Por Joe TomaselloSenior Director Product Management – Compliance, Netskope

Hoy, casi todas los departamentos de compras de las empresas preguntan a sus proveedores si su plataforma SASE garantiza la soberanía de los datos. La respuesta suele ser afirmativa y el requisito parece cumplido. Sin embargo, cuando el proyecto comienza, surge una cuestión clave: ¿dónde se almacenan realmente los metadatos? En ese momento, la respuesta deja de ser sencilla.

«SASE soberano» no identifica una función concreta ni una certificación. Los proveedores emplean esta expresión para describir capacidades muy distintas, desde soluciones completas hasta coberturas parciales. El cumplimiento de los requisitos de residencia de datos depende de las necesidades de cada entidad y de aspectos arquitectónicos que no siempre se detallan durante la fase comercial.

La soberanía abarca cuatro componentes. Primero, el transporte de red: el tráfico debe circular y salir del país mediante proveedores locales, sin saltos internacionales. Segundo, el procesamiento de datos: la inspección, la aplicación de políticas y el análisis de contenidos deben realizarse dentro de la jurisdicción. Tercero, el almacenamiento nacional: los datos de los usuarios y los registros de eventos sensibles y específicos del cliente deben permanecer en el país mientras estén almacenados. Cuarto, la gobernanza de metadatos: los datos descriptivos generados por la capa de seguridad durante el transporte, el procesamiento y el almacenamiento también deben mantenerse dentro de las fronteras nacionales.

Este último componente es el que presenta más limitaciones. Una solución puede procesar el tráfico y almacenar los registros en el país, pero enviar metadatos sensibles a una plataforma global compartida ubicada en otra jurisdicción. Aunque cada afirmación sea técnicamente correcta por separado, el resultado no supone una soberanía integral.

También debe analizarse la arquitectura de la plataforma SASE. Estas soluciones se estructuran en dos o tres capas: planos de datos —en ocasiones, con un plano de control independiente— y planos de gestión. Los planos de datos inspeccionan, encaminan y aplican políticas al tráfico en tiempo real; los de gestión administran el servicio, configuran políticas y gestionan identidades. Los primeros suelen estar localizados, pero los segundos no siempre. Además, muchas funciones que generan metadatos operativos sensibles —como la correlación de inteligencia sobre amenazas, la inspección profunda de contenidos o el análisis posterior— dependen del plano de gestión.

Por tanto, procesar el tráfico dentro de un país no garantiza que las funciones de gestión, los datos administrativos y los metadatos estén sujetos a los mismos controles. Conviene solicitar un diagrama de la arquitectura y comprobar dónde se ejecuta cada función.

La soberanía digital tiene tres dimensiones. La soberanía de datos se refiere a dónde viajan, se procesan y se almacenan los datos. La soberanía operativa determina quién puede acceder al entorno —incluido el personal del proveedor— y en qué condiciones. La soberanía tecnológica se refiere al control de la infraestructura, como la posibilidad de desplegar sistemas localmente, utilizar claves de cifrado propias o elegir el hardware.

Un proveedor puede cumplir algunos requisitos de soberanía de datos y, aun así, fallar en otros ámbitos. Por ejemplo, puede carecer de ingenieros autorizados en la región, no admitir claves gestionadas por el cliente o impedir el despliegue local del plano de datos. Según el marco normativo aplicable, cualquiera de estas carencias puede suponer un riesgo.

La pregunta adecuada no es «¿ofrece SASE soberano?», sino «¿qué componentes cubre, en qué capa de la arquitectura y con qué evidencias?».

Gracias a las mejoras de nuestra red NewEdge, en Netskope cubrimos los cuatro ámbitos de la residencia de datos —transporte, procesamiento, almacenamiento y gobernanza de metadatos— en las principales regiones del mundo. También ofrecemos despliegue local, planos de datos integrados con operadores, agentes ZTNA locales, claves de cifrado gestionadas por el cliente, controles de acceso por funciones, ofuscación de datos y registros auditables. Integramos todas estas capacidades sin afectar al rendimiento ni aumentar la latencia.