¿Soberanía digital PLM/ALM como fin en sí misma? No me parece especialmente inteligente. No porque no valore las motivaciones intrínsecas — todo lo contrario. Pero veo el riesgo de que así uno se deje engañar más fácilmente, y que soluciones supuestamente soberanas acaben no siendo lo que dicen ser: sovereign-washing.
En la seguridad de la información se habla a menudo de objetivos de protección. Los más importantes son Confidentiality (confidencialidad), Integrity (integridad) y Availability (disponibilidad) — en resumen: la tríada CIA.
Los objetivos de protección en sí no son nada nuevo. Pero también sirven, en el contexto de la soberanía digital, para especificar o evaluar el grado de soberanía de una solución de TI.
Confidencialidad
¿Qué importancia tiene para la empresa que los datos corporativos y la propiedad intelectual permanezcan realmente confidenciales? ¿Con qué nivel de seguridad deben protegerse estos datos frente a una posible fuga organizada por un estado hacia terceros países?
Integridad
¿Con qué nivel de protección deben contar los datos frente a manipulación o sabotaje no detectados?
Disponibilidad
¿Qué tan segura es la disponibilidad continua de la solución PLM y de los datos que contiene? ¿O podrían verse en peligro, en la solución PLM/ALM elegida, los datos y procesos de negocio por motivos geopolíticos?
En una entrada anterior de esta serie ya defendí la postura de que no puede existir soberanía absoluta en un mundo basado en la división del trabajo. La soberanía no es un fin en sí misma. Por eso es aún más importante tener claro en qué medida se desea la soberanía — y si debe garantizarse mediante medidas organizativas, arquitectónicas o técnicas.
Los objetivos de protección mencionados pueden alcanzarse, de hecho, por distintos caminos: arquitectónicamente, eligiendo proveedores y prestadores de servicios bajo una jurisdicción favorable; organizativamente, mediante contratos adecuados; o técnicamente, mediante cifrado y firmas digitales.
Si una arquitectura PLM debe ser soberana, hay que examinarla al menos en estas tres dimensiones para poder decidir si el grado de soberanía encaja con la propia estrategia empresarial.
La tríada CIA de la seguridad de la información aporta un marco probado para evaluar la soberanía de forma concreta y no abstracta: confidencialidad, integridad y disponibilidad pueden abordarse arquitectónica, organizativa o técnicamente — pero solo si antes se sabe qué grado de soberanía se necesita realmente.
