¿Qué es una nube soberana? ¿Por qué es importante?

Comienza con una propuesta: algunos o todos los datos de su organización deben permanecer dentro de un límite geográfico nacional o regional determinado, ya sea un estado o país o una región más amplia, como la Unión Europea. Los motivos de este requisito varían. Tal vez haya reglas gubernamentales que cubran tu sector, o que administres tipos específicos de datos regulados, como información de identificación personal (PII). Puede haber preocupaciones específicas de la empresa o relativas a la competencia. Cualquiera que sea la razón subyacente, el requisito se denomina soberanía digital o soberanía de datos.

Un método que satisface los requisitos de soberanía digital es almacenar todo en un centro de datos dentro del país o la región. Otra es utilizar la nube, específicamente una nube soberana que ofrezca todas las ventajas de la computación en la nube al tiempo que ayuda a cumplir determinados requisitos de soberanía digital.

¿Qué es una nube soberana?

Una nube soberana es un entorno en la nube que ayuda a una empresa a cumplir sus requisitos en materia de soberanía digital al tiempo que ofrece las ventajas del modelo de nube. Una nube soberana se puede alojar en una instalación propiedad de un proveedor de computación en la nube y a la que acceden los sistemas de TI de usuarios y no en la nube de una organización a través de internet o mediante enlaces de comunicaciones dedicados que no están conectados a internet. Una nube soberana también se puede configurar como una instalación "cloudlike" independiente dentro del centro de datos de una organización grande; la instalación actúa como un entorno de nube y es mantenida por el proveedor de servicios en la nube, pero está físicamente aislada del mundo exterior. Debido a la forma en que funciona la computación en la nube, existe un modelo de responsabilidad compartida entre el proveedor y el cliente. La seguridad y la privacidad deben gestionarse conjuntamente, por lo que es fundamental seleccionar un proveedor que pueda ayudarte a satisfacer tus necesidades de soberanía.

Existen cuatro principios de soberanía digital: residencia de datos, privacidad de datos, seguridad y resiliencia, y controles legales. Abarcan preguntas comunes como: ¿dónde están mis datos? ¿Quién puede acceder a él? ¿Cómo se mantienen seguros mis datos? ¿Qué protecciones legales tengo? Bajo la mayoría de los marcos de soberanía, las organizaciones buscan proteger la información personal sobre las personas. Sin embargo, a veces el alcance es más amplio, e incluye la propiedad intelectual, el software, los métodos de negocio, los datos financieros, la información sobre la infraestructura de TI e incluso los metadatos que describen qué tan grande es un conjunto de datos y qué tan rápido está creciendo.

La soberanía digital no es un concepto binario. Es más como un espectro y evoluciona con el tiempo. Las organizaciones deben adaptarse constantemente a los cambios en las leyes y el mundo digital. Exploremos los requisitos de soberanía digital y cómo una nube soberana puede ayudar a una organización a cumplir con la normativa.

6 capacidades de la nube soberana

En muchos casos, los requisitos de conformidad de soberanía van más allá del almacenamiento de tablas de base de datos. Es posible que todos los equipos que procesan datos regulados deban estar dentro de una geografía, junto con todas las redes, flujos de datos, copias de seguridad y sistemas de recuperación ante desastres. A veces, incluso las personas que tienen acceso a sistemas regulados deben ser ciudadanos de esa jurisdicción o tener autorizaciones de seguridad. Una nube soberana tendrá algún nivel de una o más de las siguientes seis capacidades; los detalles dependerán de los requisitos geográficos, regionales y de otro tipo.

1. Restricciones de acceso que limitan el uso de la nube soberana a usuarios, software, sistemas y servicios pertenecientes a una compañía específica y a sus socios, clientes y proveedores; regiones geográficas específicas; o incluso a individuos dentro de una organización que tienen autorizaciones de ciudadanía o seguridad específicas

2. Control organizativo sobre dónde se encuentra la nube soberana, como un determinado país o región, o si la nube está en el centro de datos de un proveedor de servicios o en el centro de datos del cliente, a menudo denominado residencia de datos

3. Cumplimiento de requisitos gubernamentales, normativos o específicos del sector, incluidas especificaciones técnicas, así como prácticas legales, contractuales y empresariales específicas para cumplir las leyes y normativas pertinentes

