La soberanía de los datos en la seguridad de la nube híbrida
- La soberanía de los datos en la nube se refiere a qué leyes rigen los datos y quién puede acceder a ellos, y no solo a su ubicación.
- Las herramientas de seguridad suponen un riesgo para la soberanía, ya que descifran el tráfico, copian pruebas y exportan registros.
- Pregunte dónde se llevan a cabo las inspecciones, qué datos se eliminan, dónde se almacenan los registros y quién puede acceder a los datos descifrados.
- La inspección local, el registro que tiene en cuenta la ubicación y las claves controladas por el cliente pueden respaldar los requisitos de soberanía; valide cada ruta de procesamiento y acceso.
- El Marco de Soberanía en la Nube de la UE y la DORA convierten la soberanía en un requisito cuantificable en materia de contratación pública y cumplimiento normativo.
La soberanía de los datos en la seguridad de la nube híbrida es la disciplina que garantiza que los datos confidenciales —incluidas las copias y los metadatos generados por los controles de seguridad— se procesen, almacenen y consulten únicamente de formas que la organización propietaria y sus organismos reguladores consideren aceptables. En un entorno híbrido, ello requiere decidir de forma deliberada qué funciones de seguridad se ejecutan localmente y cuáles pueden ejecutarse en la nube de un proveedor.
Este artículo forma parte de la guía sobre seguridad en la nube híbrida. Se trata de información general, no de asesoramiento jurídico. Confirme los requisitos con sus equipos jurídicos y de cumplimiento normativo.
Residencia de datos frente a soberanía de datos frente a localización de datos
La residencia de los datos se refiere al lugar donde se almacenan; la localización de los datos es un requisito legal para mantenerlos dentro del país; y la soberanía de los datos se refiere a qué leyes los regulan y quién puede acceder a ellos.
| Término | Qué significa | Pregunta de ejemplo |
|---|---|---|
| Residencia de los datos | Dónde se almacenan físicamente los datos | ¿Se encuentra nuestra base de datos de clientes en una región de la UE? |
| Localización de datos | Un requisito legal que exige que determinados datos permanezcan en un país | ¿Es necesario que este tipo de datos permanezca en el país? |
| Soberanía de los datos | ¿Qué leyes regulan los datos y quién puede exigir o obtener acceso a ellos? | ¿Puede acceder a ella una autoridad extranjera o un empleado del proveedor? |
La ubicación en la región es necesaria, pero no suficiente. El personal de los proveedores de otros lugares puede seguir accediendo a los datos almacenados en la región, estos pueden ser objeto de una orden judicial en virtud de la legislación extranjera o pueden copiarse en registros y sistemas de apoyo de otros países.
Por qué las herramientas de seguridad suponen un riesgo para la soberanía
Las herramientas de seguridad suponen un riesgo para la soberanía, ya que gestionan los datos más sensibles de una organización —a menudo en formato descifrado— y los copian en registros y pruebas.
Los principales puntos de exposición son:
- Inspección. Una pasarela de inspección de tráfico ( secure web gateway ) descifra el tráfico TLS para analizarlo. Durante ese tiempo, las credenciales, los datos personales y los documentos confidenciales se encuentran en texto sin cifrar en cualquier lugar donde se ejecute la pasarela.
- Copias de pruebas. Los motores DLP pueden almacenar copias o extractos del contenido que haya activado una política, para que los investigadores puedan revisarlos.
- Registros y telemetría. Las URL, los nombres de archivo, las identidades de los usuarios y los datos de los dispositivos se envían a plataformas de registro y análisis, a menudo ubicadas en la región central de un proveedor.
- Análisis de amenazas. Los archivos sospechosos pueden enviarse a entornos de prueba en la nube para su análisis.
- Acceso al servicio de asistencia. Es posible que los ingenieros del proveedor puedan consultar los datos de los clientes durante la resolución de incidencias.
Por lo tanto, una arquitectura de seguridad exclusivamente en la nube permite trasladar datos a través de las fronteras, incluso cuando las propias aplicaciones y sistemas de almacenamiento de la organización nunca lo hacen.
Las cuatro cuestiones relativas a la soberanía que debe abordar cualquier arquitectura de seguridad
Hay cuatro cuestiones que definen la postura en materia de soberanía de cualquier arquitectura de seguridad: dónde se lleva a cabo la inspección, qué sale del entorno, dónde se almacenan los registros y quién puede acceder a los datos confidenciales.
1. ¿Dónde se lleva a cabo la inspección?
Identifique todos los puntos en los que se descifra el tráfico: dispositivos locales, puntos de presencia en la nube, controles del navegador y agentes en los terminales. La inspección local permite mantener la parte de un flujo regulado que se aplica localmente dentro de la propia infraestructura de la organización. Evalúe por separado cualquier reenvío a servicios en la nube y la ubicación de las pruebas de los incidentes. Las directrices de la NSA sobre la inspección de TLS recomiendan realizar una única inspección, dentro de la red de la empresa, para limitar los lugares en los que existe texto sin cifrar.
