Gestión de datos en la nube: preguntas de gobernanza que conviene plantear

Clasificar los datos según su sensibilidad

La clasificación es el punto de partida de cualquier esfuerzo de gobernanza en la nube. Los datos difieren en sensibilidad: van desde material publicado con poco riesgo hasta registros personales y secretos comerciales cuya exposición tendría consecuencias importantes. Sin un esquema compartido, los equipos aplican la protección de forma inconsistente y los materiales sensibles pueden convivir con archivos públicos bajo los mismos controles.

Un esquema práctico suele tener un número reducido de niveles, cada uno con una definición sencilla y ejemplos. Los niveles deben ser comprensibles para quienes crean y almacenan los datos, y no solo para el área de seguridad. Las etiquetas aplicadas en el momento de la creación o mediante herramientas automatizadas de detección hacen que el esquema sea duradero, ya que una clasificación decidida una sola vez al inicio tiende a olvidarse a medida que los archivos se desplazan.

La clasificación también condiciona otras decisiones. El nivel asignado a un conjunto de datos determina dónde puede almacenarse, cómo se cifra, quién puede copiarlo y cómo se supervisa. Revisar el esquema periódicamente permite mantenerlo alineado con nuevas fuentes de datos, con las expectativas regulatorias y con la forma real en que la organización utiliza su información.

Políticas de conservación y eliminación

Las políticas de conservación y eliminación responden a dos preguntas relacionadas: cuánto tiempo deben conservarse los datos y cuándo deben eliminarse. Algunos registros deben mantenerse por motivos legales, fiscales o contractuales, mientras que otros datos se guardan solo por costumbre. Almacenarlo todo indefinidamente aumenta los costes, amplía la superficie de exposición y complica la respuesta a las solicitudes de información.

Las normas de conservación son más fiables cuando se definen por categoría de datos y no por sistema. Cada categoría debe indicar el periodo mínimo, el suceso que inicia el cómputo, como la finalización de un contrato o el cierre de una cuenta, y el método de eliminación. Las plataformas en la nube ofrecen reglas de ciclo de vida y bloqueos de objetos que pueden aplicar estos ajustes automáticamente, pero las reglas de negocio siguen debiendo decidirlas las personas.

La eliminación merece la misma atención que la conservación. Borrar una copia activa no implica necesariamente borrar las copias de seguridad, las réplicas o los registros, y las organizaciones deben saber qué copias persisten y durante cuánto tiempo. Documentar estas copias residuales en la política evita la situación habitual en la que unos datos que se creen eliminados siguen existiendo en otra ubicación.

• Indique la base legal, normativa o contractual de cada periodo de conservación.
• Defina el evento que inicia el cómputo de cada periodo de conservación.
• Identifique las réplicas, copias de seguridad y registros que conservan copias tras la eliminación.
• Registre cómo se verifica la destrucción de los datos y quién realiza la verificación.

Control de acceso y mínimo privilegio

El control de acceso determina quién puede leer, modificar y compartir los datos en la nube. El principio de mínimo privilegio establece que cada usuario, servicio y aplicación debe recibir únicamente los permisos necesarios para su tarea, y ninguno más. Los accesos amplios por defecto son una de las causas más frecuentes de exposición de datos, a menudo porque los permisos se concedieron por comodidad y nunca se revisaron.

Aplicar el mínimo privilegio en la práctica implica definir roles según funciones y no según personas, separar los derechos administrativos del uso cotidiano y limitar las cuentas de servicio a los recursos que necesitan. El acceso a las clasificaciones más sensibles debe exigir una autenticación más robusta y generar registros que se revisen. La elevación temporal de privilegios para tareas concretas suele ser más segura que mantener derechos administrativos permanentes.

Los derechos de acceso se degradan con el tiempo, a medida que las personas cambian de función y los proyectos terminan. Las revisiones periódicas, en las que los responsables de los datos confirman quién sigue necesitando acceso, detectan esta desviación. Las herramientas automatizadas pueden señalar permisos sin uso, pero la decisión de retirar el acceso debe corresponder al responsable, que conoce la necesidad de negocio que justifica cada concesión.

Residencia de los datos y jurisdicción

La residencia de los datos se refiere al lugar donde se almacena físicamente la información y a la jurisdicción legal que la rige. Los proveedores de nube operan instalaciones en numerosos países, y la ubicación elegida para el almacenamiento, las copias de seguridad y las réplicas puede diferir de donde se crearon los datos o de donde están sus usuarios. Las organizaciones deben determinar qué categorías de datos tienen obligaciones de residencia, ya sea por normas sectoriales, compromisos contractuales o políticas internas. Esos requisitos deben quedar por escrito antes de seleccionar una región, y no descubrirse después durante una auditoría.