4. Soporte operativo del proveedor de servicios en la nube que cumple con las altas expectativas de los clientes y los requisitos legales para las autorizaciones de seguridad, la ciudadanía y la residencia de sus empleados

5. Capacidad de red dedicada, que puede significar cualquier cosa, desde VPN seguras a través de la red pública de internet hasta regiones aisladas por aire que están completamente aisladas de internet y de los otros clientes del proveedor de nube

6. El cifrado, que podría implicar que el proveedor de servicios en la nube mantenga claves de cifrado o que el cliente traiga sus propias claves, que el proveedor de servicios en la nube nunca podrá ver o acceder.

Conclusiones clave

• La implementación de la soberanía digital a través de una nube soberana ayuda con el cumplimiento de los datos, la experiencia técnica, el aseguramiento del negocio y la continuidad, la eficiencia de la cadena de suministro y la resiliencia geopolítica.
• Los desafíos para la soberanía en la nube incluyen encontrar un proveedor de servicios que conozca todas las reglas, que pueda ayudar a determinar los niveles de protección necesarios y que posea las certificaciones pertinentes y las entidades jurídicas adecuadas para el cumplimiento.
• Las nubes soberanas generalmente están conectadas a internet y se accede a ellas mediante enlaces y protocolos seguros y cifrados. En algunos casos, puede ser necesaria una nube con espacio aéreo.
• La soberanía de datos requiere que los datos se cifren con un conjunto aprobado de protocolos, ya sea que estén almacenados en una base de datos o un sistema de archivos o que se transmitan a través de una red.
• Es necesario asumir que las leyes y regulaciones de soberanía digital aumentarán en número y complejidad y que las sanciones financieras y penales por fallar en las auditorías de cumplimiento o por tener violaciones de datos que expongan datos regulados serán duras.

La nube suberana al detalle

Para entender lo que puede hacer una nube soberana, imagina que diriges una empresa que hace negocios en la Unión Europea (EU). La UE es un caso de prueba ideal porque no solo tiene requisitos generales, sino que también lo hace cada uno de sus países miembros. Por lo tanto, todas las organizaciones encargadas de mantener la soberanía digital dentro de la UE deben cumplir tanto los requisitos de la UE como los nacionales.

Dentro de la UE, las leyes de soberanía en la nube están guiadas por una red entrelazada de reguladores, y las regulaciones cambian constantemente, en general, para ser más estrictas. Gran parte de esa evolución regulatoria está impulsada por los parlamentos nacionales y el Parlamento Europeo en Bruselas en respuesta a las demandas de los ciudadanos y la presión política constante para la protección contra los intereses de las empresas extranjeras, las fuerzas del orden y los tribunales. Ahí es donde entran en vigor leyes como el Reglamento General de Protección de Datos (RGPD) de la UE.

Imagina que una organización tiene filiales con oficinas, empleados y clientes en Alemania y Francia. Puede haber algunos datos que puedan ser compartidos entre los dos países mientras cumplen con los requisitos de la UE, mientras que otros datos pueden estar restringidos por las leyes alemanas o francesas y deben permanecer solo dentro del país específico. Tanto la organización del cliente como el proveedor de servicios en la nube comparten la responsabilidad de garantizar que la nube soberana pueda cumplir todos esos requisitos y, lo que es igual de importante, que esté configurada para hacerlo de forma demostrable para todas las partes.

Una nube soberana adecuada que cumpla la normativa de la UE incluirá la soberanía en toda la UE para proporcionar a los clientes el control de los datos y los flujos de datos de conformidad con la normativa de la UE, incluirá protecciones de acceso fuera de la UE para detectar, impugnar y bloquear el acceso desde fuera de la UE y, según proceda, gestionará las notificaciones de las partes interesadas y las exenciones permitidas.