2. ¿Qué sale del medio ambiente?
Enumere qué datos envía la pila de seguridad fuera de su infraestructura: cargas útiles completas, muestras de archivos para el entorno de pruebas, pruebas de incidentes de DLP, metadatos o únicamente actualizaciones de políticas. Cada uno de estos elementos puede controlarse de forma diferente.
3. ¿Dónde se almacenan los registros?
Los registros son datos. Los registros de acceso vinculan las identidades con la actividad, y los registros de DLP pueden contener el propio contenido sensible. Decida qué registros pueden salir de qué jurisdicción y si los registros pueden almacenarse localmente y reenviarse de forma selectiva a un SIEM central.
4. ¿Quién puede acceder a los datos confidenciales?
Identifique quién puede ver el contenido descifrado o las pruebas de un incidente: sus administradores, su proveedor de servicios gestionados, el personal de asistencia del proveedor de seguridad o el proveedor de servicios en la nube. A continuación, considere qué marcos jurídicos podrían obligar a cualquiera de ellos a revelarlo. La Ley CLOUD de EE. UU., por ejemplo, aclara que las autoridades estadounidenses pueden exigir a los proveedores con sede en EE. UU. que faciliten los datos que obren en su poder o bajo su control, independientemente de dónde estén almacenados.
Factores normativos y de contratación pública
Las normas de transferencia del RGPD, el Marco de Soberanía en la Nube de la UE, la DORA y las normativas sectoriales están convirtiendo la soberanía de una mera preferencia en un requisito.
Normas de transferencia del RGPD. De conformidad con el capítulo V del RGPD, las transferencias de datos personales fuera del Espacio Económico Europeo requieren una decisión de adecuación, garantías adecuadas —como las cláusulas contractuales tipo— o una excepción específica. La telemetría de seguridad que incluya datos personales está sujeta a las mismas normas.
Marco de soberanía en la nube de la UE. El Marco de soberanía en la nube de la Comisión Europea, presentado por primera vez en octubre de 2025, evalúa a los proveedores de servicios en la nube en función de ocho objetivos: estratégicos, jurídicos y jurisdiccionales; de datos e inteligencia artificial; operativos; de cadena de suministro; tecnológicos; de seguridad y cumplimiento normativo; y de sostenibilidad medioambiental. Los proveedores reciben un «Nivel de Garantía de Eficacia de la Soberanía» (SEAL) de 0 a 4. En abril de 2026, la Comisión adjudicó un contrato de nube soberana por un valor de hasta 180 millones de euros a cuatro proveedores, exigiendo como mínimo un SEAL-2, el nivel de soberanía de datos. El marco está redactado para las instituciones de la UE, pero proporciona a todos los compradores un vocabulario práctico en materia de requisitos de soberanía.
La Ley DORA para entidades financieras. La Ley de Resiliencia Operativa Digital (DORA ) está en vigor desde el 17 de enero de 2025. Exige a las entidades financieras sujetas a su ámbito de aplicación que gestionen el riesgo asociado a terceros en materia de TIC, mantengan un registro de los acuerdos de servicios de TIC y elaboren planes para hacer frente al riesgo de salida y al riesgo de concentración. Los servicios de seguridad que procesan el tráfico de un banco se consideran servicios de TIC en el marco de dicho régimen.
Normativa sectorial y nacional. Las organizaciones de los sectores sanitario, de defensa, del sector público y de infraestructuras críticas suelen enfrentarse a requisitos adicionales en materia de localización o acreditación.
Arquitectura de nube híbrida para el sector bancario
Por lo general, los bancos mantienen las herramientas de descifrado y los registros en su propia infraestructura, al tiempo que utilizan servicios en la nube con restricciones geográficas para el personal que trabaja a distancia y las soluciones SaaS.
Los bancos ilustran claramente el problema de la soberanía. Necesitan servicios SaaS en la nube y el teletrabajo, pero también almacenan datos financieros de sus clientes bajo estrictas exigencias de supervisión. Un modelo híbrido típico:
- Mantenga los flujos regulados entre las sucursales y la sede central bajo el control del banco cuando sea necesario el procesamiento local, y evalúe por separado cualquier servicio prestado en la nube y el almacenamiento de pruebas.
- Utilice puntos de presencia en la nube limitados a las regiones autorizadas para el personal que trabaja a distancia.
- Almacene los registros de inspección de las tiendas y las pruebas de DLP en el propio país, y remita únicamente lo que necesite el SOC.
- Utilice claves controladas por el cliente y módulos de seguridad de hardware para la autoridad de certificación de inspección.
- Mantenga un único conjunto de políticas para que la aplicación de las mismas, tanto a nivel local como en la nube, sea coherente a efectos de auditoría.
- Incorpore al proveedor de servicios de seguridad en el registro de información de DORA, incluyendo la planificación de la salida.
El mismo patrón se aplica a las aseguradoras, las entidades de pago y las empresas de inversión.
