¿Qué es la nube soberana?

A medida que más empresas buscan soluciones de nube híbrida para ayudarles a lograr sus iniciativas de transformación digital, los entornos en la nube (y específicamente cómo los usuarios acceden, almacenan y utilizan los datos en ellos) son cada vez más importantes. Dado que la computación en la nube se sigue extendiendo por todo el mundo, los límites geográficos tradicionales, como las fronteras, ya no bastan para proteger los datos sensibles.

Aquí entra la nube soberana, una solución que ayuda a garantizar la soberanía de los datos, que en sí misma es un componente clave de una soberanía digital más amplia. La nube soberana ayuda a las empresas a generar confianza en los clientes y hacer crecer sus negocios mientras cumplen con las leyes y regulaciones en las regiones donde operan.

Una nube soberana protege principalmente los datos de consumidores y organizaciones. Si bien muchas regulaciones se enfocan principalmente en proteger la información de identificación personal, o PII, según la industria, la región o el caso de uso empresarial, también pueden proteger la propiedad intelectual (PI), el software, los secretos comerciales, la información financiera, entre otras cosas. Dado que las regulaciones sobre la privacidad de datos en la nube varían entre países y regiones específicos, no existe una definición única y aceptada de lo que una nube soberana puede proteger. Los enfoques tienden a variar según la industria, la ubicación y las necesidades comerciales.

Algunos marcos de nube soberana se ocupan de la residencia de datos, donde los datos están sujetos a las leyes y regulaciones del país específico donde se almacenan. Otros se ocupan de la soberanía de los datos, donde los datos que se almacenan están sujetos a las leyes del país donde se recopilaron. Al final, los enfoques de nube soberana no solo ayudan a las empresas a cumplir con las leyes que rodean sus datos más sensibles, sino que también las ayudan a mantenerse resilientes.

A medida que las empresas mueven más aplicaciones a la nube, la nube en sí se está convirtiendo rápidamente en una infraestructura crítica.

El entorno en la nube de una compañía se considera ahora tan importante para su salud como una fábrica, un edificio de oficinas o una valiosa pieza de propiedad intelectual. Además, a medida que las industrias altamente reguladas, tanto en el sector privado como en el público, trasladan sus servicios principales a la nube, la necesidad de mantener los datos seguros se está volviendo crítica.

Además, el auge de tecnologías con uso intensivo de datos, como la inteligencia artificial (IA) y el machine learning (ML), que dependen de un acceso rápido y seguro a los datos, está obligando a las empresas a tomar decisiones más estratégicas en torno a la tecnología en la nube. La IA, y específicamente la IA generativa, tienen el potencial de impulsar valiosas innovaciones empresariales, pero sin un ecosistema de nube estable y soberano no pueden despegar.

Las empresas en industrias altamente reguladas como la atención médica y los servicios financieros enfrentan vientos en contra particularmente fuertes. En la Unión Europea, el Reglamento General de Protección de Datos (RGPD) ya establece reglas estrictas sobre cómo se recopilan, almacenan y mueven los datos personales a través de las fronteras. También en Europa, existe una propuesta llamada European Cybersecurity Certification Scheme for Cloud Services (EUCS), que tiene como objetivo establecer requisitos comunes de ciberseguridad y estándares de certificación para los servicios en la nube en todo el bloque. La Ley de Resiliencia Operativa Digital (DORA) entró en vigor en enero de 2025 y establece normas sobre la gestión de riesgos de TIC, la notificación de incidentes, las pruebas de resiliencia operativa y el monitoreo de riesgos de terceros de TIC. Las soluciones estables de nube soberana ayudan a las empresas a mantenerse al día con los organismos reguladores y la nueva legislación, así como a tomar decisiones más estratégicas en torno al riesgo, los datos y un panorama de amenazas en evolución. Veamos algunos de los beneficios más importantes de la nube soberana empresarial.

Las empresas que están dispuestas a invertir en un marco sólido de nube soberana como parte de un proceso de transformación digital más amplio generalmente obtienen varios beneficios importantes. Desde un mayor control sobre sus datos hasta una mejor conectividad, resiliencia de los datos y rendimiento de las aplicaciones, estas son las cinco razones principales por las que las empresas adoptan un enfoque de nube soberana.

Vale la pena dar un paso atrás para considerar el panorama más amplio de lo que pretende lograr la nube soberana. En una organización madura, una nube soberana es simplemente un componente en un marco más amplio de “soberanía digital”. La soberanía digital comprende cuatro conceptos interrelacionados: soberanía operativa, soberanía tecnológica, soberanía de IA y soberanía de datos. La nube soberana es un enfoque para la última de estas cuatro, la soberanía de datos. Sin embargo, para tener una visión más amplia, vale la pena analizar cada giro conceptual.

La soberanía operativa es el control sobre cómo se operan los entornos.

