TI para quien suministra a defensa
Alrededor de la defensa hay una cadena de proveedores, fabricantes de maquinaria, empresas de mantenimiento y centros de conocimiento. Reciben requisitos que no han escrito: quién puede acceder a un plano, dónde están los datos y qué debe poder rastrearse de una entrega. Construimos la TI que cumple con eso, y decimos dónde está nuestro límite.
Los requisitos vienen de su cliente
En esta cadena la seguridad de la información no es una opción sino una condición para poder participar.
Una empresa que suministra piezas, mantenimiento o conocimiento a una organización de defensa se encuentra con requisitos que van más allá de lo habitual en otros sitios. Van sobre el acceso: quién puede llegar a un plano, cómo se registra eso y con qué rapidez se retira cuando alguien se va. Van sobre la trazabilidad: qué piezas entraron en qué entrega, de dónde venían y si eso se puede demostrar después. Y van sobre la ubicación: dónde están los datos, quién puede acceder técnicamente y si esa parte queda bajo legislación extranjera.
Esta última pregunta ha ganado peso en los últimos años. Para una parte de la cadena el requisito es ya que los datos permanezcan dentro de Europa y que el proveedor no esté obligado a entregarlos bajo legislación de fuera de la UE. No es una postura política sino una condición de compra, y determina qué opción de nube tiene disponible.
El control de exportación toca la TI antes de lo que parece
Los datos técnicos sobre material militar o de doble uso caen bajo control de exportación, y eso no empieza con un envío sino con el acceso. Un plano abierto desde una oficina fuera de la UE ya es, en esa lógica, una exportación. Lo incorporamos al diseño: dónde están los datos, quién puede acceder desde qué ubicación y si eso queda registrado de forma que permita responder a una pregunta al respecto.
En la práctica eso significa separación: datos de proyecto de un cliente aparte de los de otro, acceso por rol y por proyecto en lugar de por departamento, y un rastro por documento. Parece pesado hasta la primera vez que alguien lo pregunta.
Dónde está nuestro límite
Trabajamos en la TI corporativa de organizaciones de esta cadena. No gestionamos sistemas clasificados ni entregamos un entorno para información clasificada: eso exige una instalación acreditada y personal habilitado según las normas aplicables, y no lo tenemos. Donde su cliente imponga una parte clasificada, esa parte se queda con quien esté autorizado para ella; nosotros hacemos que el resto de su entorno quede correctamente al lado y que la separación esté documentada.
Qué asumimos en la cadena de defensa
Usted elige lo que necesita. Todo queda bajo un contrato, un informe y un interlocutor.
- Acceso por rol y por proyectoQuién puede llegar a qué plano sigue la función y el proyecto, con verificación múltiple y retirada inmediata cuando sale personal propio o subcontratado.
- Datos de proyecto separados por clienteLo que es de un cliente queda aparte de lo que es de otro, con un rastro de quién pudo acceder y cuándo.
- Datos dentro de Europa donde se exigeAlmacenamiento y gestión con partes sujetas a legislación europea, para que una condición de compra sobre entrega de datos se responda con un hecho.
- Trazabilidad y cambios registradosDocumentos, versiones y accesos siguen siendo rastreables, para que una pregunta sobre una entrega de hace dos años no acabe en el buzón de alguien.
- Disponibilidad de producción y mantenimientoLos sistemas de los que depende una entrega o una revisión reciben un tiempo de recuperación pactado de antemano y ensayado de forma demostrable.
- Sin entornos clasificadosGestionamos la TI corporativa. Una parte clasificada se queda con quien esté autorizado, y la separación la documentamos en lugar de dejar que aparezca sola.
Cómo asumimos un entorno de esta cadena
En este orden, porque la primera pregunta de un cliente va sobre su configuración y no sobre sus intenciones.
Recoger los requisitos de sus clientes
Qué dicen realmente los contratos y las condiciones de entrega sobre acceso, ubicación y registro. Ese es el punto de partida, y está más veces en los anexos que en el contrato principal.
Mapear dónde están los datos
Qué sistemas, qué proveedores, qué países. En este paso casi siempre aparece un servicio del que nadie sabía que guardaba datos de proyecto.
Separar y registrar
Acceso por rol y por proyecto, datos de distintos clientes separados y una traza capaz de responder a un auditor sin que nadie tenga que buscar toda una tarde.
Corregir con lo que vemos
El informe recoge accesos, cambios e incidencias. Esas cifras sirven para mejorar el entorno y son útiles en su propia rendición de cuentas ante el cliente.
Los servicios que más aparecen aquí
Estos componentes son los que más aparecen en la cadena de defensa.
Seguir mirando
¿Reconoce el cuadro pero trabaja en otro ramo? Eche un vistazo a los demás sectores.
Preguntas que nos hacen sobre esto
Las más habituales, respondidas en breve.
¿Pueden trabajar en sistemas clasificados?
No, y lo decimos de antemano. La información clasificada exige un entorno acreditado y personal habilitado según las normas aplicables; no lo tenemos. Gestionamos la TI corporativa de alrededor, y la parte clasificada se queda con quien esté autorizado para ella.
¿Pueden garantizar que nuestros datos permanezcan en Europa?
Donde su cliente lo exige, lo montamos así: almacenamiento y gestión con partes sujetas a legislación europea, con constancia de qué está dónde. Es una decisión de diseño que se toma por adelantado y no algo que se arregle después.
¿Qué tiene que ver el control de exportación con nuestra TI?
Más de lo que suele pensarse. Los datos técnicos de material militar o de doble uso entran ahí, y eso no empieza con un envío sino con el acceso: un plano abierto desde una oficina fuera de la UE ya cuenta en esa lógica. Por eso registramos quién puede acceder desde qué ubicación.
Cuéntenos qué exige su cliente
Nombre las condiciones que sus contratos fijan sobre acceso, ubicación y registro. Sobre eso construimos la separación, la cobertura y la prueba, con el límite claramente dicho.