The Pillar Most Sovereignty Strategies Forget

Puntos Clave

• La soberanía operativa se centra en quién puede acceder a los sistemas y bajo qué jurisdicciones operan.
• El acceso de los proveedores, los flujos de telemetría y las vías de asistencia pueden generar lagunas ocultas en materia de soberanía.
• La soberanía operativa es más difícil de certificar porque requiere una visibilidad y una auditoría continuas.
• Las organizaciones deben poder demostrar y documentar todas las vías de acceso a los entornos soberanos.

Si se pregunta a la mayoría de las organizaciones en qué aspecto es más sólido su programa de soberanía, la respuesta suele ser una variante de los mismos dos aspectos: la localización de los datos y el cifrado. Saben dónde se almacenan sus datos principales. Han implementado mecanismos de «trae tu propia clave» o «guarda tu propia clave». Pueden presentar certificaciones.

Pregúntales quién ha accedido a su entorno soberano en los últimos noventa días, desde qué países y bajo qué jurisdicciones legales… y la confianza suele esfumarse. La soberanía operativa es el pilar más difícil de auditar, el que más se tiende a subestimar y el ámbito más habitual en el que una postura de soberanía que parece sólida sobre el papel se desmorona en la práctica. El Informe sobre la Readiness para la soberanía digitalnames it as one of the four pillars – this post goes further.

The question most organizations can’t answer: ‘Who accessed your sovereign environment in the last 90 days, from which countries, and under which legal jurisdictions?’

Qué significa realmente la soberanía operativa

La soberanía operativa no tiene que ver con dónde se almacenan los datos. Se trata de quién gestiona el entorno y quién tiene acceso a él. Abarca tres aspectos que la mayoría de los programas de soberanía tratan como detalles de implementación en lugar de considerarlos cuestiones prioritarias:

• Acceso del personal y jurisdicción. Toda persona que pueda acceder a tu entorno soberano –ya sea para ofrecer soporte, realizar tareas de mantenimiento, llevar a cabo la supervisión o responder a incidentes– opera bajo una jurisdicción legal definida. Si un ingeniero de soporte de un país sujeto a una ley extranjera de acceso a datos puede acceder a tus sistemas, la soberanía de tu infraestructura dependerá en gran medida de la exposición legal de ese ingeniero.

La mayoría de las organizaciones, cuando hacen esta auditoría por primera vez, se encuentran con al menos una vía de asistencia que cruza un límite jurisdiccional que no habían tenido en cuenta.

• Acceso de terceros y proveedores. Tu límite de soberanía se extiende a todos los proveedores, proveedores de servicios gestionados y platform de software platform acceso a tu entorno soberano. Plataformas de ITSM, herramientas de monitorización, sistemas SIEM… Si estos se encuentran fuera de tu límite de soberanía pero tienen acceso a datos o metadatos dentro de él, tienes una brecha que los controles de localidad de datos no pueden cerrar.
• Tráfico de telemetría, facturación y plano de control. Los programas de soberanía de datos se centran en los datos primarios. La soberanía operativa requiere identificar adónde va todo lo demás: la telemetría que genera tu infraestructura, los metadatos que recopilan tus sistemas de monitorización, los datos de facturación que procesa tu proveedor. Estos flujos pueden cruzar las fronteras jurisdiccionales incluso cuando los datos primarios no lo hacen – y rara vez se mapean.

Por qué este pilar es más difícil de certificar… y por qué eso importa

La localidad de los datos es relativamente sencilla de documentar. Se puede hacer referencia a una región de almacenamiento, a un acuerdo de residencia de datos o a una auditoría de terceros. La soberanía operativa no cuenta con el mismo rastro documental. No existe ninguna certificación que garantice la situación jurisdiccional de cada ingeniero de soporte que pueda acceder a tu entorno.

Esto es precisamente lo que lo convierte tanto en el pilar más difícil de auditar como en el más importante a la hora de hacerlo bien. Además, está directamente relacionado con el reto de la soberanía mínima viable: aplicar los controles operativos adecuados a las cargas de trabajo adecuadas requiere saber cuáles son esos controles, y es precisamente en la soberanía operativa donde ese conocimiento suele faltar.

La dimensión de la cadena de suministro

La NIS2, que amplía las obligaciones en materia de ciberseguridad a los sectores de la energía, el transporte, la sanidad y las infraestructuras digitales, exige ahora a las organizaciones que evalúen las prácticas de ciberseguridad de sus proveedores de tecnología. Para los programas de soberanía, esto tiene una consecuencia directa: la postura de soberanía de los proveedores ya no es un simple detalle en la contratación pública. Es un requisito que se puede auditar.

Esto implica plantear nuevas preguntas a cada proveedor que se encuentre dentro de su perímetro de soberanía: ¿Dónde se encuentra su personal de soporte? ¿Bajo qué jurisdicción legal operan? ¿Qué ocurre con el acceso que tienen a mi entorno si su empresa es adquirida por una entidad no perteneciente a la UE?

Cómo es lo bueno

Un entorno operativamente soberano tiene cuatro características que se pueden demostrar, no solo documentar:

• Se ha realizado un mapa de todas las vías de acceso al entorno soberano: no solo el acceso principal, sino también el de los proveedores, el de soporte técnico y el de los sistemas de monitorización.
• El estatus jurisdiccional de cada persona o sistema que tiene ese acceso se documenta y se audita con una periodicidad definida.
• Se hace un inventario de los flujos de tráfico de telemetría, metadatos y del plano de control, y estos se mantienen dentro de los límites de soberanía o se evalúan y aceptan explícitamente como fuera del ámbito de aplicación.
• La organización puede responder a la pregunta sobre el acceso en un plazo de noventa días —y lo hace con precisión, aportando pruebas—.

Una cosa más: la soberanía operativa no se limita al control de acceso. Si la recuperación requiere personal que trabaje fuera de tus límites de soberanía, la estrategia falla en el momento en que se produce un incidente.Ese es el tema de la cuarta entrada de esta serie. ElInforme sobre la Readiness para la soberanía digitaldigital incluye una pregunta de evaluación directa sobre la soberanía operativa.

Preguntas frecuentes

P: ¿Qué es la soberanía operativa?

R: La soberanía operativa se refiere a quién gestiona y tiene acceso a un entorno, incluyendo al personal, a los proveedores y a los sistemas de soporte. Va más allá del lugar donde se almacenan los datos.

P: ¿Por qué se suele pasar por alto la soberanía operativa?

R: Muchas organizaciones se centran principalmente en la ubicación y el cifrado de los datos. A menudo, las vías de acceso, el personal de soporte y los flujos de telemetría no se auditan a fondo.

P: ¿Cómo influyen los proveedores en la postura en materia de soberanía?

R: Los proveedores y los proveedores de servicios gestionados pueden tener acceso a sistemas sensibles o a metadatos. Sus jurisdicciones legales y prácticas operativas pueden afectar al cumplimiento general de las normas de soberanía.

P: ¿Por qué son importantes la telemetría y los metadatos?

R: Aunque los datos primarios se queden en el ámbito local, la telemetría y los metadatos pueden traspasar las fronteras jurisdiccionales. Estos flujos pueden suponer riesgos de cumplimiento normativo si no se gestionan adecuadamente.

P: ¿Qué incluye un modelo sólido de soberanía operativa?

R: Incluye rutas de acceso definidas, controles jurisdiccionales documentados, acceso de proveedores auditado y visibilidad de todos los flujos de telemetría y metadatos.

Alex Zinin es vicepresidente y director general del área de Proveedores de Servicios Gestionados en Commvault.