Puntos clave
- La soberanía mínima viable (MVS) se centra en aplicar el nivel adecuado de control a las cargas de trabajo adecuadas.
- Tratar todas las cargas de trabajo por igual puede generar una complejidad y unos costes innecesarios, o una protección insuficiente.
- Las organizaciones suelen encajar en tres perfiles de soberanía: soberanía plena, empresa regulada y multicloud híbrido.
- La gobernanza coherente en entornos mixtos es uno de los mayores retos operativos.
Existe una versión del debate sobre la soberanía digital que lleva a las organizaciones a una situación costosa, operativamente onerosa y —si somos sinceros— que va más allá de lo que exigen sus obligaciones reales. La soberanía máxima suena responsable. En la práctica, a menudo se trata de un error de calibración.
Existe otra versión igualmente común que conduce a una situación peligrosamente precaria: controles que cumplen una lista de requisitos, pero que no resistirían una auditoría, un incidente o un regulador que haya dejado de aceptar la intención documentada como prueba de un control demostrado.
Las organizaciones que gestionan correctamente la soberanía tienden a adoptar un enfoque más riguroso y práctico que cualquiera de los dos extremos: se preguntan qué deben realmente, a quién y para qué. A continuación, se estructuran según ese estándar: ni más ni menos.
Esta es la disciplina del MVS, presentada en el Informe sobre la Readiness para la soberanía digital y desarrollada en detalle aquí.
El MVS no es un atajo. Es el reconocimiento de que el objetivo es el nivel adecuado de control, aplicado de forma coherente en todas las cargas de trabajo que lo requieran.
No todas las cargas de trabajo son iguales
El punto de partida de un enfoque MVS es la clasificación de las cargas de trabajo, y la mayoría de las organizaciones se saltan este paso por completo.
Un sistema de negociación que procesa datos financieros regulados conlleva obligaciones de soberanía fundamentalmente diferentes a las de una herramienta interna de colaboración de RR. HH. Una base de datos que contiene datos personales de ciudadanos de la UE está sujeta a un régimen legal y normativo diferente al de un entorno de desarrollo que procesa datos de prueba anonimizados.
Tratar todos estos casos de forma idéntica —ya sea aplicando los máximos controles de soberanía de manera generalizada o asumiendo que un único modelo de implementación lo abarca todo— es lo que lleva a las organizaciones a acabar con soluciones excesivamente complejas o con una protección insuficiente.
La pregunta adecuada antes de cualquier decisión de implementación es: «¿Qué requiere esta carga de trabajo en cada uno de los cuatro pilares de soberanía?». El Informe de Readiness incluye una autoevaluación estructurada precisamente en torno a esa pregunta.
Los tres perfiles —y lo que realmente necesitan—
Las empresas reguladas se clasifican en tres perfiles reconocibles, cada uno con diferentes motivaciones principales y prioridades de inversión.
- El verdadero soberano. Organismos públicos, contratistas de defensa y operadores de infraestructuras nacionales críticas. Para estas organizaciones, la soberanía no es un requisito de cumplimiento, sino un mandato operativo. A menudo, la ley exige el máximo control sobre todas las dimensiones de la pila tecnológica, y se aceptan las compensaciones en términos de costes porque la alternativa no es viable.
- La organización regulada. Empresas de servicios financieros, organizaciones sanitarias y empresas energéticas. Estas organizaciones se enfrentan a requisitos vinculantes derivados de la DORA, la NIS2, el RGPD y marcos específicos de cada sector. Las obligaciones de cumplimiento también pueden corresponder a esquemas de certificación de la UE —incluidos EUCS, EUCC, BSI C5 y SecNumCloud— en función del sector y del contexto de implementación.
En determinados ámbitos, esto no es negociable —especialmente en lo que se refiere a la residencia de datos, los controles de acceso operativo y la Recovery dentro de los límites jurisdiccionales—. Pero no todas las cargas de trabajo conllevan la misma obligación.
- La organización híbrida multicloud. Organizaciones con inversiones existentes en hiperescaladores que se enfrentan a una presión cada vez mayor en materia de soberanía por parte de clientes, reguladores o requisitos de contratación pública. Su reto no es la migración total, sino la incorporación de controles de soberanía en un entorno mixto y el mantenimiento de una gobernanza coherente en todo él.
El coste de un desajuste
Un exceso de soberanía genera sus propios riesgos operativos. Las organizaciones que aplican controles de soberanía máximos a cargas de trabajo que no los requieren asumen costes y complejidad que no sirven a ningún propósito normativo ni empresarial.
La falta de ingeniería es el modo de fallo más habitual y el más peligroso. Por lo general, no se detecta hasta que llega la auditoría o, lo que es peor, hasta que se produce un incidente y la recuperación se convierte en un problema con implicaciones legales. (Ese modo de fallo es el tema de la cuarta entrada de esta serie).
Un punto de partida práctico
Un enfoque MVS sigue tres pasos:
- Clasificar las cargas de trabajo según sus requisitos reales de soberanía en cada pilar; no empezar por los modelos de implementación.
- Asignar cada clase de carga de trabajo al nivel de implementación que cumpla dichos requisitos, abarcando todo el espectro, desde las regiones de los hiperescaladores públicos hasta la nube pública soberana y los entornos gestionados en las propias instalaciones.
- Gobernar el entorno mixto resultante de forma coherente: los controles, las pruebas de auditoría y las capacidades de Recovery deben poder demostrarse en todo el entorno, no solo en el nivel más soberano.
El tercer paso es donde la mayoría de los programas encuentran dificultades. Mantener controles de soberanía coherentes en un entorno mixto supone un reto de gobernanza operativa —y, concretamente, en el ámbito de la soberanía operativa—, tema del tercer artículo de esta serie, el pilar que la mayoría de las estrategias tratan como algo secundario.
Utiliza la autoevaluación del Informe de Readiness para la soberanía digital para determinar tu situación actual en los cuatro pilares.
Preguntas frecuentes
P:
¿Qué es la soberanía mínima viable (MVS)?
R: La MVS es la práctica de aplicar controles de soberanía basados en las necesidades reales de la empresa y en los requisitos normativos. Su objetivo es ayudar a evitar tanto el exceso de ingeniería como la falta de protección.
P: ¿Por qué es importante la clasificación de las cargas de trabajo?
R: Las diferentes cargas de trabajo conllevan distintas obligaciones normativas y operativas. Clasificar las cargas de trabajo ayuda a las organizaciones a aplicar el nivel adecuado de controles de soberanía.
P: ¿Cuáles son los tres perfiles de soberanía más comunes?
R: Los tres perfiles son: organizaciones verdaderamente soberanas, organizaciones reguladas y organizaciones híbridas multinube. Cada uno de ellos tiene requisitos operativos y de cumplimiento específicos.
P: ¿Qué riesgos conlleva un exceso de complejidad en materia de soberanía?
R: Un exceso de controles puede aumentar la complejidad operativa y los costes sin aportar un valor significativo en materia de cumplimiento normativo o empresarial.
P: ¿Por qué los entornos mixtos plantean retos de gobernanza?
R: Las organizaciones suelen operar en múltiples modelos de nube e infraestructura. Resulta difícil mantener controles, pruebas de auditoría y estándares de Recovery coherentes en todos los entornos.
Ruben Renders es director de soluciones para MSP en Commvault.
