
- La soberanía no se resuelve solo con tecnología. Las consideraciones legales, operativas, arquitectónicas y empresariales influyen todas en el resultado.
- Nube: las soluciones locales y en la nube no son estrategias que compitan entre sí. Para muchas empresas, el futuro pasa por una combinación bien pensada de ambas.
- Las decisiones sobre soberanía deberían basarse en la gestión de riesgos, no en el miedo.
- Una buena arquitectura comienza por comprender las necesidades del negocio, no por elegir la infraestructura.
El concepto de soberanía tiene diferentes significados para cada organización
Una de las primeras observaciones que hizo Thomas fue también una de las más importantes. No existe una definición universal de soberanía digital. Para una organización, puede significar simplemente cumplir los requisitos normativos o mantener los datos dentro de una zona geográfica específica. Para otra, puede implicar independencia operativa, continuidad del negocio o prepararse para perturbaciones geopolíticas. Esa diferencia es importante porque cambia por completo el enfoque del debate.
Con demasiada frecuencia, las empresas dan por sentado que existe un modelo estándar de soberanía listo para ponerse en marcha. En realidad, el primer reto no es elegir la tecnología, sino entender qué problema está intentando resolver realmente la empresa. Solo entonces la arquitectura empieza a tener sentido.
La tecnología debe seguir a la estrategia
Un tema que no dejaba de surgir a lo largo de nuestro debate fue la tentación de lanzarse directamente al diseño técnico. Es comprensible. Los arquitectos suelen pensar, como es natural, en la infraestructura, las cargas de trabajo, la conectividad y los modelos de implementación. Pero Thomas destacó que los proyectos más exitosos empiezan por otro lado. Empiezan por escuchar.
¿Qué preocupaciones impulsan la iniciativa? ¿El objetivo es el cumplimiento normativo? ¿La continuidad del negocio? ¿La ubicación de los datos? ¿El control operativo? ¿La protección frente a perturbaciones geopolíticas? Las diferentes respuestas dan lugar a diferentes arquitecturas. Puede que esto te parezca obvio, pero es sorprendente la frecuencia con la que las empresas empiezan a evaluar soluciones antes de ponerse de acuerdo sobre el resultado empresarial que quieren conseguir.
Avance: Empieza por el riesgo, no por las suposiciones
Uno de los momentos más prácticos de nuestra charla es cuando Thomas y yo hablamos de por qué las iniciativas de soberanía deberían empezar con una evaluación de riesgos, y no con un esquema arquitectónico.
Cada organización tiene una tolerancia al riesgo diferente. Un equipo de Fórmula 1, un organismo público y un fabricante internacional no tomarán las mismas decisiones, ni deberían hacerlo. La clave está en comprender qué riesgos son los más importantes para tu negocio, qué concesiones estás dispuesto a hacer y, a continuación, diseñar una arquitectura que respalde esas decisiones.
Como señala Thomas, no hay una solución perfecta, solo concesiones bien fundamentadas. Cuanto antes adopten las organizaciones esa mentalidad, más sólida será su estrategia de soberanía.
«¿Nube o local?» No es la pregunta que hay que plantearse
Una de las partes más interesantes de la conversación cuestionó otra idea preconcebida muy extendida: que las organizaciones tengan que elegir entre una nube pública y una infraestructura privada. Thomas describió una realidad muy diferente. Muchas organizaciones no están sustituyendo una por la otra. Están diseñando entornos en los que las cargas de trabajo puedan moverse de una a otra en función de las necesidades del negocio, los requisitos normativos o cuestiones de resiliencia.
Esa flexibilidad cambia la forma en que debemos plantearnos la arquitectura. En lugar de preguntarnos si es mejor la nube o las instalaciones propias, la pregunta más útil pasa a ser: «¿Dónde pertenece esta carga de trabajo hoy en día? ¿Podría cambiar esa respuesta mañana?». Cuando la soberanía se integra en el proceso de diseño, la movilidad de las cargas de trabajo cobra tanta importancia como su ubicación.
La arquitectura es solo una parte de la ecuación
Otra idea que me llama la atención es el recordatorio de Thomas de que la arquitectura por sí sola no resuelve la cuestión de la soberanía.
- Los contratos son importantes.
