Puntos clave
- La residencia de los datos se refiere al lugar donde se almacenan, pero la soberanía digital también exige tener control sobre el acceso y las operaciones, además de comprender bien las implicaciones jurisdiccionales.
- La soberanía operativa suele ser el eslabón más débil y menos supervisado de la mayoría de los programas de soberanía.
- Una estrategia de soberanía completa se basa en cuatro pilares: la ubicación de los datos, la soberanía tecnológica, la soberanía operativa y la soberanía jurisdiccional. La información…
- La soberanía no es algo binario; las organizaciones deben definir una postura que se ajuste a sus obligaciones normativas y operativas.
He aquí una pregunta sobre la que merece la pena reflexionar: cuando tu organización tomó esa decisión sobre la soberanía, ¿qué fue exactamente lo que decidió? Para la mayoría, la respuesta es una variante de lo mismo. Elegir una región. Trasladar las cargas de trabajo. Elegir un proveedor de nube con centros de datos en el país. Marcar la casilla. Se respondió a la pregunta de dónde residen los datos y se dio por zanjado el debate sobre la soberanía.
Pero no estaba zanjado. Apenas había comenzado. La residencia de los datos responde a una pregunta: ¿dónde? La soberanía digital plantea tres más: ¿quién, cómo y en qué condiciones? La confusión entre residencia y soberanía es comprensible. Los hiperescaladores han hecho que la selección de la región parezca una decisión de soberanía. Las listas de verificación de cumplimiento preguntan dónde se almacenan los datos. Las directrices normativas, al menos en sus primeras versiones, se centraban en gran medida en la geografía.
Elegir una nube soberana es importante: tiene su relevancia, conlleva implicaciones operativas y es un primer paso necesario. Pero solo es un primer paso. Y la mayoría de las organizaciones se han quedado ahí.
Lo que «Residency» no aclara
Piénsalo de esta manera: elegir una región de nube soberana es como comprar una caja fuerte. Te indica dónde se almacenan tus objetos de valor. No dice nada sobre quién tiene una copia de la combinación, quién fabricó la caja fuerte, qué legislación rige al fabricante ni si puedes abrirla si te ves obligado a ello.
La elección de la región responde a una pregunta. Quedan otras tres totalmente sin resolver, y son precisamente estas las que los reguladores, los comités de contratación y los auditores se están planteando ahora con cada vez más precisión:
- ¿Quién puede gestionar su entorno y desde dónde? El hecho de que el personal de soporte de su proveedor de servicios en la nube esté sujeto a una jurisdicción extranjera es una cuestión de soberanía que la residencia de datos no puede resolver. Una ventana de mantenimiento rutinario realizada por un ingeniero de soporte en una jurisdicción jurídica diferente es una vía de acceso que su política de residencia no cubre. Este es el ámbito de la soberanía operativa: el pilar más difícil de auditar y el que más se suele pasar por alto.
- ¿Bajo qué régimen jurídico se puede acceder a sus datos? El hecho de que un proveedor de tecnología extranjero opere su infraestructura en el país no significa que quede automáticamente fuera del ámbito de aplicación de la legislación de su país de origen. El alcance extraterritorial de los regímenes jurídicos extranjeros es un riesgo que la geografía por sí sola no puede eliminar.
- ¿Puede recuperar sus datos si algo sale mal? La mayoría de los programas de soberanía se basan en el control de acceso. Muy pocos abordan la recuperación: si sus datos pueden restaurarse correctamente, dentro de unos límites definidos, por personal que opere dentro de sus límites de soberanía. Esa laguna es donde las estrategias de soberanía suelen fallar en condiciones reales.
El marco que cubre esa carencia
Una estrategia de soberanía completa se basa en cuatro pilares interdependientes. El Informe sobre la preparación para la soberanía digital —disponible en readiverse.com— los analiza en detalle. En resumen:
- La localidad de los datos se refiere a los lugares por los que circulan realmente los datos y los metadatos.
- La soberanía tecnológica abarca el control sobre el cifrado, la custodia de las claves y la portabilidad de la arquitectura.
- La soberanía operativa se refiere a quién controla el entorno y desde dónde.
- La soberanía jurisdiccional establece el marco jurídico que rige y afecta a todo lo anterior.
Ningún pilar por sí solo es suficiente. Una estrategia sólida de ubicación de los datos con controles operativos débiles no es soberanía: es una ubicación con riesgos no evaluados.
Lo que hace que este marco sea útil no es su complejidad, sino las preguntas que suscita. Cuando una organización analiza por primera vez su situación actual en relación con los cuatro pilares, casi siempre descubre lagunas que no sabía que existían, no porque falten controles, sino porque nunca se había planteado esas preguntas.
La soberanía es una escala variable
Hay algo más que merece la pena mencionar: la soberanía no es un estado binario. No existe ninguna certificación que la otorgue ni ningún modelo único de implementación que la garantice. Es una postura: un conjunto de decisiones deliberadas y auditables. Y el nivel adecuado de esa postura varía según la organización, la carga de trabajo y lo que realmente se debe a los reguladores y a los clientes.
Esa calibración es precisamente en lo que consiste la soberanía mínima viable, el tema de la segunda entrada de esta serie. La confianza en la normativa se forja mucho antes de la propia auditoría, a través de requisitos claramente definidos, no de suposiciones ligadas a la ubicación geográfica. Descarga el Informe sobre la preparación para la soberanía digital para conocer el marco de cuatro pilares y una herramienta práctica de autoevaluación.
Preguntas frecuentes
P: ¿Cuál es la diferencia entre la residencia de datos y la soberanía digital?
R: La residencia de datos se centra en el lugar donde se almacenan físicamente los datos. La soberanía digital va más allá, ya que aborda quién puede acceder a los datos, cómo se gestionan los sistemas y qué jurisdicciones pueden suponer un riesgo legal.
P: ¿Por qué la elección de una región no basta para garantizar la soberanía?
R: Elegir una nube solo tiene que ver con la ubicación geográfica. No resuelve los problemas relacionados con el acceso operativo, la exposición a riesgos legales ni las capacidades de recuperación.
P: ¿Cuáles son los cuatro pilares de la soberanía digital?
R: Los cuatro pilares son la localización de los datos, la soberanía tecnológica, la soberanía operativa y la soberanía jurisdiccional. Juntos, conforman lo que consideramos un marco más completo para evaluar el grado de preparación soberana.
P: ¿Por qué resulta tan difícil gestionar la soberanía operativa?
R: La soberanía operativa implica controlar quién puede acceder a los sistemas, desde dónde operan y bajo qué régimen jurídico. Estos controles son más difíciles de auditar que los simples requisitos sobre la ubicación de los datos.
P: ¿Es la soberanía digital una certificación fija?
R: No. La soberanía es una postura continua basada en decisiones deliberadas y verificables que varían según la organización, la carga de trabajo y el marco normativo.
Ruben Renders es director de soluciones para MSP en Commvault.
