Si preguntas a cinco líderes qué significa la soberanía digital, obtendrás cinco respuestas diferentes. Para algunos, se trata de un debate político. Para otros, es un argumento de venta. La mayoría se siente atascada.
En este episodio de STRIVE, me reuní con Dirk Deridder, director técnico de Smals, el proveedor belga de servicios de TIC para el sector público; y con Mark Molyneux, director técnico de Commvault para el norte de Europa. Llegamos a una conclusión. Como dijo Mark sin rodeos: «La soberanía no es un destino. Es una capacidad operativa». Mira elepisodio completo.
Puntos clave
- La soberanía no es el objetivo final. Lo son la resiliencia y la autonomía.
- El mayor reto de Recovery es reconstruir todo un ecosistema —datos, certificados, claves y relaciones de confianza—, no restaurar una sola aplicación.
- Ten en cuenta la portabilidad, no la ideología. Si puedes sustituir un componente en un día, el riesgo para la soberanía es mucho menor.
- No todo tiene que ser soberano. Determina la soberanía mínima viable de tu organización haciendo un mapa de tus dependencias y clasificando tus servicios; eso debería ayudarte a reducir el problema.
- Prueba tu estrategia de salida antes de que la necesites.
¿Por qué ha cambiado el debate?
Dirk ha sido testigo de cómo las tecnologías de la información se han convertido en la columna vertebral de los servicios críticos a lo largo de décadas y ha observado que las dependencias no son nada nuevo. Lo que sí es nuevo es el debate. Antes de 2025, sus conversaciones se centraban en la protección y la ubicación de los datos. Desde entonces, la soberanía surge por todas partes.
Mark observa el mismo patrón. En toda la UE, este tema figura ahora entre los tres principales de la agenda en sus reuniones con los clientes. Los líderes ya no se limitan a preguntar dónde se almacenan los datos. Preguntan quién controla la pila tecnológica, qué ocurre si cambian las condiciones comerciales y en qué medida dependen de una única jurisdicción.
La resiliencia es el verdadero objetivo
Dirk establece una distinción clara. Algunas decisiones sobre soberanía corresponden a los responsables políticos. Como director de sistemas de información (CIO) o director de tecnología (CTO), no puedes aumentar la soberanía de tu país. Sin embargo, sí puedes controlar la autonomía digital de tu organización: puedes tomar decisiones independientes y llevar a cabo tu hoja de ruta. Y puedes controlar tu resiliencia si eres capaz de responder a la pregunta: «¿Podemos seguir operando cuando falla una dependencia, sea cual sea el motivo?».
Este enfoque también es válido para las organizaciones privadas. Conoce tus dependencias, pero haz de la resiliencia tu objetivo, ya sea que la causa de una interrupción sea un desastre natural, un error humano, una disputa contractual o cualquier otra cosa.
El problema más difícil es el ecosistema
Las organizaciones modernas no gestionan sistemas aislados. Gestionan sistemas de sistemas. Dirk pone como ejemplo una plataforma nacional de salud electrónica conectada a farmacias, hospitales y médicos. Recovery significa algo más que restaurar una base de datos. Significa recrear el entorno: certificados, identificación de terminales, reglas de cortafuegos, claves de cifrado y las relaciones de confianza a lo largo de toda la cadena.
Mark añadió que la ciberresiliencia cambia la perspectiva. Un objetivo de tiempo de recuperación (RTO) medido en segundos sirve para un servidor averiado. En caso de ciberataque, se necesita untiempo medio de recuperación tras la limpieza. La soberanía necesita ese mismo cambio de enfoque.
Avance: ¿Es capaz tu organización de recuperarse de un fallo catastrófico?
En este fragmento del debate de STRIVE, Dirk describe dos escenarios de fallo distintos, desde un fallo catastrófico de todo Internet hasta un único punto de fallo provocado por algo tan insignificante como una dependencia DNS desconocida. En ambos casos, insta a las organizaciones a evaluar si son lo suficientemente resilientes como para recuperarlo todo —no solo los datos— en caso de que se produjera un escenario de este tipo. Y aconseja que identificar las dependencias es el primer paso en el camino hacia la resiliencia.
Evalúa la portabilidad
Dirk propone una prueba práctica para evaluar la soberanía: establece un objetivo de tiempo de portabilidad para tus servicios críticos. Si puedes cambiar un componente o un proveedor en un día sin ningún coste, no tienes ningún problema de soberanía. Simplemente puedes cambiar a otro componente o proveedor.
La mayoría de las organizaciones no pueden hacerlo. La causa no es la deuda técnica, sino la complejidad técnica. Las migraciones pueden llevar meses y agotar los presupuestos. Afirma que la gestión de identidades y accesos genera una de las mayores fuerzas de arrastre, así que empieza por ahí.
Cada elección tiene un precio
Se paga por un mayor control en cuanto a funcionalidad, asistencia técnica y coste. La resiliencia funciona de la misma manera. La alta disponibilidad puede suponer seis servidores en lugar de uno. Cada copia adicional de tus datos —en producción, de copia de seguridad, aislada físicamente o almacenada en una «embajada de datos»— supone un coste adicional. Tu apetito de riesgo y tu sector determinan el nivel adecuado.
