Soberanía y recuperación de datos: los dos pilares de la seguridad de la información

Por Miguel Tena, Field Sales Engineer, Object First

 

Las iniciativas impulsadas en España para reforzar la soberanía digital, junto con la creciente adopción de infraestructuras cloud que cumplen con el Esquema Nacional de Seguridad (ENS), reflejan una tendencia más amplia hacia un mayor control sobre los datos. En esencia, la soberanía consiste en tener el control: saber dónde residen los datos, quién puede acceder a ellos y bajo qué jurisdicción se gestionan.

Para muchas organizaciones, especialmente en los sectores sanitario y público, estas cuestiones se han convertido en prioridades estratégicas. La soberanía de los datos ayuda a reducir la dependencia de proveedores externos, reforzar el cumplimiento normativo y aumentar la confianza en la gestión de la información sensible. Sin embargo, la soberanía solo aborda una parte de la ecuación.

Aunque trasladar los datos a infraestructuras soberanas puede permitir a las organizaciones mantener un mayor control sobre el acceso y la gobernanza, no garantiza que esos datos estén disponibles cuando más se necesiten. Si la soberanía resuelve el problema del control, la resiliencia y la recuperación resuelven el problema de la disponibilidad. Las organizaciones necesitan ambas.

Los ataques de ransomware no discriminan en función de dónde estén alojados los datos ni del sistema operativo utilizado. Los ciberdelincuentes explotan vulnerabilidades, cifran información crítica y exigen un rescate. Linux no es inmune. Los proveedores de nube soberana tampoco lo son. Sin una estrategia sólida de recuperación, incluso los datos soberanos siguen siendo vulnerables a las interrupciones.

 

El control como ventaja competitiva

La soberanía de los datos ya no se contempla únicamente desde la perspectiva del cumplimiento normativo. Cada vez más organizaciones europeas consideran el control sobre sus datos como un activo estratégico.

El mercado está respondiendo a esta evolución. Los proveedores de servicios cloud y de tecnología están adaptándose a las nuevas expectativas de sus clientes. Conceptos como cloud de confianza, soberanía del dato y control local se están convirtiendo en criterios cada vez más importantes a la hora de seleccionar soluciones, especialmente en sectores altamente regulados como la sanidad, las administraciones públicas y las infraestructuras críticas.

 

La regulación europea y española: la piedra angular de la resiliencia digital

El creciente interés por la soberanía coincide con otra gran tendencia: un mayor foco en la ciberresiliencia. A medida que los ciberataques aumentan y los datos críticos se convierten en su principal objetivo, tanto las instituciones europeas como españolas están reforzando sus exigencias para garantizar no solo la protección de la información, sino también la capacidad de las organizaciones para recuperarse de forma rápida y eficaz tras un incidente.

Este enfoque se refleja en iniciativas como la Directiva NIS2, su transposición al marco normativo español, el Esquema Nacional de Seguridad (ENS) y las estrategias impulsadas por organismos como el CCN-CERT e INCIBE. Aunque estos marcos abordan distintos aspectos de la ciberseguridad y la gobernanza, comparten un mismo objetivo: las organizaciones deben demostrar que son capaces de recuperarse de un incidente, no simplemente acreditar que disponen de copias de seguridad.

Esta diferencia es fundamental. Aunque trasladar cargas de trabajo o datos sensibles a entornos soberanos puede responder a necesidades relacionadas con la jurisdicción, el cumplimiento normativo y la gobernanza, ello no garantiza por sí mismo la capacidad de recuperación tras un ciberataque. Las recomendaciones del Esquema Nacional de Seguridad y las mejores prácticas promovidas por organismos como el CCN-CERT ponen un énfasis creciente en la protección de las copias de seguridad mediante mecanismos inmutables y en la validación periódica de los procesos de recuperación. El objetivo es asegurar que las copias permanezcan protegidas y que los procedimientos de restauración hayan sido comprobados antes de que se produzca un incidente.

Estos marcos regulatorios están sentando las bases de una mayor responsabilidad y resiliencia operativa, mucho más allá del lugar donde se almacenan los datos.

 

Por qué la inmutabilidad es importante

Los ataques de ransomware han ampliado sus objetivos más allá de los sistemas de producción. Los entornos de backup se han convertido en uno de sus principales blancos, ya que comprometer las copias de seguridad elimina, en la práctica, la capacidad de una organización para recuperarse sin pagar un rescate.

Por ello, la inmutabilidad se ha convertido en un componente esencial de las estrategias modernas de ciberresiliencia. Las copias de seguridad inmutables impiden que los datos almacenados puedan modificarse o eliminarse durante un periodo de retención determinado, ayudando a preservar un punto de recuperación íntegro incluso después de un ataque.

A medida que los ciberdelincuentes perfeccionan sus técnicas, las organizaciones se preguntan si la inmutabilidad tradicional es suficiente. La Inmutabilidad Absoluta (Absolute Immutability) garantiza que los datos de backup no puedan modificarse, cifrarse ni eliminarse, incluso en escenarios en los que se hayan comprometido credenciales o exista actividad maliciosa por parte de un usuario interno. El objetivo no es únicamente almacenar la información de forma segura, sino preservar la capacidad de recuperación cuando todas las demás capas de defensa han fallado. Por su propia naturaleza, la Inmutabilidad Absoluta requiere el uso de almacenamiento de backup local diseñado específicamente para este fin, lo que representa el máximo nivel de alineación con la interpretación más estricta del concepto de soberanía del dato.

 

Soberanía y recuperación deben ir de la mano

Las iniciativas impulsadas en España para reforzar la soberanía digital, junto con la evolución del marco regulatorio europeo, probablemente marcarán el debate en los próximos años en sectores como la sanidad, las administraciones públicas y otros sectores regulados. Sin embargo, a medida que las organizaciones definen sus estrategias digitales a largo plazo, el debate no puede limitarse a dónde residen los datos. La cuestión realmente importante es si esos datos seguirán estando disponibles y podrán recuperarse cuando más se necesiten.

En última instancia, la soberanía no debe entenderse como un objetivo aislado, sino como parte de una estrategia integral de resiliencia. Las organizaciones mejor preparadas para afrontar los retos futuros serán aquellas que consideren la infraestructura de backup como una capa estratégica y no como un elemento secundario, combinando entornos soberanos con almacenamiento verificablemente inmutable y capacidades de recuperación probadas, fiables y listas antes de que ocurra un incidente.

La soberanía determina quién controla los datos. La recuperación determina si esos datos seguirán estando disponibles después de una interrupción. Cuando ambas dimensiones se abordan conjuntamente, la soberanía deja de ser una consideración exclusivamente política o regulatoria para convertirse en una auténtica ventaja operativa.