Implementación de cargas de trabajo en la nube pública soberana

En este artículo se proporciona información general sobre cómo implementar cargas de trabajo en la nube pública soberana.

Clasificación de datos para soberanía

Al clasificar los datos en función de los requisitos normativos y de confidencialidad, las organizaciones pueden proteger los datos, mantener el cumplimiento y reducir el riesgo.

No todos los datos de la organización requieren los mismos controles; la clasificación permite a los equipos priorizar los esfuerzos de seguridad y soberanía y asignar recursos en los que son más eficaces. Los datos de alto riesgo, como los datos personales o los secretos de estado, requieren medidas de seguridad más sólidas y una supervisión más rigurosa. Los datos de bajo riesgo pueden ser aptos para servicios de plataforma más amplios que permitan la modernización y la innovación.

Defina criterios claros y predefinidos para la clasificación. Las clasificaciones formales no son obligatorias por estándares como NIST, por lo que adoptan un marco basado en riesgos adecuado para su organización.

Los criterios de riesgo pueden incluir el tipo de datos, la confidencialidad, las obligaciones normativas y el valor empresarial. Use herramientas que analicen atributos, patrones y metadatos para asignar clasificaciones de forma coherente y eficaz. Después de etiquetar los datos, aplique los controles de seguridad, el cifrado y las acciones de directiva adecuados para cada clasificación.

Aunque NIST define tres niveles de impacto, muchas organizaciones usan un esquema de clasificación de cuatro etiquetas: Público, Interno, Confidencial y Secreto.

Evaluación de los servicios de Azure para los controles de soberanía

Azure ofrece cientos de servicios, cada uno con características únicas de configuración y control de datos. No todos los controles soberanos se aplican a todos los servicios. Por ejemplo, algunos servicios no admiten claves administradas por el cliente (CMK) y otras pueden no almacenar datos de clientes en absoluto. Para aplicar controles significativos de soberanía de datos, es esencial comprender cómo cada servicio procesa y almacena los datos.

Consideraciones clave:

• Almacenamiento de datos: ¿El servicio almacena los datos de los clientes? Si no es así, es posible que algunos controles (como el cifrado en reposo) no se apliquen.
• Compatibilidad con CMK: ¿Admite el servicio las claves administradas por el cliente y puede usar HSM administrado por Azure?
• Computación confidencial: ¿Es relevante la computación confidencial (por ejemplo, si se inspecciona el tráfico TLS)?
• Residencia de datos: ¿Dónde se almacenan y procesan los datos?
• Rol de servicio: ¿Qué tipo de datos controla el servicio (por ejemplo, datos confidenciales frente a metadatos)?

Ejemplos:

• Un equilibrador de carga no almacena datos, por lo que no se requiere cifrado en reposo. Sin embargo, la computación confidencial puede ser relevante si se inspecciona el tráfico TLS.
• Algunos servicios, como Azure Front Door CDN, almacenar datos en caché temporalmente o distribuir contenido globalmente.
• Una base de datos de metadatos con nombres de máquina virtual o GUID requiere controles menos estrictos que una máquina virtual que hospeda datos de tarjeta de crédito.
• Azure Network Manager almacena la configuración de red, pero no procesa el tráfico de red real.

procedimientos recomendados

Para cada servicio, evalúe sus funcionalidades, el rol arquitectónico y el tipo de datos que controla. Esta evaluación le ayuda a aplicar el nivel correcto de control y garantiza el cumplimiento de los requisitos de soberanía. Puede documentar los servicios mediante una matriz como se indica a continuación:

Establecimiento de directivas de gobernanza para el cumplimiento coherente

• Requerir claves administradas por el cliente (CMK) para servicios de almacenamiento persistente (por ejemplo, Azure Storage, Azure SQL Database, Cosmos DB).
• Aplique la afinidad regional para los servicios que podrían replicar o almacenar en caché datos globalmente (como Front Door, CDN o Traffic Manager).
• Restrinja el uso de servicios en cargas de trabajo confidenciales si carecen de características de residencia o cifrado.
• Habilite la computación confidencial si procede (por ejemplo, la serie de máquinas virtuales con AMD SEV-SNP o Intel TDX).

Uso de la matriz con el modelo de clasificación de datos

Use la matriz de funcionalidades como referencia al diseñar la arquitectura de la aplicación. La asignación de controles soberanos admitidos para cada servicio ayuda a los arquitectos y a los equipos de seguridad a comprender qué garantías pueden aplicarse o no.

• En el caso de los servicios que procesan datos restringidos o extremadamente confidenciales (como transacciones financieras, registros de salud o identificadores gubernamentales), apliquen un uso estricto de CMK, garantías de residencia estrictas y computación confidencial (ACC) cuando corresponda.
• En el caso de los servicios que solo controlan metadatos operativos (como nombres de máquina virtual, configuración de topología o GUID), el cifrado de plataforma o los controles reducidos pueden ser suficientes.

Al combinar la matriz de funcionalidad con el modelo de clasificación de datos, puede diseñar cada carga de trabajo con una posición de seguridad clara y ejecutable. Este enfoque ayuda a cumplir las obligaciones normativas y refuerza la confianza y la resistencia operativa en entornos de nube soberana.

Consulte también

• Diseño de directivas soberanas
• Descripción general del cifrado
• Emparejamiento privado de VPN