Dos preguntas distintas
Cuando una organización afirma que ha resuelto la residencia de datos, casi siempre quiere decir una cosa: los datos se almacenan en una región concreta y la garantía regional del proveedor de nube los cubre. Es un control real y responde a una pregunta real.
No responde a la segunda pregunta, que es desde dónde se accedió a los datos. Un conjunto de datos puede estar íntegramente en una región de la UE y ser leído a diario por un equipo de operaciones situado en un tercer país, a través de una herramienta de soporte, una consola compartida o una credencial de acceso de emergencia (break-glass). Nada en la ubicación del almacenamiento lo impide y, en muchas arquitecturas, nada lo registra de una forma que la función de cumplimiento pueda consultar.
Para el análisis de transferencias en virtud del RGPD, para los regímenes de localización de datos del Golfo y, cada vez más, para las expectativas supervisoras propias de cada sector, la pregunta sobre el acceso es la que determina la respuesta.
Por qué la pregunta sobre el acceso es cada vez más difícil
Tres factores han agravado la situación en los últimos años, y ninguno de ellos es un fallo de seguridad.
Con equipos distribuidos, las funciones de soporte e ingeniería abarcan realmente varias jurisdicciones. Con servicios gestionados, el personal de un proveedor puede intervenir en su entorno desde cualquier lugar en el que opere ese proveedor. Y con sistemas de IA, los datos son leídos cada vez más por procesos cuya ubicación de ejecución es un detalle de implementación de la plataforma de un tercero.
Cada una de ellas es una decisión operativa legítima. En conjunto, significan que el conjunto de lugares desde los que se puede acceder a sus datos regulados es mayor que el conjunto de lugares que usted nombraría si se lo preguntaran, y mayor que el que describía su evaluación de impacto relativa a la protección de datos.
Aplicar y demostrar son problemas distintos
Aquí hay dos capacidades distintas, y las organizaciones a menudo adquieren una creyendo que han adquirido las dos.
Aplicación (enforcement) significa que el sistema deniega el acceso desde orígenes que quedan fuera de un conjunto aprobado. Es preventiva, se puede probar y es lo que la mayoría de la gente quiere decir cuando habla de geofencing.
Evidencia significa que usted puede demostrar, meses después, que no se produjo ningún acceso desde orígenes no aprobados, o que se produjo en fechas concretas por motivos concretos que estaban autorizados en su momento. Es retrospectiva, y es lo que realmente pide un supervisor o una autoridad de protección de datos.
La aplicación sin evidencia le deja afirmando que un control funcionó. La evidencia sin aplicación le deja documentando un problema que no evitó. Un programa de residencia necesita ambas, y la mitad que suele faltar es la de la evidencia, porque exige conservar los registros de origen de los accesos durante todo el periodo regulatorio y no solo durante una ventana operativa móvil.
Diseñar controles de residencia que generen evidencias
- Defina el conjunto de orígenes aprobados por nivel de clasificación de los datos y no para toda la organización - la mayoría de las organizaciones necesita legítimamente un acceso más amplio a los datos de baja sensibilidad que a los datos restringidos
- Registre cada intento de acceso con su origen y la decisión aplicada, incluidos los permitidos, ya que demostrar una ausencia exige un registro completo y no una lista de excepciones
- Registre de forma explícita la vía de acceso de emergencia (break-glass), con la persona que lo autorizó y el motivo, porque un acceso transfronterizo no planificado es un evento operativo normal y fingir lo contrario hace que el registro sea menos creíble, no más
- Conserve los registros de origen durante el periodo regulatorio aplicable a los datos subyacentes, y no durante el plazo de conservación predeterminado de su plataforma de registros
- Haga que el registro sea verificable de forma independiente, ya que la evidencia sobre el origen de los accesos es precisamente la categoría que un regulador tiene motivos para tratar con escepticismo cuando es la propia organización quien la genera sobre sí misma
La dimensión del Golfo
Para las organizaciones que se expanden a los Emiratos Árabes Unidos y Arabia Saudí, la pregunta sobre el acceso suele tener más consecuencias que la pregunta sobre el almacenamiento. Las expectativas de localización en la región tienden a plantearse en términos de control y jurisdicción, y no solo de ubicación física, y la prueba práctica que aplica un regulador se refiere con frecuencia a quién puede llegar a los datos y desde dónde, no solo a qué centro de datos los aloja.
Las organizaciones que llegan con un planteamiento de residencia basado únicamente en la región de almacenamiento ven cómo la conversación se desplaza hacia un terreno para el que no se han preparado. Las que llegan con evidencias del origen de los accesos ven cómo avanza con rapidez. Nuestro análisis por jurisdicción está en La PDPL de los EAU y el marco de riesgo cibernético de ADGM y La PDPL de Arabia Saudí y la SDAIA.
- Pregunte a su equipo desde dónde se accedió el mes pasado a su conjunto de datos más sensible, y observe cuánto tarda la respuesta
- Compruebe si sus registros de acceso incluyen los intentos permitidos o solo los bloqueados
- Contraste el periodo de conservación de los datos de origen de los accesos con la obligación de conservación de los propios datos
- Vincule el conjunto de orígenes aprobados al nivel de clasificación en lugar de aplicar una única política en todas partes
Las reglas de acceso basadas en el origen, con un alcance por nivel de clasificación y un registro completo de los intentos permitidos y bloqueados, ya están disponibles en ROOTKey. Puede configurar una lista de países permitidos en una bóveda y ver la vista de tráfico o leer cómo encajan los controles en la página de ROOTKey sobre el RGPD.