Una institución financiera europea eligió a un proveedor de analítica en la nube precisamente porque ofrecía residencia de datos en la UE: datos almacenados exclusivamente en Fráncfort, nunca replicados fuera de la EEA, con un compromiso contractual y una auditoría de terceros que lo respaldaba. El equipo de cumplimiento del GDPR dio su aprobación. A los dieciocho meses de la relación, una evaluación rutinaria del proveedor planteó una pregunta de seguimiento que nadie había considerado antes: ¿quién puede acceder a los datos, desde dónde y en qué circunstancias? La respuesta del proveedor reveló que sus ingenieros de soporte, que podían acceder a los entornos de los clientes para resolver problemas, estaban distribuidos en tres continentes. El acceso remoto desde EE. UU. y Singapur se autenticaba a través de la VPN del proveedor. Los datos nunca salieron de Fráncfort. Cada sesión de acceso privilegiado se conectaba a ellos desde fuera de Fráncfort. El compromiso de residencia era exacto. La realidad del acceso era una historia completamente distinta.
¿Qué es realmente el problema de la residencia de datos frente al acceso?
La residencia de datos es una restricción sobre dónde se almacenan físicamente los datos: qué centro de datos, qué país, qué jurisdicción. Es un control significativo en el contexto de los requisitos de soberanía de datos, las reglas de jurisdicción regulatoria y las restricciones a las transferencias transfronterizas que especifican dónde pueden residir los datos personales en reposo. La mayoría de los compromisos de residencia de datos se refieren a la ubicación del almacenamiento: los bytes están en servidores de este país y no de aquel. Por sí solos, no son declaraciones sobre quién puede acceder a esos bytes ni desde dónde.
La dimensión del acceso es donde los compromisos de residencia generan con mayor frecuencia una falsa sensación de seguridad. Un proveedor puede almacenar datos exclusivamente en una jurisdicción definida y, al mismo tiempo, permitir el acceso a esos datos desde cualquier parte del mundo, mediante interfaces administrativas, sesiones de soporte remoto, llamadas de API, sistemas de gestión de respaldos y herramientas de monitoreo. Cada acceso desde fuera de la jurisdicción designada puede crear una transferencia transfronteriza de datos en sentido práctico: los datos personales se ven, se tratan y posiblemente se copian fuera de la jurisdicción aunque el almacenamiento principal nunca se mueva. Los marcos regulatorios difieren en la forma en que tratan estas transferencias por acceso, pero el riesgo de que un gobierno extranjero obligue a los empleados locales de un proveedor a dar acceso a los datos, sin importar dónde estén almacenados, es una dimensión real y cada vez más examinada del riesgo de soberanía de datos.
La arquitectura técnica de los servicios modernos en la nube agrava la brecha entre residencia y acceso. Incluso dentro de la plataforma de un solo proveedor, algunas funciones operativas pueden realizarlas sistemas y personas ubicados fuera de la región designada: equipos globales de SRE que responden a incidentes, sistemas centralizados de gestión de identidades y accesos, plataformas de monitoreo y observabilidad que agregan telemetría de todas las regiones y sistemas de atención al cliente que permiten a equipos globales ver los entornos de los clientes. Un proveedor que ha aislado el almacenamiento de datos en una región específica puede tener numerosas rutas de acceso operativo que cruzan fronteras regionales como parte de sus operaciones normales, rutas que nunca formaron parte del compromiso de residencia porque no son movimiento de datos, sino acceso a datos.
El riesgo de la residencia de datos frente al acceso se concentra en cinco patrones de brechas específicos:
- Acceso de soporte remoto desde fuera de la jurisdicción designada: equipos de soporte e ingeniería del proveedor en otros países con acceso a los entornos de datos del cliente mediante VPN o herramientas de gestión remota
- Sistemas globales de IAM y autenticación: plataformas de gestión de identidades y accesos que operan a escala global, lo que significa que las decisiones de autenticación para el acceso a datos de la región designada las toman sistemas ubicados en otras regiones
- Replicación de respaldos y de DR entre regiones: sistemas de recuperación ante desastres y de respaldo que replican datos a ubicaciones fuera de la región designada aunque el almacenamiento principal permanezca dentro de ella
- Datos de monitoreo y observabilidad: telemetría, datos de registros y métricas de rendimiento que contienen datos personales o hacen referencia a ellos y que fluyen hacia plataformas globales de monitoreo fuera de la región designada
- Acceso de subencargados desde fuera de la jurisdicción: subencargados de analítica, infraestructura o soporte que operan en jurisdicciones no designadas con acceso a datos alojados en la región designada
Por qué es importante
Los compromisos de residencia de datos se usan cada vez más como mecanismo principal de cumplimiento del GDPR, con el argumento de que los datos almacenados en la UE nunca son objeto de una transferencia internacional restringida en virtud del capítulo V del GDPR. Este argumento depende de una lectura restrictiva de “transferencia” como movimiento físico de datos, pero los reguladores y los tribunales han examinado cada vez más la realidad práctica de quién puede acceder a los datos y desde dónde como parte del análisis de transferencias. La sentencia Schrems II y las orientaciones posteriores de las autoridades europeas de protección de datos han dejado claro que el riesgo de transferencia incluye situaciones en las que un gobierno extranjero puede obligar a dar acceso a datos almacenados en la UE a través de la estructura operativa del proveedor, incluso sin movimiento físico de datos.