La soberanía operativa ayuda a garantizar que la infraestructura crítica asociada con aplicaciones ricas en datos esté siempre activa y accesible. Además, la soberanía operativa ayuda a las empresas a mantener el control sobre sus procesos operativos y detectar ineficiencias. Con un enfoque sólido de la soberanía operativa, incluso si una región en particular se ve afectada por un desastre, una empresa puede garantizar que su infraestructura crítica sea resiliente mediante un plan de recuperación ante desastres de continuidad de negocio (BCDR) o recuperación ante desastres como servicio (DRaaS). Finalmente, la soberanía operativa ayuda a las empresas a cumplir con las regulaciones locales que rigen la infraestructura necesaria para admitir entornos de nube en una región particular.

La soberanía tecnológica se trata de una arquitectura abierta y modular que evita el vendor lock-in (dependencia de proveedores).

La soberanía tecnológica también puede ayudar a la gobernanza y la transparencia: las empresas que aprovechan el control de acceso sobre sus activos digitales necesitan establecer reglas sobre quién tiene permisos. Estos controles soberanos deben configurarse de manera que sean fácilmente aplicables, como la política de código, un proceso que permite a las organizaciones gestionar su infraestructura y procedimientos de manera repetible.

La transparencia, otro aspecto importante de la soberanía digital, se refiere a la capacidad de una organización para auditar sus procesos y resultados. La transparencia permite a las organizaciones ver en sus flujos de trabajo operativos más importantes para que puedan identificar qué funciona y qué debe modificarse.

La soberanía de la IA se refiere al control sobre dónde se ejecutan los modelos y cómo se rige la inferencia. Las formas más soberanas de IA habrían gobernado la ejecución de IA, con modelos, inferencia y operaciones de agentes que se ejecutan dentro de límites definidos. El tema está aumentando en interés; una encuesta reciente de McKinsey mostró que de 300 encuestados, el 71 % calificó a la IA soberana como un “imperativo estratégico” o, más gravemente, una “preocupación existencial”.

La soberanía de datos se refiere al control sobre los datos en reposo, en uso y en movimiento. Y es aquí, más que en los otros componentes de la soberanía digital, donde entra en juego la nube soberana.

Cumplir con la soberanía de datos (la idea de que los datos están sujetos a las leyes del país o región donde se generaron) es un requisito fundamental de la mayoría de las soluciones soberanas en la nube. Una soberanía estable de datos ayuda a las compañías a proteger los datos de sus clientes de ciberataques y otras amenazas, al tiempo que garantiza que ninguna persona no autorizada tenga acceso a ellos. Por ejemplo, según la mayoría de los requisitos de soberanía de datos, los CSP no tienen acceso a los datos de los clientes, incluso cuando están en un centro de datos en la nube que operan.

Otro aspecto importante de la soberanía de los datos es el concepto de residencia de los datos, la noción de que los datos están sujetos a las leyes y normativas de la región o el país donde se almacenan. Además de cumplir con la privacidad de los datos, las soluciones soberanas en la nube deben cumplir también todas las leyes y normativas aplicables sobre residencia de datos.

Más que nada, una nube soberana es un acercamiento a la pieza de “soberanía de datos” del rompecabezas más amplio de la soberanía digital. Pero debe tenerse en cuenta que la soberanía de datos, estrictamente hablando, se puede lograr sin el uso de una nube en absoluto; algunas organizaciones, por ejemplo, optan por mantener los datos on premises para garantizar la soberanía. Por esta razón, el enfoque de IBM hacia la soberanía es con una solución llamada Sovereign Core, que sigue siendo independiente sobre si la soberanía de los datos se logra en una solución soberana en la nube o a través de soluciones on-prem o híbridas.

Cuando se trata de la nube soberana, no existe una solución única. Las empresas pueden querer el mismo resultado de su enfoque de nube híbrida (transformación digital, por ejemplo), pero la forma de lograrlo varía según el tamaño, la ubicación, la industria y los requisitos comerciales. Aquí es donde se ponen de manifiesto los beneficios de un enfoque basado en el riesgo.

Un enfoque sólido y basado en el riesgo para la nube soberana equilibra el crecimiento, por ejemplo, el potencial de una nueva tecnología como la IA generativa, con el riesgo, como el daño a la reputación debido a una filtración de datos. A medida que las empresas amplían estas salvaguardas a sus modelos de IA y datos de entrenamiento, los mismos principios dan lugar a la IA soberana. Para aplicaciones críticas y datos altamente confidenciales, es posible que las empresas deseen ejercer un mayor nivel de control que con otras aplicaciones menos críticas. La regulación de precisión, junto con un enfoque basado en estándares para las reglas y estándares de gobernanza, ayuda a garantizar que las reglas que se implementan también puedan administrarse tecnológicamente.

