Las mejores salas de datos virtuales para grandes empresas

Hay un detalle que las listas para grandes empresas suelen pasar por alto: quien firma la sala de datos casi nunca es quien la va a usar a diario. El responsable de la operación o el área legal proponen una favorita, pero la plataforma solo llega a producción después de que varias instancias la aprueban una por una, y cualquiera de ellas puede devolverla al punto de partida.

De ahí nace el error más común al armar una preselección. Se elige pensando en la demo que encanta al equipo de la operación, y luego se pierden semanas cuando seguridad de TI reclama un informe SOC 2 que el proveedor no tiene, o cuando compras tacha una cláusula del acuerdo de tratamiento que el proveedor no piensa ceder. La sala de nivel empresarial no es la que impresiona a un área: es la que deja conformes a todas al mismo tiempo, y las mantiene conformes a lo largo de decenas de salas, no solo en la primera.

Cuatro áreas tienen que aprobar la sala

Un comprador particular o una pyme prueban un par de salas y se quedan con la que mejor les sabe. En una organización grande esa misma sala entra en un circuito de aprobaciones, y avanza solo hasta donde la siguiente área lo permita. Saber por qué frena cada una es lo que evita elegir una candidata que se cae en la tercera semana de revisión.

• Seguridad de TI se detiene en la identidad y las pruebas: inicio de sesión federado, aprovisionamiento y certificados que su equipo pueda leer de verdad. Es el primer punto donde un proveedor flojo queda al descubierto.
• Protección de datos revisa dónde viven los datos y qué dice el contrato sobre ellos: la residencia, el DPA, la lista de subencargados y los plazos de notificación de brechas.
• Compras mira el marco comercial y jurídico: el contrato marco de servicios, el compromiso de nivel de servicio y el precio que se logre negociar.
• El equipo de la operación cuida la usabilidad y la velocidad, porque una sala tan blindada que nadie logra operar contra reloj es, a su manera, otro fracaso.

Las secciones que siguen recorren una por una esas compuertas y cierran con la parte que ningún caso de uso vecino toca: qué pasa cuando ya las superaste y toca estandarizar todo el catálogo.

Cómo se ubica la preselección frente a los controles de TI

La mecánica de cualquier sala seria acaba pareciéndose. Lo que las separa a ojos de seguridad de TI son los controles que el cuestionario nombra uno por uno: identidad federada, un certificado reconocido a nivel internacional, protección persistente del documento y si la plataforma se puede alojar como manda la política interna.

De toda esa tabla, hay dos filas que resuelven la mayoría de las preselecciones empresariales.

Identidad federada, revisada con nombre y apellido

Con diez usuarios invitas a la gente a mano y no pasa nada. Con doscientos, repartidos entre filiales y asesores externos, esa gestión manual se convierte en el fallo de control que un auditor termina señalando. Por eso un cuestionario empresarial no pregunta “¿tienen SSO?”, sino que baja a lo concreto:

• SSO y SAML para que la autenticación pase por el proveedor de identidad que la empresa ya administra.
• Aprovisionamiento SCIM y sincronización de directorio para que las cuentas nazcan y se actualicen desde tu directorio, en lugar de teclearse dentro de la sala.
• Baja automática de accesos para que quien deja la empresa pierda el acceso por política en el mismo instante en que Recursos Humanos lo da de baja, no cuando un administrador se acuerda.
• Acceso de emergencia y controles de administración para esa vía de acceso urgente que igual queda registrada y acotada en el tiempo.

Dentro de la preselección, iDeals, Datasite, Intralinks y Box traen el SSO como control empresarial de serie. Salas más livianas y de autoservicio como Ellty cambian esa integración de identidad por una puesta en marcha el mismo día y precios publicados, un intercambio que le sirve más a una unidad de negocio que a un parque de TI blindado. Si quieres el detalle del ciclo de aprovisionamiento completo, nuestra guía sobre conceder y revocar el acceso lo desarrolla.

Certificados legibles, con el alcance que estás contratando

Toma SOC 2 Type II e ISO 27001 como el mínimo exigible: auditados por un tercero independiente, nunca autodeclarados. El matiz empresarial está en el alcance. Un certificado puede amparar a la empresa proveedora sin cubrir el producto, la región ni el subencargado exactos que vas a contratar, así que lo que hay que leer es el límite del alcance, no la insignia. Nuestra explicación sobre las certificaciones de VDR aclara qué acredita cada una.