Para los profesionales de TPRM, esto crea una obligación de evaluación específica que va más allá de la confirmación de la residencia. La pregunta no es solo dónde se almacenan los datos, sino quién puede acceder a ellos, desde qué ubicaciones, con qué marco de autorización y qué obligaciones legales generan esas rutas de acceso. Un proveedor con residencia de datos en la UE, pero con acceso de soporte desde EE. UU., ha creado una situación en la que la CLOUD Act podría, en teoría, obligar a esos empleados ubicados en EE. UU. a dar acceso a datos almacenados en la UE. Que ese riesgo sea significativo depende del marco regulatorio específico y de la sensibilidad de los datos, pero es un riesgo que la certificación de residencia por sí sola no aborda.
El riesgo operativo práctico también es significativo con independencia del análisis jurídico. Un ingeniero de soporte que accede a datos de clientes de la UE desde una red doméstica en Singapur a través de una VPN del proveedor genera un evento de acceso que ocurre fuera de los controles de seguridad del centro de datos de la UE. La seguridad de los terminales, la seguridad de la red y las capacidades de monitoreo que se aplican a ese acceso las determina la infraestructura global de soporte del proveedor, no la postura de seguridad del centro de datos de la UE. La auditoría de residencia de datos confirmó la ubicación del almacenamiento. No dijo nada sobre la seguridad de las rutas de acceso que llegan a esa ubicación desde fuera de la jurisdicción.
Dónde se equivocan la mayoría de los equipos
La falla más constante es tratar la certificación de residencia de datos como un control completo de soberanía de datos. Un informe SOC 2 o una certificación ISO 27001 cuyo alcance es la residencia de datos en la UE confirma la afirmación sobre la ubicación del almacenamiento. No audita las rutas de acceso. No inventaría quién puede conectarse al entorno desde fuera de la UE. No evalúa si la replicación de respaldos permanece dentro de la región. La certificación responde la pregunta para la que fue diseñada (dónde se almacenan los datos) y deja por completo sin abordar las preguntas contiguas.
La segunda falla es no preguntar por el acceso operativo por separado del almacenamiento. La mayoría de los acuerdos de tratamiento de datos que incluyen compromisos de residencia especifican dónde se almacenarán los datos. No especifican desde dónde se puede acceder a ellos, quién puede acceder, desde qué ubicaciones ni mediante qué mecanismos de autorización. Una cláusula de residencia sin una cláusula correspondiente de restricción de acceso crea un compromiso sobre la ubicación de los bytes sin ningún compromiso sobre quién llega a esos bytes y desde dónde.
- Tratar la certificación de residencia como garantía completa de soberanía de datos: la certificación confirma la ubicación del almacenamiento, no la geografía de acceso
- Sin preguntas sobre la geografía de acceso: evaluaciones de TPRM que preguntan dónde se almacenan los datos sin preguntar quién accede a ellos y desde dónde
- No preguntar por la replicación de respaldos y de DR fuera de la región designada: el almacenamiento principal cumple, mientras la replicación de respaldos cruza fronteras jurisdiccionales
- Geografía de acceso de los subencargados sin evaluar: subencargados globales que acceden a datos de la región designada desde ubicaciones no designadas
- No preguntar por el acceso de soporte e ingeniería: equipos de soporte globales con acceso transfronterizo a los entornos de datos de la región designada
Cómo se ve una buena práctica
La gobernanza madura de la residencia de datos aborda ambas dimensiones, la ubicación del almacenamiento y la geografía de acceso, con compromisos explícitos, controles técnicos y cobertura de auditoría para ambas. Las restricciones de acceso son contractuales y se aplican técnicamente. El acceso de soporte desde fuera de las regiones designadas requiere excepciones documentadas y controles reforzados. La replicación de respaldos permanece dentro de la región designada o usa mecanismos de transferencia aprobados. Y los registros de acceso permiten al cliente verificar que no se ha producido acceso no autorizado desde fuera de la región designada.
