Puntos clave
- La soberanía operativa se centra en quién puede acceder a los sistemas y bajo qué jurisdicciones operan.
- El acceso de los proveedores, los flujos de telemetría y las vías de asistencia pueden generar lagunas ocultas en materia de soberanía.
- La soberanía operativa es más difícil de certificar porque requiere una visibilidad y una auditoría continuas.
- Las organizaciones deben poder demostrar y documentar todas las vías de acceso a los entornos soberanos.
Si se pregunta a la mayoría de las organizaciones en qué aspecto es más sólido su programa de soberanía, la respuesta suele ser una variante de los mismos dos aspectos: la ubicación de los datos y el cifrado. Saben dónde se almacenan sus datos principales. Han implementado acuerdos de «trae tu propia clave» o «conserva tu propia clave». Pueden presentar certificaciones.
Pregúntales quién ha accedido a su entorno soberano en los últimos noventa días, desde qué países y bajo qué jurisdicciones legales… y la confianza suele esfumarse. La soberanía operativa es el pilar más difícil de auditar, el que más se tiende a subestimar y el ámbito más habitual en el que una postura de soberanía que parece sólida sobre el papel se desmorona en la práctica. El Informe sobre la Readiness para la soberanía digital lo señala como uno de los cuatro pilares; este artículo va más allá. La pregunta que la mayoría de las organizaciones no saben responder: «¿Quién ha accedido a tu entorno soberano en los últimos 90 días, desde qué países y bajo qué jurisdicciones legales?»
¿Qué significa realmente la soberanía operativa?
La soberanía operativa no tiene que ver con dónde se almacenan los datos. Se trata de quién gestiona el entorno y quién tiene acceso a él. Abarca tres aspectos que la mayoría de los programas de soberanía tratan como detalles de implementación en lugar de considerarlos cuestiones prioritarias:
- Acceso del personal y jurisdicción. Toda persona que pueda acceder a su entorno soberano —ya sea para ofrecer soporte, realizar tareas de mantenimiento, llevar a cabo la supervisión o responder a incidentes— opera bajo una jurisdicción legal definida. Si un ingeniero de soporte de un país sujeto a una ley extranjera de acceso a datos puede acceder a sus sistemas, la soberanía de su infraestructura dependerá en gran medida de la exposición legal de ese ingeniero.
La mayoría de las organizaciones, cuando realizan esta auditoría por primera vez, se topan con al menos una vía de asistencia que traspasa un límite jurisdiccional que no habían tenido en cuenta.
- Acceso de terceros y proveedores. Tu límite de soberanía se extiende a todos los proveedores, proveedores de servicios gestionados y plataformas de software que tienen acceso a tu entorno soberano. Plataformas de ITSM, herramientas de monitorización, sistemas SIEM… Si estos se encuentran fuera de tu límite de soberanía pero tienen acceso a datos o metadatos dentro de él, tienes una brecha que los controles de localización de datos no pueden cerrar.
- Tráfico de telemetría, facturación y plano de control. Los programas de soberanía de datos se centran en los datos primarios. La soberanía operativa requiere identificar adónde va todo lo demás: la telemetría que genera tu infraestructura, los metadatos que recopilan tus sistemas de monitorización, los datos de facturación que procesa tu proveedor. Estos flujos pueden cruzar las fronteras jurisdiccionales incluso cuando los datos primarios no lo hacen, y rara vez se mapean.
Por qué este pilar es más difícil de certificar… y por qué eso importa
La ubicación de los datos es relativamente sencilla de documentar. Se puede hacer referencia a una región de almacenamiento, a un acuerdo de residencia de datos o a una auditoría de terceros. La soberanía operativa no cuenta con el mismo rastro documental. No existe ninguna certificación que garantice la situación jurisdiccional de cada ingeniero de soporte que pueda acceder a tu entorno.
Esto es precisamente lo que lo convierte tanto en el pilar más difícil de auditar como en el más importante a la hora de hacerlo bien. Además, está directamente relacionado con el reto de la soberanía mínima viable: aplicar los controles operativos adecuados a las cargas de trabajo adecuadas requiere saber cuáles son esos controles, y es precisamente en la soberanía operativa donde suele faltar ese conocimiento.
La dimensión de la cadena de suministro
La NIS2, que amplía las obligaciones en materia de ciberseguridad a los sectores de la energía, el transporte, la sanidad y las infraestructuras digitales, exige ahora a las organizaciones que evalúen las prácticas de ciberseguridad de sus proveedores de tecnología. Para los programas de soberanía, esto tiene una consecuencia directa: la postura de soberanía de los proveedores ya no es un simple detalle en la contratación pública. Es un requisito que se puede auditar.
Esto implica plantear nuevas preguntas a cada proveedor que se encuentre dentro de su perímetro de soberanía: ¿Dónde se encuentra su personal de soporte? ¿Bajo qué jurisdicción legal operan? ¿Qué ocurre con el acceso que tienen a mi entorno si su empresa es adquirida por una entidad no perteneciente a la UE?
Cómo es lo bueno
Un entorno operativamente soberano presenta cuatro características que se pueden demostrar, no solo documentar:
- Se ha elaborado un mapa de todas las vías de acceso al entorno soberano: no solo el acceso principal, sino también el de los proveedores, el del soporte técnico y el de los sistemas de monitorización.
- El estatus jurisdiccional de cada persona o sistema que tiene dicho acceso se documenta y se audita con una periodicidad definida.
- Se realiza un inventario de los flujos de tráfico de telemetría, metadatos y del plano de control, y estos se mantienen dentro de los límites de soberanía o se evalúan y aceptan explícitamente como fuera del ámbito de aplicación.
- La organización puede responder a la pregunta sobre el acceso en un plazo de noventa días —y lo hace con precisión, aportando pruebas—.
Una cosa más: la soberanía operativa no se limita al control de acceso. Si la recuperación requiere personal que trabaje fuera de tus límites de soberanía, la estrategia falla en el momento en que se produce un incidente. Ese es el tema de la cuarta entrada de esta serie. El Informe sobre la preparación para la soberanía digital incluye una pregunta de evaluación directa sobre la soberanía operativa.
Preguntas frecuentes
P: ¿Qué es la soberanía operativa?
R: La soberanía operativa se refiere a quién gestiona y tiene acceso a un entorno, incluyendo al personal, a los proveedores y a los sistemas de soporte. Va más allá del lugar donde se almacenan los datos.
P: ¿Por qué se suele pasar por alto la soberanía operativa?
R: Muchas organizaciones se centran principalmente en la ubicación y el cifrado de los datos. A menudo, las vías de acceso, el personal de soporte y los flujos de telemetría no se auditan a fondo.
P: ¿Cómo influyen los proveedores en la postura de soberanía?
R: Los proveedores y los proveedores de servicios gestionados pueden tener acceso a sistemas sensibles o a metadatos. Sus jurisdicciones legales y prácticas operativas pueden afectar al cumplimiento general de las normas de soberanía.
P: ¿Por qué son importantes la telemetría y los metadatos?
R: Aunque los datos primarios permanezcan en el ámbito local, la telemetría y los metadatos pueden traspasar las fronteras jurisdiccionales. Estos flujos pueden suponer riesgos de cumplimiento normativo si no se gestionan adecuadamente.
P:
¿Qué incluye un modelo sólido de soberanía operativa?
R: Incluye rutas de acceso definidas, controles jurisdiccionales documentados, acceso de proveedores auditado y visibilidad de todos los flujos de telemetría y metadatos.
Alex Zinin es vicepresidente y director general del área de proveedores de servicios gestionados en Commvault.
