¿Qué es una nube soberana? ¿Por qué es importante?

Comienza por una sugerencia: algunos o todos los datos de tu organización deben permanecer dentro de un límite geográfico nacional o regional determinado, ya sea un estado o país o una región más amplia, como la Unión Europea. Los motivos de este requisito varían. Tal vez haya reglas gubernamentales que cubran tu sector, o que administres tipos específicos de datos regulados, como información de identificación personal (PII). Puede haber preocupaciones específicas de la empresa o relativas a la competencia. Cualquiera que sea la razón subyacente, el requisito recibe el nombre de soberanía digital o soberanía de datos.

Un método que satisface los requisitos de soberanía digital es almacenar todo en un centro de datos dentro del país o la región. Otra es utilizar la nube, específicamente una nube soberana que ofrezca todas las ventajas de la computación en la nube al tiempo que ayuda a cumplir determinados requisitos de soberanía digital.

¿Qué es una nube soberana?

Una nube soberana es un entorno en la nube que ayuda a una empresa a cumplir sus requisitos en materia de soberanía digital al tiempo que ofrece las ventajas del modelo de nube. Una nube soberana se puede alojar en una instalación propiedad de un proveedor de cloud computing y a la que acceden los sistemas de TI de fuera de la nube y de los usuarios de una organización a través de Internet o mediante enlaces de comunicaciones específicos que no están conectados a Internet. Una nube soberana también se puede configurar como una instalación "cloudlike" independiente dentro del centro de datos de una organización grande. La instalación actúa como un entorno de nube y de su mantenimiento se encarga el proveedor de servicios de nube, aunque está físicamente aislada del mundo exterior. Debido a la forma en que funciona la computación en la nube, existe un modelo de responsabilidad compartida entre el proveedor y el cliente. La seguridad y la privacidad deben gestionarse conjuntamente, por lo que es fundamental seleccionar un proveedor que pueda ayudarte a satisfacer tus necesidades de soberanía.

Existen cuatro principios de soberanía digital: residencia de datos, privacidad de datos, seguridad y resiliencia, y controles legales. Abarcan preguntas comunes como: ¿dónde están mis datos? ¿Quién puede acceder a él? ¿Cómo se mantienen seguros mis datos? ¿Qué protecciones legales tengo? En la mayoría de los marcos de soberanía, las organizaciones persiguen proteger la información personal relativa a los individuos. Sin embargo, a veces el alcance es más amplio y abarca la propiedad intelectual, el software, los métodos empresariales, los datos financieros, la información sobre la infraestructura de TI e incluso los metadatos que describen la envergadura de un conjunto de datos y la velocidad con que crece.

La soberanía digital no es un concepto binario. Es más como un espectro y evoluciona con el tiempo. Las organizaciones deben adaptarse constantemente a los cambios en las leyes y el mundo digital. Exploremos los requisitos de soberanía digital y cómo una nube soberana puede ayudar a una organización a cumplir con la normativa.

6 capacidades de la nube soberana

En muchos casos, los requisitos de conformidad de soberanía van más allá del almacenamiento de tablas de base de datos. Es posible que todos los equipos que procesan datos regulados deban encontrarse dentro de un área geográfica, al igual que todas las redes, flujos de datos, copias de seguridad y sistemas de recuperación ante desastres. A veces, incluso las personas que tienen acceso a sistemas regulados deben ser ciudadanos de esa jurisdicción o tener autorizaciones de seguridad. Una nube soberana tendrá algún nivel de una o más de las siguientes seis capacidades; los detalles dependerán de los requisitos geográficos, regionales y de otro tipo.