Patrones arquitectónicos que favorecen la soberanía
Hay siete patrones arquitectónicos que satisfacen la mayoría de los requisitos de soberanía sin renunciar a los servicios en la nube.
| Patrón | De qué trata |
|---|---|
| Inspección de seguridad local | Las cargas útiles web descifradas permanecen en su infraestructura; el tráfico reenviado a los servicios que se prestan en la nube no lo hace |
| Puntos de presencia regionales o nacionales | La inspección en la nube se limita a las jurisdicciones autorizadas |
| Registro de datos con consideración de la residencia | Registros almacenados localmente; reenvío selectivo |
| Claves gestionadas por el cliente e integración con HSM | Control de los certificados de inspección y del cifrado |
| Direcciones IP de salida dedicadas | El tráfico procede de direcciones propiedad de la organización, lo que cumple con los requisitos en materia de jurisdicción y reputación de las direcciones IP. |
| Entorno de pruebas local | Análisis de archivos sospechosos sin salir del entorno |
| Motor de políticas único | Tratamiento coherente de los datos, independientemente del punto de aplicación |
Lista de verificación sobre soberanía para proveedores de seguridad
Utilice esta lista de verificación para evaluar las afirmaciones de soberanía de cualquier proveedor de seguridad antes de preseleccionarlo.
- ¿Es posible que todas las inspecciones correspondientes a una clase de tráfico determinada se puedan llevar a cabo en nuestra infraestructura?
- ¿Qué elementos de datos se transmiten fuera de nuestro entorno de forma predeterminada y es posible desactivar cada uno de ellos?
- ¿En qué países se almacenan los registros, las pruebas y los datos de telemetría?
- ¿Qué personal del proveedor puede acceder a los datos de los inquilinos, desde dónde y con qué autorización?
- ¿Las leyes de qué jurisdicciones son de aplicación al proveedor y a sus subencargados del tratamiento?
- ¿Podemos utilizar nuestro propio HSM o nuestro propio sistema de gestión de claves?
- ¿Qué seguiría funcionando si no se pudiera acceder a la nube del proveedor?
- ¿Qué certificaciones son aplicables (por ejemplo, FedRAMP, IRAP, BSI C5, SOC 2 Tipo II, CSA STAR)?
Cómo contribuye Skyhigh a la soberanía de los datos
Skyhigh respalda la soberanía de los datos al mantener la inspección web y las claves de inspección en la infraestructura del cliente cuando sea necesario. Las pruebas relativas a los incidentes de protección de datos se conservan en la nube de Skyhigh, lo cual constituye una cuestión independiente que debe evaluarse en función de sus requisitos de soberanía.
Skyhigh Hybrid SSE Mesh mantiene el plano de datos físicamente en las instalaciones, allí donde así lo exijan los requisitos de cumplimiento normativo. El descifrado SSL/TLS y la inspección web se ejecutan localmente en la Secure Service Gateway, por lo que las cargas útiles web se descifran dentro de su propia infraestructura. Los servicios que se aplican a través de la nube de Skyhigh —entre los que se incluyen la protección de datos, remote browser isolation, los controles de seguridad basados en IA, CASB y la gestión de la postura de seguridad de los datos— reciben el tráfico pertinente desde la pasarela; por lo tanto, evalúe dichos flujos en función de sus requisitos de residencia y soberanía. El ZTNA local se ejecuta en las propias puertas de enlace de la organización. Confirme la protección de las claves de inspección, cualquier integración con HSM y la compatibilidad con entornos de pruebas locales para los productos y versiones seleccionados. Las direcciones IP de salida dedicadas y el anclaje de IP de origen ayudan a controlar la salida del tráfico inspeccionado en la nube, pero por sí solas no determinan dónde se procesa el contenido (Skyhigh Security). El registro en la nube de la plataforma también califica los servicios en la nube en función de la residencia de datos, las condiciones legales y otros atributos, de modo que la política pueda orientar a los usuarios hacia servicios que cumplan con la normativa.
Fuentes
- Unión Europea. Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos), capítulo V. https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Unión Europea. Reglamento (UE) 2022/2554 (Ley de Resiliencia Operativa Digital). https://eur-lex.europa.eu/eli/reg/2022/2554/oj
- Comisión Europea. «Explicación del Marco de la Nube Soberana» (1 de junio de 2026). https://commission.europa.eu/news-and-media/news/sovereign-cloud-framework-explained-2026-06-01_en
- Comisión Europea. «La Comisión impulsa la soberanía en la nube mediante la contratación pública estratégica» (17 de abril de 2026). https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en
- Departamento de Justicia de EE. UU. Recursos sobre la Ley CLOUD. https://www.justice.gov/criminal/cloud-act-resources
- NSA. Gestión de riesgos derivados de la inspección de la seguridad de la capa de transporte (noviembre de 2019). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
- Skyhigh Security. «Modernización de su solución Symantec Edge Secure Web Gateway con Skyhigh Hybrid SSE Mesh» (15 de julio de 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. «La adopción de la tecnología híbrida es ahora más sencilla gracias a la plataforma Skyhigh SSE» (3 de octubre de 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html