Nube soberana: la pregunta detrás de "dónde están nuestros datos"
La nube soberana hace tiempo que dejó de tratar solo del lugar de un centro de datos. Trata de quién puede acceder, bajo qué derecho ocurre eso y si puede seguir funcionando si cambia la relación con un proveedor. Esta página separa esas capas.
Cuatro capas de soberanía
Suelen mezclarse, y un proveedor que entrega la primera pasa entonces por cubrir las cuatro.
- Dónde están los datosLa capa más fácil y normalmente una elección en la configuración: una región dentro de la UE. Es lo que la mayoría de proveedores quiere decir con "soberano", y es la capa que menos dice: el sitio donde está un disco no decide quién puede acceder a él.
- Quién puede acceder técnicamenteAdministradores, soporte, subcontratistas. Aquí se habla de cifrado con claves que gestiona usted, de aprobación previa para el acceso del proveedor, y de si el soporte mira desde un país fuera de la UE.
- Bajo qué derecho está el proveedorUn centro de datos europeo de una empresa sujeta a derecho no europeo puede seguir estando sujeto a un requerimiento de ese país. Si eso es un problema depende de sus datos y de su sector; ese juicio debe venir de un abogado y no de nosotros.
- Si puede marcharseLa capa que más pesa en una compra y menos se comprueba: puede sacar sus datos, en un formato utilizable, en un plazo razonable, y funciona en otro sitio. Mientras no se haya probado una vez, es una suposición.
Qué preguntar a un proveedor
Cuatro preguntas que un folleto no contesta. También funcionan con el proveedor que ya tiene.
¿Quién puede acceder sin que yo lo sepa?
Pregunte por el procedimiento y no por la promesa: cómo obtiene acceso un administrador del proveedor, quién lo aprueba y dónde está el registro que yo mismo puedo leer.
¿De quién son las claves?
El cifrado con claves que gestiona el proveedor protege contra un disco robado y no contra el proveedor. Si las gestiona usted, pregunte enseguida quién revoca una cuando algo va mal y qué ocurre entonces.
¿Dónde se ejecuta el proceso de soporte?
El acceso no es solo producción. Soporte, supervisión y resolución de una caída son los momentos en que realmente se mira dentro. Pregunte dónde se sienta esa gente.
¿Cómo es la salida?
En qué formato salen los datos, cuánto tarda y qué se queda. Póngalo en el contrato y pruébelo una vez con un juego de prueba: es la única manera de saber si la respuesta se sostiene.
Qué hacemos aquí y qué no
Nosotros construimos y documentamos. No determinamos si algo es admisible jurídicamente.
- Montar según la elección hechaRegión, cifrado, gestión de claves, separación de red y control de accesos, y donde encaje un entorno sobre equipo propio o en un proveedor europeo. La elección es suya; nosotros hacemos que la realidad la siga.
- Dejar por escrito que está asíQué región, qué claves, quién tiene acceso y cuándo cambió. Es lo que quiere ver un auditor, un cliente grande o un regulador, y es la parte que después ya no se puede reconstruir.
- Pensar la salida desde el principioMontamos con la puerta de salida incluida: exportaciones que funcionan, formatos legibles en otro sitio, y probarlo una vez en lugar de confiar. También cuando el proveedor del que se marcharía somos nosotros.
- Lo que no hacemosDecir si un servicio cumple una ley o la política de su sector. Eso es una calificación jurídica. Aportamos los hechos sobre los que descansa ese juicio, y avisamos cuando la técnica no puede sostener una promesa.
Esto no es asesoramiento jurídico. Lo que aquí figura es la traducción a técnica y constancia documental; si un tratamiento está permitido debe decírselo su asesor jurídico o el regulador. Vea también soberanía digital para la reflexión más amplia.
Seguir leyendo
Con qué enlaza esto.
Preguntas que nos hacen sobre esto
Las más habituales, respondidas en breve.
¿Los datos en un centro de datos europeo son soberanos automáticamente?
No. El sitio donde está un disco no dice nada sobre quién puede acceder a él. Un proveedor sujeto a derecho no europeo puede estar sujeto a un requerimiento de ese país pese al centro de datos europeo, y el soporte fuera de la UE puede tener acceso técnico.
¿Qué pregunta dice más sobre un proveedor?
Cómo es la salida. En qué formato salen los datos, cuánto tarda y qué se queda. Póngalo en el contrato y pruébelo una vez con un juego de prueba; es el seguro más barato de todo el proyecto.
¿Determinan ustedes si un servicio cloud es admisible jurídicamente?
No, eso es una calificación jurídica y no la hace un proveedor de TI. Montamos según la elección hecha, dejamos por escrito lo que hay y avisamos cuando la técnica no puede sostener una promesa.
Averiguar dónde están realmente sus datos
Repasamos el entorno con las cuatro capas de arriba y ponemos por escrito qué rige hoy. A menudo aparecen diferencias entre lo acordado y lo configurado.
Conocimiento práctico de TI en tu bandeja
Nuevas guías sobre gestión, seguridad y el puesto de trabajo, escritas por quienes hacen el trabajo. Sin discursos comerciales, y puedes darte de baja con un clic.