En un momento en que gobiernos y organizaciones replantean su dependencia de infraestructuras de TI de propiedad extranjera, la soberanía de los datos se ha convertido en una prioridad para la alta dirección. Sin embargo, la conversación tiende a centrarse excesivamente en dónde se almacenan los datos, dejando de lado factores legales, operativos y de resiliencia que realmente determinan si las organizaciones mantienen el control.

La confusión no es nueva: entre residencia de datos y soberanía de datos existe una diferencia crucial que muchos simplifican o confunden. La residencia de datos se refiere a la ubicación física de la información, mientras que la soberanía de datos abarca un marco más amplio que incluye jurisdicción legal, control operativo, resiliencia, gobernanza y la capacidad de gestionar riesgos. Este malentendido alimenta un fenómeno de “lavado de soberanía” cuando se reducen las complejidades a una cuestión geográfica y se asume que trasladar los datos al país correcto garantiza el cumplimiento. En realidad, el foco debe ser quién puede acceder a los datos y quién controla la infraestructura que los soporta.

Este énfasis equivocado se suma a la urgencia por la independencia digital y el control sobre tecnología crítica, impulsando a proveedores a presentar ofertas “soberanas” basadas principalmente en la localización de datos. Aunque puedan satisfacer ciertas necesidades, reducir la soberanía a una cuestión de geografía es una narrativa simplista que no refleja la realidad legal ni operativa.

Riesgo de simplificación: los actores maliciosos valoran el contenido de los datos, no su ubicación. Por ello, las organizaciones pueden gastar una cantidad significativa de tiempo y recursos migrando datos a nuevas ubicaciones, mientras mantienen intactos sus riesgos de seguridad más relevantes. Un punto de partida más útil es preguntarse qué riesgos la organización realmente busca mitigar. Este cambio de enfoque dirige las conversaciones desde los mapas hacia el modelado de amenazas, que aporta el contexto adecuado para conversaciones significativas sobre soberanía.

Comienza con el modelado de amenazas: cada organización tiene modelos de amenaza distintos. Un minorista local, un banco multinacional, un contratista de defensa y un departamento gubernamental no comparten prioridades idénticas, incluso si manejan información sensible. Para algunos, el cumplimiento normativo o las exigencias de residencia de datos pueden ser la preocupación principal; para otros, la resiliencia ante ciberataques, la protección de propiedad intelectual o la reducción de la dependencia de un proveedor tecnológico pueden ser más importantes. En general, se trata de prioridades sectoriales y de negocio.

En lugar de preguntar únicamente dónde se almacenan los datos, los líderes deben considerar quién controla la infraestructura, qué tan dependientes son de proveedores de nube individuales, qué ocurre si los servicios quedan fuera de servicio y si mantienen visibilidad y control suficientes sobre sistemas críticos. Si alguno de estos puntos genera preocupaciones operativas o regulatorias, puede ser sensato ajustar la estrategia.

La paradoja de la resiliencia: perseguir una localización absoluta puede reducir la resiliencia. Mantener copias geográficamente separadas de datos críticos suele mejorar la disponibilidad y la recuperación ante incidentes. Limitar todo a una única jurisdicción puede reducir estas opciones. Por ello, las decisiones sobre soberanía deben equilibrar disponibilidad, confidencialidad e integridad. Las estrategias más efectivas reconocen que la resiliencia a veces requiere una distribución gestionada con cuidado, en lugar de una localización rígida.

Ilustración: si una organización asegura que todo su correo electrónico reside en una sola jurisdicción para cumplir objetivos de soberanía, podría enfrentarse a una interrupción mayor ante un fallo regional y a pérdidas de acceso a copias de seguridad almacenadas en la misma región. Al haber optimizado primero la soberanía, podría haber debilitado su capacidad de recuperación. Este es el diferencial entre tratar la soberanía como una afirmación de marketing y tratarla como un ejercicio real de gestión de riesgos.

Conclusión: la soberanía de datos no es un hechizo que se activa simplemente moviendo datos a un país considerado “seguro”. Es un marco que debe integrarse con gobernanza, procesos y capacidades de respuesta ante incidentes. Para evaluar verdaderamente la soberanía, las organizaciones deben trabajar en un enfoque holístico que combine cumplimiento, gobernanza, resiliencia y visibilidad, con un modelado de amenazas actualizado que refleje el entorno tecnológico y regulatorio actual.

Este artículo forma parte de TechRadar Pro Perspectives, una plataforma para impulsar ideas y conversaciones con las mentes más brillantes de la industria tecnológica. Las opiniones expresadas en este texto pertenecen al autor y pueden no coincidir necesariamente con las de TechRadar Pro o Future plc. Si estás interesado en contribuir, encuentra más información en el sitio correspondiente.

from Latest from TechRadar https://ift.tt/CnSqeZ9
via IFTTT IA