1. Restricciones de acceso que limitan el uso de la nube soberana a usuarios, software, sistemas y servicios pertenecientes a una compañía específica y a sus socios, clientes y proveedores; regiones geográficas específicas; o incluso a individuos dentro de una organización que tienen autorizaciones de ciudadanía o seguridad específicas

2. Control organizativo sobre dónde se encuentra la nube soberana, como un determinado país o región, o si la nube está en el centro de datos de un proveedor de servicios o en el centro de datos del cliente, a menudo denominado residencia de datos

3. Cumplimiento de requisitos gubernamentales, normativos o específicos del sector, incluidas especificaciones técnicas, así como prácticas legales, contractuales y empresariales específicas para cumplir las leyes y normativas pertinentes

4. Soporte operativo del proveedor de servicios en la nube que cumple con las altas expectativas de los clientes y los requisitos legales acerca de las autorizaciones de seguridad, la ciudadanía y la residencia de sus empleados

5. Capacidad de red dedicada: puede significar cualquier cosa, desde VPN seguras a través de la red pública de Internet hasta regiones aisladas que están completamente separadas de Internet y de los otros clientes del proveedor de nube

6. El cifrado, que podría implicar que el proveedor de servicios en la nube mantenga claves de cifrado o que el cliente traiga sus propias claves, que el proveedor de servicios en la nube nunca podrá ver o acceder.

Conclusiones clave

• La implementación de la soberanía digital a través de una nube soberana ayuda con el cumplimiento de los datos, la experiencia técnica, el aseguramiento del negocio y la continuidad, la eficiencia de la cadena de suministro y la resiliencia geopolítica.
• Los desafíos para la soberanía en la nube incluyen encontrar un proveedor de servicios que conozca todas las reglas, que pueda ayudar a determinar los niveles de protección necesarios y que posea las certificaciones pertinentes y las entidades jurídicas adecuadas para el cumplimiento.
• Las nubes soberanas generalmente están conectadas a Internet y se accede a ellas mediante enlaces y protocolos seguros y cifrados. En algunos casos, puede que sea necesaria una nube aislada.
• La soberanía de datos exige que los datos se cifren con un conjunto aprobado de protocolos, tanto si están almacenados en una base de datos o en un sistema de archivos o si se transmiten a través de una red.
• Es necesario asumir que las leyes y regulaciones de soberanía digital aumentarán en número y complejidad y que las sanciones financieras y penales por fallar en las auditorías de cumplimiento o por tener violaciones de datos que expongan datos regulados serán duras.

Explicación de la nube soberana

Para entender lo que puede hacer una nube soberana, imagina que diriges una empresa que hace negocios en la Unión Europea (EU). La UE es un caso de prueba ideal porque no solo tiene requisitos generales, sino que también lo hace cada uno de sus países miembros. Por lo tanto, todas las organizaciones encargadas de mantener la soberanía digital dentro de la UE deben cumplir tanto los requisitos de la UE como los nacionales.

Dentro de la UE, las leyes de soberanía en la nube están guiadas por una red entrelazada de reguladores, y las regulaciones cambian constantemente, en general, para ser más estrictas. Gran parte de esa evolución regulatoria está impulsada por los parlamentos nacionales y por el Parlamento Europeo en Bruselas en respuesta a las demandas de los ciudadanos y a la presión política constante por proteger a las empresas frente a los intereses de las empresas extranjeras, las fuerzas del orden y los tribunales. Ahí es donde entran en vigor leyes como el Reglamento General de Protección de Datos (RGPD) de la UE.

Imagine que una organización cuenta con filiales con oficinas, empleados y clientes en Alemania y Francia. Es posible que haya algunos datos que se puedan compartir entre los dos países cumpliendo con los requisitos de la UE, mientras que otros datos pueden estar restringidos por las leyes alemanas o francesas y deberán permanecer solo dentro del país específico. Tanto la organización del cliente como el proveedor de servicios en la nube comparten la responsabilidad de garantizar que la nube soberana cumpla todos esos requisitos y, lo que resulta igual de importante, que esté configurada para hacerlo de manera que se pueda demostrar a todas las partes.

Una nube soberana adecuada que cumpla la normativa de la UE incluirá la soberanía en toda la UE para proporcionar a los clientes el control de los datos y los flujos de datos de conformidad con la normativa de la UE, incluirá protecciones de acceso fuera de la UE para detectar, impugnar y bloquear el acceso desde fuera de la UE y, según proceda, gestionará las notificaciones de las partes interesadas y las exenciones permitidas.

