Hace unos años, la soberanía digital se consideraba sobre todo una cuestión de cumplimiento normativo. Si almacenabas los datos en la zona geográfica adecuada, cumplías con los requisitos normativos pertinentes y respondías a unas cuantas preguntas de auditoría, por lo general ya podías estar tranquilo. Ya no es así.
Hoy en día, la soberanía se ha convertido en un tema de debate a nivel del consejo de administración. Los gobiernos están reformulando sus políticas. Los organismos reguladores están intensificando su supervisión. Y los líderes empresariales están empezando a reconocer que la soberanía no se limita únicamente a la ubicación de los datos, sino que tiene que ver con cómo las organizaciones siguen funcionando cuando los supuestos geopolíticos, legales u operativos cambian de forma repentina.
En el primer episodio de nuestra serie STRIVE sobre soberanía digital, me senté a charlar con Max Mortillaro, cofundador y director de investigación de Osmium Data Group. Juntos, analizamos qué significa realmente la soberanía, por qué se ha intensificado tanto el debate y en qué aspectos suelen equivocarse más las organizaciones. Mira el episodio completo.
Puntos clave
- La soberanía digital ya no es solo una cuestión de cumplimiento normativo: se ha convertido en un tema relacionado con la resiliencia y la continuidad del negocio.
- La ubicación de los datos es solo una pieza del rompecabezas. La jurisdicción, las operaciones, las dependencias tecnológicas y la gobernanza también son importantes.
- Muchas organizaciones se centran en los controles técnicos antes de comprender el problema empresarial que están intentando resolver.
- La incertidumbre geopolítica está acelerando las iniciativas en materia de soberanía, sobre todo en Europa.
- No existe ningún entorno que sea totalmente soberano. Toda organización debe encontrar un equilibrio bien meditado entre el riesgo, el coste y los requisitos operativos.
Por qué la ubicación de los datos no lo es todo
Una de las ideas erróneas más comunes sobre la soberanía digital es que todo se reduce a la geografía. Según esta forma de pensar, si los datos se almacenan en un centro de datos local, el problema de la soberanía queda resuelto. Es una suposición comprensible. Al fin y al cabo, muchas de las primeras conversaciones sobre la soberanía se centraron sobre todo en los requisitos de residencia de los datos y en dónde se podía almacenar legalmente la información.
Pero, como señala Max durante nuestro debate, esa es solo una dimensión de un reto mucho mayor. La soberanía no se reduce simplemente a la ubicación de un centro de datos. También tiene que ver con quién lo gestiona, qué leyes se le aplican, quién tiene acceso a él y qué dependencias existen entre bastidores.
Un servicio en la «nube» puede estar ubicado físicamente en un país concreto, pero eso no significa necesariamente que esté al margen de influencias legales, operativas o tecnológicas que se originen en otros lugares. Ahí es donde la conversación se complica bastante más.
Las dependencias ocultas que la mayoría de las organizaciones pasan por alto
Cuando las organizaciones empiezan a explorar el tema de la soberanía, suelen abordarlo como un proyecto tecnológico. Evalúan las ubicaciones de alojamiento. Analizan las estrategias de replicación. Examinan dónde deben ejecutarse las cargas de trabajo. Esas conversaciones son importantes, pero también pueden dar una falsa sensación de seguridad.
Como explica Max, los entornos tecnológicos modernos se basan en capas de dependencias que no siempre son visibles. Un servicio puede parecer local a simple vista, pero puede que dependa de infraestructura, sistemas de gestión, servicios de telemetría o controles operativos que se encuentran en otros lugares.
Por eso la soberanía no es solo una cuestión de ubicación. Es una cuestión de influencia. ¿Quién controla el servicio en última instancia? ¿Qué jurisdicción se aplica cuando surgen conflictos? ¿Qué ocurre si las tensiones geopolíticas traen consigo nuevas restricciones, normativas o limitaciones de acceso? Estas ya no son preguntas hipotéticas. Se están convirtiendo en parte de las evaluaciones de riesgos del mundo real.
Avance: La soberanía es más que un problema técnico
En este fragmento de la conversación, Max explica por qué las organizaciones suelen abordar el tema de la soberanía desde un punto de vista erróneo, y por qué es fundamental comprender los objetivos legales, operativos y empresariales antes de tomar cualquier decisión tecnológica.
¿Por qué Europa está marcando la pauta en este debate?
Una de las partes más interesantes de nuestro debate gira en torno a por qué la soberanía se ha convertido en un tema tan importante en toda Europa. La respuesta no es solo la regulación; es la dependencia. Las organizaciones europeas son cada vez más conscientes de que muchas de las tecnologías de las que dependen a diario son propiedad de entidades, están gestionadas o reguladas fuera de su control directo. Durante años, esa realidad se aceptó en gran medida como parte del ecosistema tecnológico global.
Hoy en día, esa suposición se está replanteando. Las tensiones geopolíticas, la evolución de la normativa y la creciente preocupación por la autonomía estratégica han hecho que la soberanía ocupe un lugar cada vez más destacado en la lista de prioridades tanto de los gobiernos como de las empresas. Lo que antes se consideraba un caso aislado se ha convertido en una preocupación empresarial generalizada. El resultado es que cada vez se reconoce más que la resiliencia no consiste solo en recuperarse de los fallos técnicos. También se trata de comprender y gestionar las dependencias externas antes de que se conviertan en problemas para el negocio.