La Ley CLOUD

La Ley de Clarificación del Uso Legal en el Extranjero de los Datos, o la Ley CLOUD, es una ley federal estadounidense promulgada en 2018 como una enmienda a la Ley de Comunicaciones Almacenadas (SCA) de 1986. La Ley CLOUD se ocupa principalmente del acceso y la divulgación de los datos almacenados por los proveedores de servicios, especialmente cuando esos datos se encuentran fuera de los Estados Unidos. Proporciona un marco para que las agencias policiales estadounidenses obliguen a los proveedores de servicios con sede en Estados Unidos a revelar los datos electrónicos solicitados, incluidos correos electrónicos, documentos y otras comunicaciones, independientemente de dónde se almacenen los datos a nivel mundial. Esta disposición simplifica el proceso de acceso a los datos almacenados en países extranjeros en los casos en que el proveedor está sujeto a la jurisdicción de los Estados Unidos.

Beneficios de la soberanía en la nube

Establecer una nube soberana puede ser una tarea compleja, incluso con un proveedor capacitado. Sin embargo, vale la pena en varios aspectos. En primer lugar, el cumplimiento. La soberanía de la nube aborda ampliamente las normativas geográficas, políticas e industriales, la portabilidad de los datos y las transferencias de datos conformes dentro de los dominios normativos y entre ellos.

Además, una nube soberana ofrece las siguientes ventajas:

• Soluciones técnicas y experiencia que las empresas pueden no tener internamente: La soberanía digital puede plantear cambios difíciles en el aspecto técnico, especialmente si una organización desea mantener la interoperabilidad y la portabilidad. Una nube soberana bien construida ofrece tanto cumplimiento normativo como estándares abiertos.
• Mejores prácticas operativas: Un proveedor de nube soberana contará con sólidos controles operativos, como acceso de claves autorizado para los clientes o la capacidad de traer sus propias claves, así como administración, registro y soporte técnico. Esto es fundamental para una serie de organizaciones, como la comunidad de inteligencia.
• Garantía de continuidad y negocio: Una nube soberana instalada y mantenida por un proveedor de primer nivel ofrece toda la escalabilidad, continuidad del negocio y recuperación ante desastres, redundancia, portabilidad y rendimiento de una nube de primera clase, también con soberanía digital.
• Suficiencia de la cadena de suministro: Un proveedor de servicios en la nube que ofrece una nube soberana a menudo puede ir más allá de la capacidad de una única organización de clientes para obtener servidores, redes, chips, cableado y la energía, las instalaciones, la dotación de personal y la formación necesarias para una disponibilidad inmediata.
• Resiliencia geopolítica: Un proveedor soberano de servicios en la nube con alcance global puede ayudar a las organizaciones a enfrentar los desafíos que plantean los conflictos militares, las dificultades económicas, el cambio climático y otros desastres a gran escala, lo que ayuda a garantizar su sostenibilidad.

Cinco desafíos de la soberanía en la nube

Los proveedores de servicios soberanos en la nube tienen interés en ayudar a los clientes a cumplir sus requisitos normativos, legales y técnicos. Aun así, a pesar de los beneficios, establecer la soberanía en la nube requiere que el equipo de TI de una organización supere algunos obstáculos, entre ellos:

1. Buscar un proveedor de servicios que conozca las reglas

Las leyes y regulaciones de soberanía digital son complejas y cada vez más constantes. Tanto si las organizaciones utilizan una nube soberana como un centro de datos tradicional, el panorama normativo dificulta saber qué cumple la normativa y qué no. Un proveedor de nube soberana de servicio completo tendrá la experiencia y los procesos para mantener sus ofertas actualizadas a medida que cambien las regulaciones.

2. Determinación de los niveles de protección necesarios

¿Una organización simplemente necesita asegurarse de que la información de identificación personal (PII) esté correctamente cifrada y almacenada dentro de las fronteras nacionales, o el cumplimiento normativo se extiende a los servidores que alojan un repositorio de documentos, los sistemas de control y las autorizaciones de ciudadanía y seguridad de todo el personal con acceso físico al hardware? No puedes cumplir hasta que sepas lo que se necesita.

3. Diseño de una arquitectura de recuperación ante desastres

La soberanía de la nube puede aplicarse no solo al centro de datos primario, sino también a todos los sitios e instalaciones de recuperación de copias de seguridad, lo que significa que el proveedor de servicios en nube debe disponer de recursos suficientes para ofrecer dichas instalaciones dentro de la jurisdicción definida.