La Ley CLOUD

La Ley de Clarificación del Uso Legal en el Extranjero de los Datos, o la Ley CLOUD, es una ley federal estadounidense promulgada en 2018 como una enmienda a la Ley de Comunicaciones Almacenadas (SCA) de 1986. La Ley CLOUD se ocupa principalmente del acceso y la divulgación de los datos almacenados por los proveedores de servicios, especialmente cuando esos datos se encuentran fuera de los Estados Unidos. Proporciona un marco para que las agencias policiales estadounidenses obliguen a los proveedores de servicios con sede en Estados Unidos a revelar los datos electrónicos solicitados, incluidos correos electrónicos, documentos y otras comunicaciones, independientemente de dónde se almacenen los datos a nivel mundial. Esta disposición simplifica el proceso de acceso a los datos almacenados en países extranjeros en los casos en que el proveedor está sujeto a la jurisdicción de los Estados Unidos.

Ventajas de la soberanía en la nube

El establecimiento de una nube soberana puede resultar una tarea compleja, incluso con un proveedor capaz. Sin embargo, vale la pena por diversos motivos. En primer lugar, el cumplimiento. La soberanía en la nube aborda ampliamente las normativas geográficas, políticas y del sector, la portabilidad de datos y las transferencias de datos compatibles dentro de los dominios normativos y entre ellos.

Además, una nube soberana ofrece las siguientes ventajas:

• Soluciones técnicas y experiencia que puede que las empresas no tengan internamente: La soberanía digital puede implicar cambios difíciles en el ámbito técnico, especialmente si una organización desea mantener la interoperabilidad y la portabilidad. Una nube soberana bien construida ofrece tanto cumplimiento normativo como estándares abiertos.
• Mejores prácticas operativas: Un proveedor de nube soberana contará con sólidos controles operativos, como autorización de acceso a las claves para los clientes o la capacidad de traer sus propias claves, así como administración, registro y soporte técnico. Esto es fundamental para una serie de organizaciones, como la comunidad de inteligencia.
• Garantía de continuidad y negocio: Una nube soberana instalada y mantenida por un proveedor de primera categoría ofrece toda la escalabilidad, continuidad del negocio y recuperación ante desastres, redundancia, portabilidad y rendimiento de una nube de primera clase, incluso con soberanía digital.
• Suficiencia de la cadena de suministro: Un proveedor de servicios en la nube que ofrece una nube soberana a menudo puede superar la capacidad de una única organización de cliente de ofrecer de manera inmediata servidores, redes, chips, cableado y energía, instalaciones, personal y formación.
• Resiliencia geopolítica: Un proveedor soberano de servicios en la nube con alcance global puede ayudar a las organizaciones a enfrentar los desafíos que plantean los conflictos militares, las dificultades económicas, el cambio climático y otros desastres a gran escala, lo que ayuda a garantizar su sostenibilidad.

5 desafíos de la soberanía en la nube

Los proveedores de servicios soberanos en la nube tienen interés en ayudar a los clientes a cumplir sus requisitos normativos, legales y técnicos. Aun así, a pesar de los beneficios, establecer la soberanía en la nube requiere que el equipo de TI de una organización supere algunos obstáculos, entre ellos:

1. Encontrar un proveedor de servicios que conozca las reglas

Las leyes y normativas de soberanía digital son complejas y cada vez más constantes. Tanto si las organizaciones utilizan una nube soberana como si usan un centro de datos tradicional, el panorama normativo hace que resulte difícil saber qué se cumple y qué no. Un proveedor de nube soberana de servicio completo tendrá la experiencia y los procesos para mantener sus ofertas actualizadas a medida que cambien las regulaciones.

2. Determinar los niveles de protección necesarios

¿Basta con que una organización se asegure de que la información de identificación personal (PII) está correctamente cifrada y almacenada dentro de las fronteras nacionales, o el cumplimiento normativo se extiende a los servidores que alojan un repositorio de documentos, los sistemas de control y las autorizaciones de ciudadanía y seguridad de todo el personal con acceso físico al hardware? No se puede garantizar el cumplimiento si no se sabe lo que se exige.

3. Diseñar una arquitectura de recuperación ante desastres

La soberanía de la nube puede aplicarse no solo al centro de datos primario, sino también a todos los sitios e instalaciones de recuperación de copias de seguridad, lo que significa que el proveedor de servicios en nube debe disponer de recursos suficientes para ofrecer dichas instalaciones dentro de la jurisdicción definida.

