Auditoría de soberanía: producción de OVH Gravelines, diapositiva validada. Pregunta: ¿adónde van las instantáneas automáticas? Respuesta después de tres días: replicación en Polonia más archivo de objetos del este de EE. UU. para la oferta “geo-redundante”. Los datos de producción eran franceses; las copias, no.
Los análisis de soberanía y cumplimiento se centran en la máquina virtual o la región del depósito principal. Las copias de seguridad (instantáneas, replicación de recuperación ante desastres, cintas magnéticas, exportaciones de medios) constituyen la copia olvidada. Mismo contenido, a veces diferente régimen jurídico.
Copias para rastrear en su arquitectura
Comience por hacer un inventario de cada mecanismo que duplica sus datos. Las instantáneas automáticas pueden permanecer en la misma región o replicarse en otro lugar según la oferta elegida. La Replicación de recuperación ante desastres suele estar habilitada de forma predeterminada para mayor resiliencia, sin que el vendedor lo mencione explícitamente.
Las copias de seguridad gestionadas por el host difieren del catálogo de marketing: comprueba qué es realmente restaurable y en qué plazo. Las exportaciones de soporte o análisis forense son temporales pero reales: existe una copia en alguna parte. Finalmente, tus propios scripts (restic a otro depósito, rsync en casa) también cuentan en el mapeo.
| Copiar | Riesgo a menudo ignorado | Acción recomendada |
|---|---|---|
| Instantánea entre zonas | Transferencia intra o extra UE | Desactivar o contratar |
| Archivo Frío | Terceros países | DPA y garantías documentadas |
| Copia de seguridad del registro CDN | Estados Unidos | Anonimizar o elegir un punto de presencia en la UE |
“Alojado en Francia” sin “copias de seguridad en Francia” es una verdad a medias.
Contrata y acredita la ubicación
Exija un plan escrito que cubra producción, respaldo, recuperación ante desastres y registros. Si el proyecto es sensible, solicite una opción sin salvaguardias transfronterizas. El cifrado con claves cuya jurisdicción usted controla fortalece la posición; consulte Gestión de claves KMS.
Compare proveedores a través del directorio y haga una referencia cruzada con la Encuesta de ubicación real si está disponible. Una cláusula vaga sobre el “cumplimiento del RGPD” no sustituye a una lista de regiones por tipo de copia.
Alinear el registro GDPR y la arquitectura técnica
El registro de las actividades de procesamiento debe reflejar todas las copias relevantes, no sólo el servidor principal. Durante una auditoría, la autoridad supervisora o un cliente empresarial preguntará dónde se encuentran las instantáneas y los archivos, no solo la base de producción.
Documente quién validó el esquema, cuándo y qué oferta de ventas lo desencadenó. Una migración o cambio de opción “geo-redundante” debe desencadenar una actualización del registro y una revisión de las garantías contractuales.
Copias de seguridad del lado del cliente: complemento, no excusa
Una copia restic o rsync en tu domicilio no te exime de conocer las copias creadas por el host. Por el contrario: su mapeo debe incluir ambas (copias del proveedor y copias internas) con regiones y duraciones de retención distintas. La auditoría de soberanía solicitará ambas tarjetas, no sólo la que usted controla directamente.
La parte superior: la copia que invalida la diapositiva
Decide y avanza sin puntos ciegos
Solicite el plan de respaldo completo a su proveedor de alojamiento esta semana, con las regiones exactas para cada tipo de copia. Deshabilite la replicación entre regiones si no es necesaria para su objetivo de continuidad. Actualizar el registro GDPR para incluir las copias identificadas. Si el proveedor actual no puede documentar claramente la ubicación, utilice el comparador y vuelva a leer Reversibilidad de la nube antes de renegociar o migrar.
Preguntas frecuentes
¿Las copias de seguridad siguen la región de producción?
No automáticamente. Muchas ofertas replican instantáneas en otra región, a veces fuera de la UE. Verifique la configuración de recuperación ante desastres, no solo la región que se muestra en la máquina virtual.
¿Una copia de seguridad cuenta como una transferencia fuera de la UE?
Sí, si los datos personales se copian a un tercer país sin las garantías adecuadas. Asigne copias de seguridad, archivos y registros juntos en su análisis de transferencias.
¿Qué preguntarle al anfitrión?
Regiones de respaldo, replicación entre regiones, contratistas de almacenamiento en frío, cifrado por región y la opción de respaldo local solo si su proyecto lo requiere.
¿Es suficiente una copia de seguridad local en el cliente?
Útil además, no reemplaza la claridad contractual de las copias que el anfitrión crea por su parte sin que usted las vea en su área de clientes.
La soberanía se puede leer en la copia del mapa, no sólo en la bandera del centro de datos principal.