- Cláusula de restricción de acceso junto con la cláusula de residencia: especificación contractual de que el acceso desde fuera de la jurisdicción designada requiere autorización explícita y una justificación comercial documentada
- Acceso de soporte desde regiones no designadas documentado: qué roles de soporte tienen acceso desde qué ubicaciones, con qué autorización y con qué monitoreo
- Replicación de respaldos dentro de la región designada: sistemas de DR y de respaldo con confirmación de que replican dentro de la jurisdicción designada y no hacia almacenamiento global
- Registros de auditoría de la geografía de acceso disponibles: registros que muestran dónde se originó el acceso a los datos de la región designada y que pueden revisarse a pedido para verificar el cumplimiento en materia de residencia y acceso
- Geografía de acceso de los subencargados confirmada: todos los subencargados con acceso a los datos de la región designada operan desde dentro de la jurisdicción designada o con mecanismos de transferencia adecuados
Herramientas
Gobernar la residencia de datos y el acceso requiere tanto controles de infraestructura en la nube como mecanismos de auditoría que den visibilidad sobre la geografía de acceso además de la ubicación del almacenamiento.
Controles de región en la nube: AWS, Azure, restricciones de región de GCP
Las principales plataformas en la nube ofrecen controles regionales de residencia de datos (los controles de residencia de datos de AWS, las funciones de límite de datos de Azure y las cargas de trabajo garantizadas de GCP) que restringen el almacenamiento de datos a regiones específicas. Estos controles abordan directamente la residencia del almacenamiento. En cuanto a la geografía de acceso, las políticas de IAM en la nube pueden restringir quién puede asumir roles con acceso a recursos regionales según la ubicación de la solicitud de acceso, lo que proporciona un control técnico de la geografía de acceso que complementa el compromiso de residencia del almacenamiento. Para los profesionales de TPRM, preguntar si el proveedor usa controles nativos de la nube sobre la geografía de acceso junto con los controles de residencia del almacenamiento revela si ambas dimensiones se abordan técnicamente.
Gestión de accesos privilegiados: CyberArk, Delinea, BeyondTrust
Las plataformas de PAM registran todas las sesiones de acceso privilegiado con la IP de origen y datos de ubicación, lo que proporciona un registro de auditoría de dónde se originó el acceso privilegiado a los entornos de la región designada. Para los profesionales de TPRM, preguntar si los registros de PAM del proveedor captan la geografía de acceso de las sesiones privilegiadas y si esos registros están disponibles para que el cliente los revise proporciona un mecanismo concreto de auditoría de accesos.
CASB y DLP: Microsoft Defender for Cloud Apps, Netskope
Las plataformas de agente de seguridad de acceso a la nube proporcionan visibilidad sobre los patrones de acceso a datos en los servicios en la nube y detectan cuándo se accede desde fuera de la región a datos de una región designada, mediante el monitoreo de la geografía de acceso en los registros de actividad de los servicios en la nube. Para los profesionales de TPRM, preguntar si el proveedor usa un CASB con monitoreo de la geografía de acceso revela si el acceso entre regiones se está detectando y revisando.
Desafíos de gobernanza
El desafío de gobernanza de la residencia de datos frente al acceso es que los controles de residencia son decisiones de infraestructura, mientras que los controles de acceso son decisiones de identidad y de procesos, y ambos suelen estar a cargo de equipos distintos con marcos de gobernanza distintos. El equipo de infraestructura se asegura de que los datos se almacenen en la región designada. El equipo de identidad gestiona quién tiene acceso a los sistemas de esa región. Puede que ninguno de los dos tenga la responsabilidad explícita de la pregunta que los cruza: ¿todas las rutas de acceso a estos datos son geográficamente coherentes con el compromiso de residencia?
Para los programas de TPRM, la respuesta práctica de gobernanza es ampliar la evaluación de residencia más allá de la confirmación del almacenamiento para incluir una revisión de la geografía de acceso. Pedir al proveedor que mapee todas las rutas de acceso a los datos de la región designada (acceso de soporte, acceso administrativo, gestión de respaldos, sistemas de monitoreo) y que confirme cuáles de esas rutas se originan fuera de la región designada proporciona el panorama completo que la certificación de residencia por sí sola no ofrece.