4. Solidez e integridad de la nube soberana

Algunos proveedores de servicios elaboran ofertas especializadas de nube soberana. Como resultado, las aplicaciones, características y servicios que ofrecen en sus nubes públicas pueden no estar disponibles, o estar completamente disponibles, en su nube soberana.

5. Adquirir un conjunto completo de certificaciones y entidades jurídicas

Algunos regímenes regulatorios requieren que la nube soberana sea propiedad de un proveedor de servicios con sede y titularidad dentro de la región geográfica específica, y que esté operada por él. Asegúrate de que el proveedor de servicios en la nube global cuente con las asociaciones, las licencias y los marcos legales adecuados para cumplir esos requisitos.

5 características clave de las nubes soberanas

Las empresas que persiguen establecer nubes soberanas tendrán que considerar sus requisitos en relación a estas cinco características clave, además de cualquier factor competitivo o específico de la industria en juego.

1. Ubicación

Selecciona cuidadosamente la ubicación de tu centro de datos soberano en la nube y las ubicaciones de las copias de seguridad en función de las normativas de cumplimiento y las consideraciones empresariales. Los puntos de datos que se recopilan incluyen la ubicación de los centros de datos en la nube del proveedor, la ubicación de otros centros de datos propiedad de socios y si es factible una nube soberana dedicada dentro de las instalaciones del cliente.

2. Control de acceso

Una organización siempre debe poder elegir qué compañías, socios y clientes (y software y servicios) pueden acceder a su entorno en la nube. En algunos casos, como cuando la seguridad nacional está en juego, el cliente puede decidirse por una instalación totalmente dedicada.

3. Operaciones y soporte

Una organización debe controlar qué personal administrativo y técnico, tanto del proveedor de la nube como de sus socios, puede tener acceso a sus sistemas, así como a los metadatos sobre dichos sistemas, por ejemplo las métricas de rendimiento y utilización.

4. Cumplimiento normativo

El traslado a la nube soberana debe ser flexible para permitir el cumplimiento de las normativas y los estándares de seguridad y reflejar la posibilidad de que se solapen distintas jurisdicciones, cada una con sus propios requisitos. En algunos casos, puede que un cliente tenga necesidades exclusivas de controles regulatorios y acreditaciones específicas.

5. Conexión a Internet o aislamiento

Para muchos o la mayoría de los clientes, una conexión cifrada a la red pública de internet puede ser el mejor enlace de red, más asequible y totalmente compatible. Sin embargo, es posible que algunos clientes o aplicaciones requieran regiones que estén totalmente aisladas de Internet o de otras redes.

Cifrado y soberanía de datos

No puedes tener soberanía de datos sin cifrado, y eso se aplica a los datos almacenados en bases de datos, las API y otros servicios que proporcionan acceso a esas bases de datos y aplicaciones, así como a las interfaces de usuario. El cifrado es un tema complejo dado el número y las versiones de los algoritmos que se usan habitualmente, el tamaño de las claves y las normativas relacionadas con el almacenamiento y el acceso a las claves de cifrado. Esto es cierto si la soberanía de datos está habilitada dentro de un centro de datos tradicional o en una nube soberana, aunque en el caso de la nube, las preguntas sobre el almacenamiento y el acceso a las claves de cifrado deben resolverse de una manera que sea compatible y satisfaga las necesidades empresariales.

Cuando un proveedor de servicios de nube gestiona las claves, el software soberano de la nube genera la clave de cifrado maestra. Si es el cliente el que gestiona las claves, la clave de cifrado maestra se almacena en un almacén de claves seguro al que el proveedor no puede acceder. El módulo de seguridad de hardware (HSM), que incluye esos almacenes de claves, debe ser a la vez resistente a manipulaciones y a prueba de manipulaciones, y debe poder reaccionar en caso de ataque.

Los datos almacenados en una base de datos o en un documento, a veces denominados "datos estáticos", se deben cifrar por defecto. Esto incluye datos en bases de datos relacionales tradicionales, contenedores Docker/Kubernetes, bases de datos de objetos, sistemas de archivos, bases de datos de bloques e incluso registros de inicio.