La soberanía y la resiliencia son lo mismo
Uno de los temas que verás surgir una y otra vez a lo largo del debate es lo estrechamente relacionadas que están la soberanía y la resiliencia. A primera vista, pueden parecer disciplinas separadas. Una se centra en la gobernanza, la regulación y el control. La otra se centra en la recuperación, la continuidad y la Readiness operativa.
En la práctica, están muy entrelazadas. Si una empresa no puede acceder a sus sistemas críticos debido a un acontecimiento geopolítico, una restricción normativa o la dependencia de terceros, el resultado no es muy diferente del de otras interrupciones para las que las organizaciones se pasan años preparándose.
La empresa sigue teniendo que funcionar. Hay que seguir atendiendo a los clientes. Recovery sigue siendo necesaria. Por eso cada vez veo más la soberanía desde la misma perspectiva que la resiliencia cibernética. Ambas se centran, fundamentalmente, en reducir la vulnerabilidad ante sucesos que podrían interrumpir las operaciones y en preparar a la organización para que siga funcionando cuando esos sucesos se produzcan.
Empieza por el problema empresarial
Quizá el consejo más práctico que da Max sea también el más sencillo. Antes de evaluar las ofertas de «nube» soberana, antes de contratar a proveedores y antes de debatir sobre arquitecturas técnicas, las organizaciones deberían entender primero qué problema están intentando resolver. Eso significa comprender:
- ¿Qué procesos empresariales son los más importantes?
- ¿Qué activos de datos son los más importantes?
- ¿Qué requisitos normativos se aplican?
- ¿Qué riesgos se están mitigando realmente?
Solo cuando hayas respondido a esas preguntas tiene sentido valorar las opciones tecnológicas. Con demasiada frecuencia, las organizaciones empiezan por las soluciones y van retrocediendo hasta llegar al problema. La soberanía exige el enfoque contrario. La estrategia debe ser lo primero. A continuación te cuento cómo es la arquitectura.
Por qué no hay una respuesta perfecta
Una de las realidades que los líderes tienen que aceptar es que no existe un entorno perfectamente soberano. Todas las organizaciones operan dentro de una red de dependencias. Cada elección tecnológica conlleva compensaciones. Cada decisión sobre riesgos implica encontrar un equilibrio entre los requisitos operativos, las obligaciones de cumplimiento, las consideraciones de costes y los resultados empresariales.
El objetivo no es la perfección. El objetivo es comprender bien esas compensaciones para poder tomar decisiones con conocimiento de causa. Las organizaciones que ven la soberanía como una cuestión binaria de «sí o no» suelen sentirse frustradas. Las que la abordan como un ejercicio de gestión de riesgos suelen avanzar mejor.
¿Por qué es importante este debate?
La soberanía digital está pasando rápidamente de ser un tema de cumplimiento normativo bastante específico a convertirse en una cuestión empresarial estratégica. Los consejos de administración están planteando preguntas. Las autoridades reguladoras están intensificando su control. Los clientes son cada vez más conscientes de dónde se encuentran sus datos y quién los controla. Al mismo tiempo, la incertidumbre geopolítica sigue modificando la forma en que las organizaciones abordan el riesgo. Eso no significa que todas las empresas necesiten una transformación radical en materia de soberanía de la noche a la mañana.
Pero sí significa que las organizaciones que empiecen a trazar una estrategia clara hoy mismo estarán en una posición mucho más sólida que aquellas que esperen hasta que el tema sea ineludible. La soberanía no es una decisión tecnológica disfrazada de problema empresarial. Es un problema empresarial que requiere que las decisiones legales, operativas y técnicas vayan de la mano.
Mira el episodio completo
En este episodio, Max y yo hablamos de:
- Qué significa realmente la soberanía digital.
- Por qué la ubicación de los datos por sí sola no es suficiente.
- Los aspectos legales y operativos que las organizaciones suelen pasar por alto.
- Cómo están influyendo los acontecimientos geopolíticos en las estrategias de soberanía.
- Por qué la soberanía y la resiliencia se están volviendo inseparables.
Preguntas frecuentes
P: ¿Qué es la soberanía digital?
R: La soberanía digital se refiere a la capacidad de una organización para mantener el control sobre sus datos, su tecnología, sus operaciones y su gobernanza dentro de unos límites legales y jurisdiccionales específicos.
P: ¿La soberanía digital es lo mismo que la residencia de los datos?
R: No. La residencia de los datos es un componente de la soberanía, pero la soberanía también incluye la jurisdicción legal, el control operativo, las dependencias tecnológicas y la gobernanza.
P: ¿Por qué ha cobrado tanta importancia últimamente la soberanía digital?
R: La creciente incertidumbre geopolítica, los cambios en la normativa y la creciente preocupación por la dependencia tecnológica han acelerado el interés por las iniciativas de soberanía.
P: ¿Cuál es el mayor error que cometen las organizaciones?
R: Considerar la soberanía como un reto puramente técnico, en lugar de como una cuestión más amplia relacionada con el riesgo empresarial y la resiliencia.
P: ¿Qué relación existe entre la soberanía y la resiliencia cibernética?
R: Ambas disciplinas se centran en mantener la continuidad operativa ante cualquier interrupción, ya sea de carácter técnico, jurídico, geopolítico o normativo.
P: ¿Por dónde deberían empezar las organizaciones?
R: Deben empezar por identificar los resultados empresariales que desean proteger, los riesgos que quieren mitigar y los datos y procesos que son más importantes para sus operaciones.
Alex Zinin es vicepresidente y director general del área de proveedores de servicios gestionados en Commvault.
