Minimum Viable Sovereignty: Why the Right Posture Isn’t the Same for Every Organization

Puntos Clave

• La soberanía mínima viable (MVS) se centra en aplicar el nivel adecuado de control a las cargas de trabajo adecuadas.
• Tratar todas las cargas de trabajo por igual puede generar una complejidad y unos costes innecesarios, o una protección insuficiente.
• Las organizaciones suelen encajar en tres perfiles de soberanía: soberanía plena, empresa regulada y multicloud híbrido.
• La gobernanza coherente en entornos mixtos es uno de los mayores retos operativos.

Existe una versión del debate sobre la soberanía digital que lleva a las organizaciones a una situación costosa, operativamente onerosa y —si somos sinceros— que va más allá de lo que exigen sus obligaciones reales. La soberanía máxima suena responsable. En la práctica, suele ser un error de cálculo.

Existe otra versión igualmente habitual que conduce a una situación peligrosamente precaria: controles que cumplen una lista de requisitos, pero que no resistirían una auditoría, un incidente o un regulador que ya no acepte la intención documentada como prueba de un control demostrado.

Las organizaciones que aplican correctamente el concepto de soberanía suelen adoptar un enfoque más riguroso y práctico que cualquiera de los dos extremos: se preguntan qué es lo que realmente deben, a quién y para qué. A continuación, se estructuran según ese estándar —ni más, ni menos—.

Esta es la disciplina del MVS, presentada en el Informe sobre la Readiness para la soberanía digital y se explica con detalle aquí.

MVS no es un atajo. Es reconocer que el objetivo es el nivel adecuado de control, aplicado de forma coherente en todas las cargas de trabajo que lo requieran.

No todas las cargas de trabajo son iguales

El punto de partida de un enfoque MVS es la clasificación de las cargas de trabajo —y la mayoría de las organizaciones se saltan este paso por completo—.

Un sistema de negociación que procesa datos financieros regulados conlleva obligaciones de soberanía fundamentalmente diferentes a las de una herramienta interna de colaboración de RR. HH. Una base de datos que contiene datos personales de ciudadanos de la UE está sujeta a un régimen jurídico y normativo distinto al de un entorno de desarrollo que ejecuta datos de prueba anonimizados.

Tratar todos estos casos de forma idéntica —ya sea aplicando los máximos controles de soberanía de forma generalizada o asumiendo que un único modelo de implementación lo abarca todo— es lo que lleva a las organizaciones a acabar con una ingeniería excesiva o con una protección insuficiente.

La pregunta adecuada antes de cualquier decisión de implementación es: ¿qué requiere esta carga de trabajo en cada uno de los cuatro pilares de soberanía? El Informe de Readiness incluye una autoevaluación estructurada precisamente en torno a esa pregunta.

Los tres perfiles —y lo que realmente necesitan—

Las empresas reguladas se clasifican en tres perfiles reconocibles, cada uno con diferentes motivaciones principales y prioridades de inversión.

• El verdadero soberano. Organismos públicos, contratistas del sector de la defensa y operadores de infraestructuras nacionales críticas. Para estas organizaciones, la soberanía no es un requisito normativo, sino un imperativo operativo. A menudo, la ley exige el máximo control sobre todas las dimensiones de la pila tecnológica, y se aceptan las compensaciones en términos de costes porque la alternativa no es viable.
• La organización regulada. Empresas de servicios financieros, organizaciones sanitarias, empresas energéticas. Estas organizaciones se enfrentan a requisitos vinculantes derivados de la DORA, la NIS2, el RGPD y los marcos normativos específicos de cada sector. Las obligaciones de cumplimiento también pueden estar relacionadas con los sistemas de certificación de la UE —entre ellos, EUCS, EUCC, BSI C5 y SecNumCloud— en función del sector y del contexto de implementación.

En determinados ámbitos, esto no es negociable —especialmente en lo que se refiere a la residencia de datos, los controles de acceso operativo y la Recovery dentro de los límites jurisdiccionales—. Pero no todas las cargas de trabajo conllevan la misma obligación.

• La organización híbrida multicloud. Se trata de organizaciones que ya han realizado inversiones en hiperescaladores y que se enfrentan a una presión cada vez mayor en materia de soberanía por parte de los clientes, los organismos reguladores o los requisitos de contratación pública. Su reto no es una migración total, sino incorporar controles de soberanía en un entorno mixto y mantener una gobernanza coherente en todo él.

El coste de un mal ajuste

Una sobredimensionación de la soberanía genera sus propios riesgos operativos. Las organizaciones que aplican controles de soberanía máximos a cargas de trabajo que no los requieren asumen costes y complejidad que no sirven a ningún propósito normativo ni empresarial.

La falta de ingeniería es el modo de fallo más habitual y el más peligroso. Por lo general, no se detecta hasta que llega la auditoría o, lo que es peor, hasta que se produce un incidente y la recuperación se convierte en un problema con implicaciones legales. (Ese modo de fallo es el tema de lacuarta entrada de esta serie).

Un punto de partida práctico

Un enfoque MVS sigue tres pasos:

1. Clasifica las cargas de trabajo según sus requisitos reales de soberanía en cada pilar —no empieces por los modelos de implementación—.
2. Asignar cada clase de carga de trabajo al nivel de implementación que cumpla dichos requisitos, abarcando todo el espectro, desde las regiones de hiperescaladores públicos hasta la nube pública soberana y los entornos gestionados en las propias instalaciones.
3. Gobernar el entorno mixto resultante de forma coherente: los controles, las pruebas de auditoría y las capacidades de Recovery deben poder demostrarse en todo el entorno, no solo en el nivel más soberano.

El tercer paso es donde la mayoría de los programas encuentran dificultades. Mantener controles de soberanía coherentes en un entorno mixto supone un reto de gobernanza operativa —y, concretamente, el ámbito de la soberanía operativa—,tema del tercer artículo de esta serie, el pilar que la mayoría de las estrategias tratan como algo secundario.

Utiliza la autoevaluación delInforme sobre la Readiness para la soberanía digitaldigital

Preguntas frecuentes

P: ¿Qué es la soberanía mínima viable (MVS)?

R: El MVS consiste en aplicar controles de soberanía basados en las necesidades reales de la empresa y en los requisitos normativos. Su objetivo es ayudar a evitar tanto un exceso de complejidad como una protección insuficiente.

P: ¿Por qué es importante la clasificación de la carga de trabajo?

R: Las diferentes cargas de trabajo conllevan distintas obligaciones normativas y operativas. La clasificación de las cargas de trabajo ayuda a las organizaciones a aplicar el nivel adecuado de controles de soberanía.

P: ¿Cuáles son los tres perfiles de soberanía más habituales?

R: Los tres perfiles son: organizaciones verdaderamente soberanas, organizaciones reguladas y organizaciones híbridas multinube. Cada una de ellas tiene requisitos operativos y de cumplimiento normativo distintos.

P: ¿Qué riesgos conlleva una concepción excesiva de la soberanía?

R: Un exceso de controles puede aumentar la complejidad operativa y los costes sin aportar un valor significativo en materia de cumplimiento normativo ni para el negocio.

P: ¿Por qué los entornos mixtos plantean retos de gobernanza?

R: Las organizaciones suelen operar en múltiples modelos de nube e infraestructura. Resulta difícil mantener controles, pruebas de auditoría y normas de Recovery coherentes en todos los entornos.

Ruben Renders es director de Soluciones, MSP, en Commvault.