La jurisdicción es una cuestión relacionada pero distinta. Aunque los datos permanezcan en un país, la empresa matriz del proveedor puede estar sujeta a procesos legales extranjeros, y el personal de soporte situado en otros lugares puede acceder a los sistemas para su mantenimiento. Revisar las cláusulas contractuales sobre solicitudes gubernamentales, las listas de subencargados y las obligaciones de notificación ofrece una imagen más clara que la ubicación del almacenamiento por sí sola. Muchos equipos consideran útil relacionar cada conjunto de datos con su región, la ley que lo rige y las entidades que pueden acceder a él.

Las decisiones de residencia también afectan al diseño de la resiliencia. Restringir los datos a un único país puede limitar las opciones de recuperación ante desastres, por lo que los destinos de las copias de seguridad quizá deban elegirse dentro de la misma zona legal. Las claves de cifrado custodiadas en una ubicación acorde con la política pueden ayudar a separar el control del acceso del control del almacenamiento físico. Las revisiones periódicas mantienen estas decisiones alineadas con los cambios en la normativa, en las regiones de servicio y en la presencia de la propia organización.

Gestión del ciclo de vida de los datos almacenados

La gestión del ciclo de vida describe cómo los datos almacenados pasan por distintas etapas, desde su creación hasta su archivado y eventual eliminación. Cada etapa suele tener patrones de acceso, costes y perfiles de riesgo diferentes, por lo que tratar todos los datos de la misma forma rara vez es eficiente. Definir las etapas para cada clase de datos, junto con las condiciones que activan cada transición, ofrece a los equipos de operaciones una base coherente para la automatización. Unas definiciones claras también facilitan explicar a personas no especialistas por qué un archivo está donde está.

La organización automatizada por niveles puede trasladar los objetos de acceso poco frecuente a clases de almacenamiento más económicas, pero las reglas deben revisarse frente a los tiempos de recuperación y las duraciones mínimas de almacenamiento que imponen algunos niveles. El control de versiones y el bloqueo de objetos, donde estén disponibles, protegen frente a sobrescrituras accidentales y ciertas formas de manipulación, aunque también aumentan el volumen conservado. Las reglas de ciclo de vida deben probarse en un entorno de no producción antes de aplicarse a conjuntos de datos reales, ya que una transición mal configurada puede dejar registros temporalmente no disponibles.

La monitorización cierra el ciclo. Los informes que muestran el volumen por clase, antigüedad y nivel ayudan a los responsables a comprobar si las políticas funcionan como se pretende y si el almacenamiento se acumula sin un propósito. Revisar estos informes con una periodicidad fija convierte la gestión del ciclo de vida en una práctica continua y no en una configuración puntual. Los cambios en las reglas deben registrarse para que, más adelante, puedan reconstruirse los motivos de cualquier transición.

• Documente las etapas de cada clase de datos y los eventos que trasladan los datos entre ellas
• Pruebe las reglas de ciclo de vida en un entorno de no producción antes de aplicarlas a los datos reales
• Consulte los tiempos de recuperación y las duraciones mínimas de almacenamiento de cada nivel
• Active el control de versiones o el bloqueo de objetos cuando el valor de los datos justifique la retención adicional
• Revise los informes de almacenamiento con una periodicidad fija y registre cada cambio en las reglas

Documentar con claridad la propiedad de los datos

Una documentación clara de la propiedad de los datos asigna responsabilidades sobre decisiones que, en los entornos en la nube, tienden a diluirse. Cada conjunto de datos debe tener un propietario responsable que apruebe las solicitudes de acceso, establezca los periodos de retención y decida si los datos pueden compartirse o eliminarse. Los propietarios suelen ser representantes del negocio y no los ingenieros que alojan los sistemas, y su función debe registrarse de forma que perdure aunque cambie el personal. Sin ello, las preguntas sobre quién puede actuar sobre un conjunto de datos suelen quedar sin respuesta hasta que un incidente obliga a plantearlas.

Un registro útil recoge para cada conjunto de datos relevante el propietario, el custodio, la clasificación, la ubicación, la regla de retención y la fecha de la última revisión. Los custodios, normalmente equipos técnicos, implementan los controles que especifica el propietario, y la separación de ambos roles reduce la probabilidad de que una decisión se tome por defecto. El registro debe estar disponible para las personas implicadas y actualizarse como parte de los procesos habituales de cambio, en lugar de mantenerse como una hoja de cálculo puntual que rápidamente deja de reflejar la realidad.

La propiedad también respalda las demás cuestiones de gobernanza de este artículo. La clasificación gana sentido cuando alguien responde por la etiqueta, y las solicitudes de conservación o eliminación pueden resolverse sin suposiciones. La certificación periódica, en la que los propietarios confirman que sus entradas siguen siendo exactas, ofrece un mecanismo sencillo para mantener el registro actualizado. Documentar la propiedad exige poco esfuerzo, pero a menudo es lo que distingue un programa de gobernanza que funciona de uno que existe solo en el papel.