Según los requisitos de riesgo y crecimiento de una organización, el tipo de datos que almacena y dónde se encuentran esos datos, existen dos opciones para desplegar y aplicar políticas de nube soberana: nube pública o distribuida. En la mayoría de los países, los despliegues en la nube pública y multinube ayudan a las organizaciones a desplegar sus cargas de trabajo en la nube mientras mantienen el control sobre sus datos en una región específica. Una arquitectura típica de nube pública incluye una capa de nube de plataforma, como una plataforma de nube híbrida, que proporciona un despliegue en la nube estable y consistente.

La segunda opción es el modelo de despliegue de nube distribuida, como un proveedor de infraestructura local o un centro de datos on-premises. Son atractivos para las empresas que necesitan más control sobre su infraestructura y operaciones. También pueden ayudar a las empresas a evitar el vendor lock-in (dependencia de proveedores) al preservar la interoperabilidad entre proveedores. Esencialmente, un modelo de despliegue de nube distribuida le ofrece la posibilidad de desplegar cargas de trabajo y plataformas en cualquier infraestructura de su elección. Para las cargas de trabajo más sensibles, esto puede incluir entornos con espacios de aire que están físicamente aislados de la Internet pública.

A medida que los gobiernos y los ciudadanos de todo el mundo siguen planteando preocupaciones sobre los datos, las operaciones y la soberanía digital, la nube soberana está ayudando a las empresas a garantizar la integridad de sus datos sin importar dónde hagan negocios.

En los próximos años, la forma en que las empresas recopilan, protegen, almacenan y controlan el acceso a sus datos, especialmente si buscan aprovechar nuevas tecnologías ricas en datos como IA y ML, tendrá enormes implicaciones para su éxito. Al elegir un CSP para ayudarlas a crear su entorno de nube soberana, es primordial que las empresas comprendan cómo un CSP va a almacenar y procesar sus datos confidenciales.

Además, necesitan saber cómo un CSP respalda la resiliencia y los planes para mitigar las interrupciones debidas a ciberataques, desastres naturales y otras amenazas. Por último, las empresas que buscan aprovechar un marco de nube soberana deben cerciorarse de que la estrategia general de la nube de su CSP elegido se alinee con las leyes de los países o regiones en los que operan o podrían enfrentar multas o castigos perjudiciales.

Estas son algunos aspectos importantes a tener en cuenta al elegir un CSP para una arquitectura de nube soberana:

Gobernanza de datos: el enfoque de un CSP para la gobernanza de datos es crucial. Demuestra que cuenta con las políticas y procedimientos adecuados para manejar con éxito sus datos (y sus metadatos) y aplicar las restricciones necesarias a su alrededor. También debe ser capaz de realizar auditorías periódicas que demuestren que se están siguiendo las pautas que ha establecido.

Acuerdos de nivel de servicio (SLA): un acuerdo de nivel de servicio (SLA) con un CSP que describe un entorno de nube soberana no debe diferir mucho de uno que describe un entorno de nube pública o privada. Al igual que las nubes públicas y privadas, las tres áreas más importantes a examinar son el control (gestión de la nube), la disponibilidad, la escalabilidad y el rendimiento.

Cumplimiento: los CSP que despliegan marcos de nube soberana deben tener un alto nivel de experiencia en las leyes de datos en las regiones donde operan, así como una comprensión profunda del escenario cambiante de la soberanía de datos y el cumplimiento. Los proveedores y los clientes comparten la responsabilidad de mantenerse al día con las nuevas regulaciones y desarrollar estrategias para cumplirlas.

Cifrado de datos: cuando se trata de la soberanía y la privacidad de los datos, es importante lograr la confidencialidad de los datos. Los CSP deben proporcionar mecanismos para que las organizaciones cifren sus datos y los gestionen mediante claves criptográficas, a menudo protegidas en un módulo de seguridad de hardware (HSM). Básicamente, esto significa alterar los datos en un contenido de cifrado que puede ser descifrado por alguien con las licencias y las claves correctas. Garantizar el acceso exclusivo a esas claves de cifrado brinda a las empresas una garantía técnica y un control completos sobre quién puede acceder a sus datos en cualquier momento.

Resiliencia: por último, cuando algo va mal, hay que contar con un plan que ayude a recuperarse rápidamente. Considere solo a los CSP con antecedentes de ayudar a los clientes con esfuerzos de resiliencia y recuperación en países o regiones relevantes. Todos los despliegues de nube soberana deben contar con capacidades integradas de recuperación y conmutación por error adaptadas a cada área de cumplimiento específica en la que se almacenen los datos.

Los enfoques de soberanía también difieren según el proveedor. Algunos, como Microsoft con su Microsoft Sovereign Cloud, construyen soberanía en sus plataformas de hiperescala; otros, incluyendo IBM, adoptan un enfoque basado en software con IBM Sovereign Core, diseñado como fundamento para la nube soberana y la IA soberana que puede ejecutarse en múltiples entornos de nube.