La información que se transmite a través de una red, a veces denominada "datos en tránsito", debe utilizar protocolos actualizados que cumplan, como mínimo, con estándares como Transport Layer Security (TLS) 1.2 o posterior y los certificados digitales X.509. Las normativas locales pueden requerir un cifrado aún más estricto, como MACsec (IEEE 802.1AE) para redes Ethernet. Este cifrado debe estar activado por defecto y nunca debe permitir la transmisión de datos en texto sin formato.

El futuro de la soberanía

Puede que la soberanía de los datos haya saltado a la fama con la aprobación del Reglamento General de Protección de Datos (RGPD) de la UE en 2016, pero eso ha sido solo el comienzo. Cada año, los países de todo el mundo, así como algunas regiones como la Unión Europea, revisan sus requisitos de soberanía de datos. Están endureciendo los estándares para eliminar la ambigüedad, reducir las debilidades, mejorar la confianza del consumidor y sus políticas, proteger a las empresas y responder a situaciones geopolíticas, como conflictos económicos y militares, terrorismo y delitos cibernéticos.

Nos atrevemos a predecir que las leyes y normativas de soberanía digital aumentarán en número y complejidad.

Y lo que es más, las sanciones financieras y penales por no superar las auditorías de cumplimiento o por los incumplimientos de la protección de datos regulados serán severas.

Los temores que impulsan a los proveedores de nubes soberanas, añade IDC, incluyen la protección de los datos de los clientes frente al acceso del personal de administración y soporte, así como el mantenimiento de la continuidad del negocio y el cumplimiento de la normativa sobre recuperación de desastres.

La resiliencia es claramente el término clave.

En general, la soberanía en la nube es un concepto relativamente nuevo; las organizaciones apenas están comenzando a comprender todas las implicaciones que tendrá en sus estrategias de nube. La implementación de una nube soberana implica enfrentarse a los nuevos requisitos de TI para infraestructura, estrategia, marcos de gobernanza y habilidades. Como la nube soberana es una estrategia a largo plazo, las organizaciones se están centrando en los dominios y los entornos normativos con las normas más estrictas, al tiempo que invierten en supervisar la nueva legislación y los cambios en las reglas del sector. Porque una vez que la normativa se endurece, no aflojará: es un viaje de ida.

Selección de un proveedor de nube soberana

A la hora de elegir un proveedor de soluciones de nube soberana, busca aquel que ofrezca la mejor solución global de nube que también te ayude a cumplir tus requisitos de soberanía digital. Idealmente, los servicios disponibles en la nube soberana serán los mismos que los ofrecidos en la nube pública del proveedor, con los mismos acuerdos de nivel de servicio (SLA) en cuanto a rendimiento, gestión y disponibilidad.

Un factor importante a tener en cuenta es si puedes optar por una solución de proveedor único, donde una entidad jurídica autorizada dentro de la región regulada sea su dueña y gestora. Las empresas conjuntas y las asociaciones pueden generar acusaciones mutuas por los problemas de soporte, las complejidades de la integración, las versiones de productos más lentas y, en algunos casos, pueden reducir las funciones disponibles.

Un proveedor de nube soberana debe ofrecer la soberanía de los datos como una característica esencial de su nube, no como un paquete complementario o un subconjunto de sus ofertas públicas. Esto facilitará el traslado, ya que la nube soberana utiliza el mismo hardware, software y servicios que la nube pública, solo que con un mayor control de acceso y con otras restricciones de cumplimiento habilitadas.

La recuperación ante desastres es fundamental para la planificación y los traslados a la nube soberana. Deberás buscar regiones de nube dentro de la geografía que se puedan configurar con recuperación y failover dentro del área de conformidad. Un proveedor de nube soberano también debe tener la experiencia necesaria para ayudar a sortear la compleja y cambiante red de normativas. El proveedor y el cliente deben poder compartir sin problemas la responsabilidad del cumplimiento, incluidas las acreditaciones según sea necesario.