4. Robustez e integridad de la nube soberana

Algunos proveedores de servicios han creado ofertas especializadas de nube soberana. Como resultado, las aplicaciones, características y servicios que ofrecen en sus nubes públicas pueden no estar disponibles, o estar completamente disponibles, en su nube soberana.

5. Adquisición de un conjunto completo de certificaciones y entidades jurídicas

Algunos regímenes regulatorios requieren que la nube soberana sea propiedad y operada por un proveedor de servicios con sede y propiedad dentro de la región geográfica específica. Asegurar que un proveedor de servicios en la nube global cuente con las asociaciones, las licencias y los marcos legales adecuados para cumplir esos requisitos.

Cinco características clave de las nubes soberanas

Las empresas que buscan establecer nubes soberanas tendrán que considerar sus requisitos para estas cinco características clave, además de cualquier factor competitivo o específico del sector en juego.

1. Ubicación

Selecciona cuidadosamente la ubicación de tu centro de datos soberano en la nube y las ubicaciones de copia de seguridad en función de las regulaciones de cumplimiento y las consideraciones empresariales. Los puntos de datos que se recopilan incluyen la ubicación de los centros de datos en la nube del proveedor, la ubicación de otros centros de datos propiedad de socios y si es factible una nube soberana dedicada dentro de las instalaciones del cliente.

2. Control de acceso

Una organización siempre debe poder elegir qué compañías, socios y clientes (y software y servicios) pueden acceder a su entorno en la nube. En algunos casos, como cuando la seguridad nacional está en juego, el cliente puede elegir una instalación totalmente dedicada.

3. Operaciones y soporte

Una organización debe controlar qué personal administrativo y técnico, tanto del proveedor de la nube como de sus partners, puede tener acceso a sus sistemas, así como a los metadatos sobre esos sistemas, como las métricas de rendimiento y utilización.

4. Cumplimiento normativo

Los despliegues soberanos en la nube deben ser flexibles a la hora de permitir el cumplimiento de las normativas y los estándares de seguridad para reflejar la posibilidad de superposición de jurisdicciones, cada una con sus propios requisitos. En algunos casos, un cliente puede tener necesidades únicas de controles regulatorios y acreditaciones específicas.

5. Conexión a internet o espacio aéreo

Para muchos o la mayoría de los clientes, una conexión cifrada a la red pública de internet puede ser el mejor enlace de red, más asequible y totalmente compatible. Sin embargo, algunos clientes o aplicaciones pueden requerir regiones totalmente aisladas de internet u otras redes.

Cifrado y soberanía de datos

No puedes tener soberanía de datos sin cifrado, y eso se aplica a los datos almacenados en bases de datos, las API y otros servicios que proporcionan acceso a esas bases de datos y aplicaciones, así como a las interfaces de usuario. El cifrado es un tema complejo debido al número y las versiones de algoritmos de uso común, el tamaño de las claves y las regulaciones relacionadas con el almacenamiento y el acceso a las claves de cifrado. Esto es cierto si la soberanía de datos está habilitada dentro de un centro de datos tradicional o en una nube soberana, aunque en el caso de la nube, las preguntas sobre el almacenamiento y el acceso a las claves de cifrado deben resolverse de una manera que sea compatible y satisfaga las necesidades empresariales.

Cuando un proveedor de servicios en la nube gestiona las claves, el software soberano de la nube genera la clave de cifrado maestra; cuando el cliente gestiona las claves, la clave de cifrado maestra se almacena en un almacén de claves seguro al que el proveedor no puede acceder. El módulo de seguridad de hardware (HSM) que incluye esos almacenes de claves debe ser a la vez resistente a las manipulaciones y además evidenciarlas, y debe poder reaccionar en caso de ataque.

Los datos almacenados en una base de datos o en un documento, a veces denominados "datos estáticos", se deben cifrar por defecto. Esto incluye datos en bases de datos relacionales tradicionales, contenedores Docker/Kubernetes, bases de datos de objetos, sistemas de archivos, bases de datos de bloques e incluso registros de inicio.