- Amplíe la evaluación de residencia a la geografía de acceso: se evalúan tanto la ubicación del almacenamiento como la ubicación del acceso, no solo el almacenamiento
- Exija una cláusula de restricción de acceso en los DPA: desde dónde se puede acceder a los datos, no solo dónde se almacenan
- Solicite registros de la geografía de acceso: evidencia de que no se ha producido acceso no autorizado desde fuera de la región designada
- Evalúe la geografía de la replicación de respaldos y de DR: confirmación de que los sistemas de respaldo no replican fuera de la región designada
- Confirme la geografía de acceso de los subencargados: subencargados con acceso a los datos de la región designada que operan desde dentro de la jurisdicción designada
Si usted forma parte de un equipo pequeño
Agregue una pregunta a su evaluación de residencia de datos: más allá de la ubicación del almacenamiento de los datos, ¿desde qué ubicaciones accede el personal del proveedor, incluidos soporte, ingeniería y subencargados, a los datos almacenados en la región designada? Esa pregunta revela de inmediato la dimensión de la geografía de acceso que la certificación de residencia no cubre. Para cualquier acceso desde fuera de la jurisdicción designada, pregunte qué mecanismo legal rige esa transferencia por acceso y qué controles se aplican a la sesión de acceso.
- Pregunte desde dónde accede el personal del proveedor a los datos de la región designada, no solo dónde se almacenan
- Pregunte si los sistemas de respaldo y de DR replican fuera de la región designada
- Agregue una cláusula de restricción de acceso en su próxima renovación de DPA, junto con la cláusula de residencia del almacenamiento
- Solicite evidencia de los registros de geografía de acceso para las relaciones de mayor riesgo que dependen de la residencia
Qué exigir
Pregunte directamente:
“Además de confirmar dónde se almacenan los datos, ¿pueden describir todas las ubicaciones desde las que el personal del proveedor, incluidos ingenieros de soporte, administradores de sistemas y subencargados, accede a los datos alojados en la región designada?”
“¿La replicación de respaldos y de recuperación ante desastres permanece dentro de la jurisdicción designada, o se crean copias en otras regiones como parte de su arquitectura de DR?”
“¿Pueden proporcionar registros de acceso que muestren el origen geográfico del acceso a nuestros datos en la región designada? ¿Y cuál es su proceso para investigar los accesos desde fuera de la jurisdicción designada?”
Evidencia que debe esperar
- Mapa de la geografía de acceso: todas las ubicaciones desde las que se accede a los datos de la región designada, con el marco de autorización de cada una
- Confirmación de la geografía de la replicación de respaldos: dentro de la región designada o con mecanismos de transferencia aprobados
- Confirmación de la disponibilidad de registros de la geografía de acceso
- Confirmación de la geografía de acceso de los subencargados
Un proveedor que responde a la pregunta sobre la geografía de acceso con “todos los datos se almacenan en la región designada” ha vuelto a confirmar la ubicación del almacenamiento. Pregunte específicamente desde dónde se conecta su equipo de soporte de Manila cuando accede a un entorno de cliente alojado en Fráncfort. La respuesta describe la realidad del acceso que el certificado de residencia no describe.
Cómo demostrarlo
Las restricciones a la transferencia internacional del capítulo V del GDPR, las orientaciones en evolución del DPA sobre las transferencias por acceso y las disposiciones del EU-US Data Privacy Framework crean obligaciones que se extienden a la geografía práctica del acceso a los datos, no solo a la ubicación física del almacenamiento. Demostrar la debida diligencia requiere evidencia de que se evaluó la geografía de acceso junto con la residencia del almacenamiento.
- Registros de evaluación de proveedores que documentan las preguntas sobre la geografía de acceso junto con la confirmación de la residencia del almacenamiento
- Cláusula de restricción de acceso en el DPA junto con la cláusula de residencia del almacenamiento
- Confirmación de la geografía de la replicación de respaldos
- Registros de evaluación de la geografía de acceso de los subencargados
- Registros de revisión de los registros de geografía de acceso para las relaciones de mayor riesgo que dependen de la residencia
Conclusión clave
La residencia de datos es una restricción de almacenamiento. El acceso a los datos es una pregunta distinta, con una respuesta distinta y un mapa distinto. Un proveedor que almacena sus datos en Fráncfort y permite que su equipo de soporte de Manila se conecte a ellos a través de una VPN ha cumplido el compromiso de residencia y ha creado una realidad de acceso que ese compromiso nunca abordó. La bandera en el servidor le dice dónde viven los bytes. No dice nada sobre quién llega a esos bytes y desde dónde. Evaluar la soberanía de datos requiere ambos mapas, el del almacenamiento y el del acceso, y la certificación que cubre uno no cubre el otro.