Un paso más allá: regiones aisladas y regiones de seguridad nacional

Las redes gubernamentales y las cargas de trabajo altamente clasificadas pueden requerir acreditaciones de clientes y requisitos de cumplimiento que superen los de las regiones de nube soberana conectadas a internet. En tales casos, es posible que desee buscar regiones aisladas y regiones de seguridad nacional, que pueden ofrecer protección adicional, incluidos los siguientes:

• Acreditación gubernamental: busque regiones de seguridad nacional certificadas con las clasificaciones gubernamentales más altas, incluido el nivel 6 de impacto DISA de EE. UU..
• Centros de datos aislados: Estas instalaciones se crean según especificaciones gubernamentales que cumplen y superan los estándares gubernamentales y no están conectadas a internet.
• Operaciones seguras: son gestionadas y respaldadas por ciudadanos locales que mantienen acreditaciones de seguridad específicas del cliente.

Cumple los requisitos de soberanía con Oracle Cloud

Las soluciones de Oracle Cloud para la soberanía ayudan a los clientes a satisfacer sus necesidades de computación en la nube con datos y aplicaciones sensibles, regulados o de importancia regional estratégica, así como cargas de trabajo regidas por requisitos de soberanía y privacidad de datos. Ofrecidas en un número cada vez mayor de países y regiones de todo el mundo, las soluciones de nube soberana de Oracle proporcionan los servicios y capacidades de Oracle Cloud Infrastructure (OCI) y ayudan a los clientes a cumplir sus requisitos de soberanía digital.

Diseñada para garantizar la seguridad y la residencia de los datos, la arquitectura Oracle EU Sovereign Cloud se aloja en un centro de datos físicamente aislado y no tiene conexión de red troncal con otras regiones de nube de Oracle. El acceso de los clientes a Oracle EU Sovereign Cloud se gestiona independientemente del acceso a las regiones comerciales de Oracle Cloud.

Al ofrecer servicios en la nube donde los datos permanecen dentro de límites geográficos y legales definidos, a menudo con requisitos operativos y de gobernanza específicos, los proveedores de soluciones en la nube soberanas permiten a los gobiernos y a los sectores altamente regulados obtener las ventajas de la nube, al tiempo que cumplen con los estrictos mandatos de seguridad y residencia de datos. A medida que el panorama digital continúa evolucionando y las consideraciones geopolíticas siguen siendo prominentes, las ofertas de nube soberana están preparadas para desempeñar un papel cada vez más vital a la hora de permitir la transformación digital, al tiempo que ayudan a las organizaciones a cumplir las reglas y leyes pertinentes.

Preguntas frecuentes sobre la nube soberana

¿Qué es la soberanía de datos?

Los gobiernos promulgan continuamente leyes y normativas sobre cómo se debe almacenar la información digital crítica, dónde se debe guardar y a quién se le debe permitir acceder a ella. La soberanía de datos engloba el cumplimiento de esas leyes y normativas por parte de organizaciones e individuos.

¿Cuál sería un ejemplo de ley de soberanía de datos?

El Reglamento General de Protección de Datos (RGPD), promulgado por la Unión Europea en 2016, incluye requisitos completos para las organizaciones que recopilan y procesan la información personal de los ciudadanos de la UE.

¿Quién puede acceder a la información de una nube soberana?

Las leyes sobre soberanía de datos pueden restringir el acceso a los datos a determinados software, servicios y usuarios dentro de una geografía específica, a empresas de propiedad local o a aquellas que tienen autorizaciones de seguridad específicas u otros permisos.

¿Están las nubes soberanas conectadas a Internet?

En el caso de muchos usuarios, las nubes soberanas están conectadas a Internet a través de enlaces cifrados con fuertes controles de acceso. Sin embargo, para algunos usuarios gubernamentales y aplicaciones con altos requisitos de seguridad, la nube soberana puede estar aislada y totalmente desconectada de Internet.

¿Las copias de seguridad en la nube y los escenarios de recuperación ante desastres están también sujetos a las reglas de soberanía de datos?

Sí. Las copias de seguridad y los sitios de recuperación ante desastres deben cumplir íntegramente las reglas de soberanía de datos. En el caso de la soberanía de la nube, eso significa que las regiones de nube secundaria deben estar dentro de la misma geografía o dominio normativo.

¿Por qué es importante la ubicación para la soberanía en la nube?

Tener la capacidad de elegir las regiones geográficas donde almacenar sus datos es importante para las organizaciones que necesitan mantener el control sobre los datos con objeto de cumplir con las leyes y normativas de soberanía de datos.