La idea de Mark: el objetivo no es alcanzar la máxima soberanía, sino el nivel adecuado para tu apetito de riesgo.
Identifica tus dependencias y, a continuación, decide qué debe ser independiente
El consejo de Dirk es seguir un enfoque basado en el riesgo. Los pequeños detalles pueden provocar grandes fallos, y una sola dependencia del DNS puede dejarte atascado. Mark añadió que el mapeo de dependencias te proporciona el filtro. Clasifica tus servicios empresariales y los datos que hay detrás de ellos. No es necesario que el cien por cien de tu infraestructura sea soberana. Cuando categorizas, el reto se reduce rápidamente.
Se trata de un ejercicio empresarial, no solo informático. Pregunta a la empresa qué es crítico y te lo contarán todo. Desglósalo en procesos fundamentales y surgirá una lista reducida.
Los contratos con los proveedores te dan el control; las pruebas te dan la capacidad
Es importante contar con un contrato sólido con el proveedor. Dirk busca condiciones claras, como un plazo de 12 o 24 meses para rescindir el contrato si un proveedor interrumpe un servicio. Yo añadí que los acuerdos de servicio de transición detallan cómo se lleva a cabo dicha transición. Eso aborda parte del aspecto legal. No resuelve la resiliencia, que es una capacidad operativa compleja.
Así que pruébalo. El consejo de Mark es ejercer el control antes de que sea necesario. Transfiere datos entre proveedores con regularidad. Hazlo cuando el experto habitual no esté en la oficina. No querrás descubrir tus carencias a las dos de la madrugada.
Por dónde empezar
El consejo de Dirk para un líder que emprende su camino hacia la soberanía:
- Empieza por lo más cercano. Define tu «empresa mínima viable» identificando el punto de partida que necesita tu personal para realizar su trabajo.
- Define tus procesos críticos. Si una hora de inactividad te lleva a la quiebra, es crítico. Si se trata de un proceso como la gestión de nóminas, en el que dispones de copias de seguridad o soluciones alternativas que puedes utilizar mientras el sistema está inactivo, no es crítico.
- Haz un inventario de tus dependencias. Analiza con ojo crítico tu pila tecnológica, no solo desde una perspectiva de soberanía o geográfica, sino también desde la perspectiva de los proveedores. ¿Qué pasaría si este proveedor triplicara su precio? ¿Me vería atrapado? ¿O podría decir: «No, me cambiaré a otro»?
Yo añadiría una prueba más: ¿puedes seguir moviendo dinero y manteniendo el servicio a los clientes? Si los euros siguen circulando, sigues en funcionamiento.
¿Por qué es importante este debate?
La soberanía seguirá cobrando protagonismo en las agendas de los consejos de administración. Los líderes que aborden la soberanía digital como un objetivo perseguirán un estado perfecto que no existe. Los líderes que la aborden como una capacidad operativa construirán algo mejor: la capacidad demostrada de cambiar de rumbo, recuperarse sin contratiempos y mantener en marcha los procesos críticos. Eso esResOps.
Dirk concluye con el mejor consejo de la sesión: mantén una actitud pragmática. Prepárate para lo peor que puedas prever de forma realista y tómatelo como un ejercicio.
Mira el episodio completo
En esta conversación, abordamos:
- Por qué la autonomía y la resiliencia son objetivos más importantes que la soberanía.
- Cómo reconstruir un ecosistema de ecosistemas.
- ¿Cómo se traduce en la práctica un objetivo de tiempo de portabilidad?
- Cómo identificar las dependencias y establecer el nivel adecuado de soberanía.
- Los tres primeros pasos para los líderes que están dando sus primeros pasos.
Ver ahora.Y parasaber más sobre la soberanía digital, hemos recopilado una serie de recursos, entre los que se incluyen un informe de Readiness, un seminario web y varias entradas de blog y podcasts.
Preguntas frecuentes
P: ¿Son lo mismo la soberanía digital y la resiliencia?
R: No, pero se solapan. La soberanía es una capacidad operativa dentro de unas operaciones resilientes. Se manifiesta cuando hay que ejercer control, como al trasladar una carga de trabajo o dejar de trabajar con un proveedor.
P: ¿Qué es un objetivo de tiempo de portabilidad?
R: Es el tiempo que se tarda en sustituir un componente o servicio crítico por una alternativa. Cuanto más corto sea, menor será el riesgo para tu soberanía digital.
P: ¿Es necesario que todo sea soberano?
R: No. Identifica tus dependencias, clasifica los servicios y los datos, y aplica el nivel adecuado de control en función de tu tolerancia al riesgo.
P: ¿Qué es la soberanía mínima viable?
R:La soberanía mínima viableEs el conjunto mínimo de requisitos que una organización debe cumplir para mantener un control efectivo sobre sus activos digitales, sus operaciones y sus datos, cómo deben tratarse los datos, dónde pueden alojarse y qué planes de contingencia deben estar disponibles. La ubicación de las plataformas tecnológicas y la infraestructura es importante, pero la ubicación por sí sola no es suficiente.
P: ¿Por dónde debo empezar?
R: Empieza por tu entorno de trabajo: define tus procesos críticos y elabora un inventario de tus dependencias tecnológicas y de proveedores.
Ruben RendersEs director de soluciones (MSP) en Commvault.