La información que se transmite a través de una red, a veces denominada "datos en tránsito", debe utilizar protocolos actualizados que cumplan con estándares como la seguridad de capa de transporte (TLS) 1.2 o posterior y los certificados digitales X.509, como mínimo. Las regulaciones locales pueden requerir un cifrado aún más estricto, como MACsec (IEEE 802.1AE) para redes Ethernet. Este cifrado debe estar activado por defecto y nunca debe permitir la transmisión de datos en texto sin formato.

El futuro de la soberanía

La soberanía de los datos puede haber explotado a la vista del público con la aprobación del Reglamento General de Protección de Datos (RGPD) de la Unión Europea en 2016, pero eso fue solo el comienzo. Cada año, países de todo el mundo, así como regiones como la Unión Europea, revisan sus requisitos de soberanía de datos. Están endureciendo los estándares para eliminar la ambigüedad, reducir las debilidades, mejorar la confianza del consumidor y sus políticas, proteger a las empresas y responder a situaciones geopolíticas, como conflictos económicos y militares, terrorismo y delitos cibernéticos.

He aquí una predicción: las leyes y normativas sobre soberanía digital aumentarán en número y complejidad.

He aquí otra: las sanciones financieras y penales por no superar las auditorías de cumplimiento o por sufrir filtraciones de datos que expongan datos regulados serán duras.

Los temores que impulsan a los proveedores de nubes soberanas, añade IDC, incluyen la protección de los datos de los clientes frente al acceso del personal de administración y soporte, así como el mantenimiento de la continuidad del negocio y el cumplimiento de la normativa sobre recuperación de desastres.

La resiliencia es claramente la clave del juego.

En general, la soberanía de la nube es un concepto relativamente nuevo; las organizaciones apenas están empezando a comprender todas las implicaciones que tendrá en sus estrategias de nube. Implementar una nube soberana significa enfrentarse a nuevos requisitos informáticos de infraestructura, estrategia, marcos de gobernanza y competencias. Dado que la nube soberana es una apuesta a largo plazo, las organizaciones se centran en los ámbitos y entornos normativos que cuentan con las regulaciones más rigurosas, al tiempo que invierten en el seguimiento de la nueva legislación y los cambios en las normas del sector. Porque una vez que la normativa se endurece, no aflojará: es un viaje de ida.

Elegir un proveedor de nube soberana

A la hora de elegir un proveedor de soluciones de nube soberana, busca aquel que ofrezca la mejor solución global de nube que también te ayude a cumplir tus requisitos de soberanía digital. Idealmente, los servicios disponibles en la nube soberana serán los mismos que los ofrecidos en la nube pública del proveedor, con los mismos acuerdos de nivel de servicio (SLA) en cuanto a rendimiento, gestión y disponibilidad.

Un factor importante a tener en cuenta es si puedes optar por una solución de proveedor único, donde una entidad jurídica autorizada dentro de la región regulada sea su dueña y gestora. Las empresas conjuntas y las asociaciones pueden dar lugar a acusaciones sobre problemas de asistencia, complejidades de integración, lanzamientos de productos más lentos y, en algunos casos, menos funciones disponibles.

Un proveedor de nube soberana debe ofrecer la soberanía de los datos como una característica esencial de su nube, no como un paquete complementario o un subconjunto de sus ofertas públicas. Esto facilitará la implementación, ya que la nube soberana utiliza el mismo hardware, software y servicios que la nube pública, solo que con un mayor control de acceso y otras restricciones de cumplimiento habilitadas.

La recuperación ante desastres es fundamental para la planificación e implementación de nubes soberanas; busca regiones de nube dentro de la geografía que puedan configurarse con recuperación y conmutación por error que permanezcan dentro del área de cumplimiento. Un proveedor de nube soberano también debe tener la experiencia necesaria para ayudar a sortear la compleja y cambiante red de normativas. El proveedor y el cliente deben poder compartir sin problemas la responsabilidad del cumplimiento, incluidas las acreditaciones que sean necesarias.

