La Comisión Europea presentó recientemente el Paquete de medidas de soberanía tecnológica, un conjunto de políticas para reforzar la capacidad de Europa en materia de semiconductores, inteligencia artificial, nube y código abierto.
La incertidumbre geopolítica y la volatilidad que se extiende por todo el mundo está llevando a organizaciones y gobiernos, ahora más que nunca, a querer saber dónde están sus datos y quién los controla y puede acceder a ellos. La soberanía digital destaca en la agenda política y empresarial.
Por el Estrecho de Ormuz transita aproximadamente el 20% del petróleo mundial, pero también una parte significativa de tráfico mundial de datos.
De hecho, siete grandes cables submarinos atraviesan ese corredor, conectando Europa con Asia y apoyando transacciones financieras, cargas de trabajo en la nube y las comunicaciones cifradas de empresas que operan en distintos husos horarios.
Las advertencias de Irán sobre el control sobre esos cables, incluidos permisos, tarifas de tránsito y requisitos locales de mantenimiento, no son solo teatro geopolítico, sino un recordatorio de que los cimientos físicos de las operaciones digitales se han convertido en instrumentos de poder.
La soberanía no solo se trata de ubicación, también de control sobre el acceso, el enrutamiento, la inspección y la aplicación de la política
En conversaciones con CISO y líderes de nivel CxO en toda la región EMEA, surge un patrón constante: las organizaciones dedican ahora tiempo y energía a dónde residen los datos mediante cláusulas de soberanía, acuerdos de nube y mapeo regulatorio, pero mucho menos en cómo se mueven esos datos, quién puede acceder a ellos durante su tránsito y qué ocurre cuando la infraestructura subyacente se ve cuestionada o interrumpida.
La soberanía no solo se trata de ubicación, también de control sobre el acceso, el enrutamiento, la inspección y la aplicación de la política independientemente de dónde estén los usuarios o qué crisis se esté desarrollando a su alrededor.
Gartner predice que para 2030, más del 75% de las empresas fuera de Estados Unidos habrán implementado una estrategia de soberanía digital.
Eso nos indica hacia dónde se dirigen las prioridades; sin embargo, lo que no nos dice es cuántas de esas estrategias seguirán siendo eficaces cuando la conectividad se degrade, se corte un cable o una dependencia de enrutamiento se convierta de repente en un problema a nivel para el consejo de administración.
Índice de temas
La soberanía comienza en el perímetro, no en el centro de datos
La primera verdad incómoda es que una organización puede almacenar sus datos en los lugares adecuados y, aun así, perder el control sobre ellos. La residencia de los datos aporta tranquilidad, pero no garantiza soberanía.
La verdadera prueba surge cuando usuarios, desarrolladores o contratistas con distintos niveles de acceso y ubicados en diferentes jurisdicciones se conectan a aplicaciones, cargas de trabajo o datos sensibles.
Hay que abandonar la idea de que los modelos de conectividad heredados pueden seguir garantizando un control soberano eficaz
Las arquitecturas tradicionales no fueron diseñadas para esta realidad. Partían de la premisa de usuarios dentro de un perímetro de confianza y aplicaciones alojadas en entornos corporativos cerrados. Sin embargo, la fuerza laboral distribuida y los entornos híbridos y multicloud son ya permanentes, lo que exige abandonar la idea de que los modelos de conectividad heredados pueden seguir garantizando un control soberano eficaz.
Las interrupciones en el Mar Rojo y el Estrecho de Ormuz muestran cómo se manifiestan en la práctica la degradación de la conectividad y el redireccionamiento de las comunicaciones.
En este contexto, las organizaciones que distribuyan su infraestructura digital a nivel regional, incorporen mecanismos para garantizar la continuidad del servicio y eviten depender de un único proveedor estarán mejor preparadas para afrontar posibles incidencias. Por ello, resiliencia y soberanía ya no son conceptos separados, sino elementos integrados de una misma plataforma La identidad es ahora el punto débil.
La IA ha reducido el coste y acelerado la ejecución de los ciberataques. Herramientas como los deepfakes, la suplantación altamente personalizada y el reconocimiento asistido por IA permiten que los atacantes se dirijan a ejecutivos, administradores y usuarios con privilegios a gran escala.
Las mismas tecnologías que las organizaciones están adoptando para mejorar la productividad también están haciendo que los ataques basados en la suplantación de identidad sean más creíbles, más rápidos y difíciles de detectar.
«Cambia el enfoque de la conversación de «¿dónde se alojan mis datos?» a «¿quién accede a ellos, en qué condiciones y con qué nivel de garantía?»
En este contexto, un modelo de infraestructura de conectividad y seguridad soberana adquiere un valor estratégico al aplicar principios de confianza cero, verificando de forma continua la identidad y la seguridad de los dispositivos antes y durante el acceso. Esto cambia el enfoque de la conversación de «¿dónde se alojan mis datos?» a «¿quién accede a ellos, en qué condiciones y con qué nivel de garantía?».
La clave es que la soberanía no depende solo de la ubicación de los datos. Sin control sobre el acceso, existe residencia de datos, pero no una soberanía plena capaz de proteger eficazmente a la organización.
La complejidad es donde falla la soberanía
El tercer problema es la deriva operativa: una organización define una estrategia de soberanía, elige jurisdicciones y plataformas conformes, pero con el tiempo aparecen dependencias no soberanas en consolas, planos de control o rutas de tráfico que no fueron pensadas para ese objetivo. Así surgen las brechas de soberanía, no por una única mala decisión, sino por acumulación de complejidad técnica.
Por eso, la simplicidad también debe considerarse un requisito de soberanía. Si la política, la visibilidad y el control de acceso quedan repartidos entre demasiadas herramientas, la soberanía deja de ser fácil de demostrar y de operar.
En un entorno con interrupciones geopolíticas y técnicas, la cuestión ya no es solo dónde residen los datos, sino cómo se mueven, quién accede a ellos y qué controles siguen funcionando.