- Los marcos legales son importantes.
- Los procesos operativos son importantes.
- Las personas que se encargan de gestionar el medio ambiente son importantes.
Ninguna de esas áreas puede funcionar por sí sola. La soberanía exige que los equipos jurídicos, de seguridad, de cumplimiento normativo y de infraestructuras trabajen juntos desde el principio, en lugar de pasarse los proyectos unos a otros cuando las decisiones ya están tomadas. Es un patrón que te resultará familiar si trabajas en el ámbito de la ciberresiliencia. Los mejores resultados casi nunca los consiguen equipos por separado, sino aquellos que trabajan de forma coordinada.
El riesgo debería guiar cada decisión
Hacia el final de nuestro debate, la conversación derivó de forma natural hacia el riesgo. Para mí, es aquí donde la soberanía empieza a resultarme mucho más familiar. Todo proyecto de resiliencia comienza preguntándose qué es lo que la organización intenta proteger, qué amenazas son las más importantes y cuánto riesgo está dispuesta a aceptar.
Con la soberanía digital ocurre lo mismo. En lugar de buscar una solución perfecta, las organizaciones deben identificar los casos concretos relacionados con la soberanía que les preocupan y, a continuación, determinar qué controles arquitectónicos, operativos o contractuales abordan mejor esos riesgos. Ese cambio —de comparar características a gestionar riesgos— es lo que, al final, te lleva a tomar mejores decisiones.
¿Por qué es importante este debate?
La soberanía digital sigue evolucionando rápidamente. Surgirán nuevas normativas. La tecnología cambiará. Las realidades geopolíticas seguirán transformándose. Eso significa que la soberanía no es algo que las organizaciones resuelvan de una vez por todas. Es algo que evalúan periódicamente a medida que van cambiando las prioridades empresariales y los riesgos externos.
Las organizaciones que tengan éxito no serán necesariamente las que cuenten con las arquitecturas más restrictivas. Serán aquellas que tengan una visión más clara de sus objetivos empresariales, la disciplina necesaria para evaluar los riesgos con cuidado y la flexibilidad para adaptarse a medida que esos riesgos cambien. Al fin y al cabo, la soberanía digital no es algo que las organizaciones puedan comprar ya hecho. Se trata de comprender los riesgos, gestionar las dependencias y tomar decisiones meditadas mucho antes de que esas decisiones se pongan a prueba.
Mira el episodio completo
En este episodio de STRIVE, Thomas y yo hablamos de:
- Por qué el concepto de soberanía tiene significados distintos para cada organización.
- Cómo deberían abordar los directivos la estrategia de soberanía.
- La nube pública frente a la nube privada: y por qué a menudo no se trata de una decisión de «o una cosa o la otra».
- Por qué la gestión de riesgos debería guiar las decisiones arquitectónicas.
- El papel de la resiliencia en la planificación de la soberanía moderna.
Preguntas frecuentes
P: ¿La soberanía digital significa tenerlo todo en tus propias instalaciones?
R: No. Muchas organizaciones adoptan enfoques híbridos que combinan las capacidades de la «nube» con requisitos específicos de soberanía.
P: ¿Por dónde deberían empezar los proyectos de soberanía?
R: Empieza por definir el problema empresarial y comprender los riesgos que quieres mitigar antes de evaluar la tecnología.
P: ¿La soberanía es solo una cuestión técnica?
R: No. Requiere la colaboración entre los equipos de asuntos jurídicos, cumplimiento normativo, seguridad, operaciones y arquitectura.
P: ¿Qué relación existe entre la soberanía y la resiliencia?
R: Ambas disciplinas se centran en mantener la continuidad operativa reduciendo la exposición a riesgos que podrían afectar al negocio.
P: ¿Cuál es uno de los grandes errores que cometen las organizaciones en lo que respecta a la soberanía digital?
R: Lanzarse a tomar decisiones arquitectónicas antes de ponerse de acuerdo sobre qué significa la soberanía para su organización.
P: ¿Qué es lo primero que deberían preguntarse los directivos a la hora de planificar la soberanía digital?
R: «¿Qué problema estamos intentando resolver?» Todo lo demás se deriva de esa respuesta.
Darren Thomson es vicepresidente y director de tecnología para la región EMEA en Commvault.