Un paso más allá: regiones aisladas y regiones de seguridad nacional

Las redes gubernamentales y las cargas de trabajo altamente clasificadas pueden requerir acreditaciones de clientes y requisitos de cumplimiento que superen los de las regiones de nube soberana conectadas a internet. En tales casos, es posible que desee buscar regiones aisladas y regiones de seguridad nacional, que pueden ofrecer protección adicional, incluidos los siguientes:

• Acreditación gubernamental: busque regiones de seguridad nacional certificadas con las clasificaciones gubernamentales más altas, incluido el nivel 6 de impacto DISA de EE. UU.
• Centros de datos aislados: Estas instalaciones se crean según especificaciones gubernamentales que cumplen y superan los estándares gubernamentales y no están conectadas a internet.
• Operaciones seguras: son gestionadas y respaldadas por ciudadanos locales que mantienen acreditaciones de seguridad específicas del cliente.

Cumple los requisitos de soberanía con Oracle Cloud

Las soluciones de Oracle Cloud para la soberanía ayudan a los clientes a satisfacer sus necesidades de computación en la nube con datos y aplicaciones sensibles, regulados o de importancia regional estratégica, así como cargas de trabajo regidas por requisitos de soberanía y privacidad de datos. Ofrecidas en un número cada vez mayor de países y regiones de todo el mundo, las soluciones de nube soberana de Oracle proporcionan los servicios y capacidades de Oracle Cloud Infrastructure (OCI) y ayudan a los clientes a cumplir sus requisitos de soberanía digital.

Diseñada para garantizar la seguridad y la residencia de los datos, la arquitectura Oracle EU Sovereign Cloud se aloja en un centro de datos físicamente aislado y no tiene conexión de red troncal con otras regiones de nube de Oracle. El acceso de los clientes a Oracle EU Sovereign Cloud se gestiona por separado del acceso a las regiones comerciales de Oracle Cloud.

Al ofrecer servicios en la nube donde los datos permanecen dentro de límites geográficos y legales definidos, a menudo con requisitos operativos y de gobernanza específicos, los proveedores de soluciones en la nube soberanas permiten a los gobiernos y a los sectores altamente regulados obtener las ventajas de la nube, al tiempo que cumplen con los estrictos mandatos de seguridad y residencia de datos. A medida que el panorama digital continúa evolucionando y las consideraciones geopolíticas siguen siendo prominentes, las ofertas de nube soberana están preparadas para desempeñar un papel cada vez más vital a la hora de permitir la transformación digital, al tiempo que ayudan a las organizaciones a cumplir las reglas y leyes pertinentes.

Preguntas frecuentes sobre Sovereign Cloud

¿Qué es la soberanía de datos?

Los gobiernos promulgan continuamente leyes y regulaciones sobre cómo se debe almacenar la información digital crítica, dónde se debe almacenar y a quién se le permite acceder a ella. La soberanía de datos abarca el cumplimiento de esas leyes y regulaciones por parte de organizaciones e individuos.

¿Cuál es un ejemplo de una ley de soberanía de datos?

El Reglamento General de Protección de Datos (RGPD), promulgado por la Unión Europea en 2016, tiene requisitos completos para las organizaciones que recopilan y procesan la información personal de las personas en la UE.

¿Quién puede acceder a la información en una nube soberana?

Las leyes de soberanía de datos pueden restringir el acceso a los datos a software, servicios y usuarios dentro de una geografía específica, a empresas de propiedad local o a aquellas que tienen autorizaciones de seguridad específicas u otros permisos.

¿Están las nubes soberanas conectadas a internet?

Para muchos usuarios, las nubes soberanas están conectadas a internet a través de enlaces cifrados con fuertes controles de acceso. Sin embargo, para algunos usuarios del gobierno y aplicaciones altamente seguras, la nube soberana puede estar fuera del aire y estar totalmente desconectada de internet.

¿Las copias de seguridad en la nube y los escenarios de recuperación ante desastres están sujetos a las reglas de soberanía de datos?

Sí. Las copias de seguridad y los sitios de recuperación ante desastres deben cumplir plenamente con las reglas de soberanía de datos; para la soberanía de la nube, eso significa que las regiones de nube secundaria deben estar dentro de la misma geografía o dominio normativo.

¿Por qué es importante la ubicación para la soberanía en la nube?

Tener la capacidad de elegir las regiones geográficas donde almacenan sus datos es importante para las organizaciones que necesitan mantener el control sobre sus datos para cumplir con las leyes y regulaciones de soberanía de datos.