El verdadero diferenciador: operar un catálogo de salas, no una sala

Aquí está la sección que ningún otro caso de uso necesita, y la razón por la que lo empresarial es una compra de otra naturaleza. Un equipo de operación gestiona una sala. Una organización grande gestiona un catálogo: muchas salas abiertas a la vez, entre unidades de negocio, asesores y países, con salas nuevas que se levantan cada mes. Elegir para una única sala perfecta y elegir para un catálogo entero son problemas distintos.

Las capacidades de abajo apenas se notan cuando evalúas una operación aislada, y pasan a mandar en la decisión en cuanto eres el dueño de la plataforma.

Capacidad de catálogo	Qué significa a escala	Por qué la ignora quien compra una sola sala
Una sola integración de identidad	SSO y SCIM configurados una vez, heredados por cada sala nueva	Una sala aislada se arma a mano, así que la integración nunca se pone a prueba
Administración delegada por roles	Cada unidad de negocio opera sus salas sin depender de un cuello de botella central	Una operación tiene un administrador, así que delegar parece un lujo innecesario
Plantillas de sala comunes	Un índice, un modelo de permisos y una marca ya validados que se clonan por sala	La primera sala es a medida, así que nadie se pregunta si es repetible
Auditoría central entre salas	Un registro de actividad exportable que abarca todo el catálogo	Un registro suelto parece completo hasta que necesitas una vista de cartera
Política de retención uniforme	Las mismas reglas de borrado y retención legal aplicadas en todas partes	Una sala se cierra a mano; cien salas ya piden una política

De esas cinco, hay tres que conviene subrayar.

Una sola integración de identidad es el premio de estandarizar

El valor del SSO y SCIM empresariales no es un inicio de sesión más cómodo. Es que integras una vez y cada sala posterior lo hereda, de modo que incorporar una operación nueva pasa a ser una acción de plantilla en vez de un ticket para TI. Una plataforma que admite identidad federada pero obliga a configurarla sala por sala te dio el control sin darte la palanca que lo hace útil.

La administración delegada decide si el catálogo escala

Si cada sala nueva necesita que el equipo central de TI la aprovisione, la plataforma se vuelve el cuello de botella que el negocio termina esquivando, casi siempre con alguna herramienta no autorizada. La administración delegada por roles permite que una unidad de negocio abra y opere su propia sala dentro de las barreras que TI fija una única vez. Eso es lo que mantiene el catálogo bajo gobierno en lugar de desbordado.

Las plantillas convierten una buena primera sala en un estándar

La primera sala empresarial se indexa y se permisa con cuidado. La décima se clona de una plantilla para que herede la misma estructura, el mismo esquema de grupos y las mismas marcas de agua por defecto. Las plantillas son la manera de dejar de volver a discutir la configuración en cada operación, y de que una sola revisión de seguridad sirva para todo el catálogo. Cuando llegue el momento de consolidar en una única plataforma, nuestra guía sobre migrar a una nueva sala de datos explica cómo mover salas ya existentes sin perder el histórico de auditoría.

Cuando el despliegue y la residencia deciden por ti

Para la mayoría de las organizaciones grandes la sala vive en la nube, y no hay problema con eso. La cosa cambia en cuanto entra en juego un regulador, un régimen de protección de datos o una política interna de alojamiento: ahí el despliegue y la residencia dejan de ser preferencias y se vuelven filtros de entrada para el área de protección de datos. La tabla siguiente acota el campo en pocos segundos.

Proveedor	Alojamiento	Fuerza en residencia	Encaje empresarial
Brainloop	Nube u on-premise	Residencia UE / DACH	Empresas reguladas de habla alemana con reglas estrictas de residencia
Drooms	Nube u on-premise	Alojamiento en la UE	Carteras europeas y operaciones transfronterizas que no salen del continente
BlackBerry Workspaces	Nube, on-premise o híbrido	Configurable, guiada por EDRM	Equipos de seguridad que deben conservar control a nivel de archivo entre organizaciones
Intralinks	Nube, multirregión	Opciones de alojamiento regional	Transacciones reguladas, de alto riesgo y transfronterizas
Box	Nube, multirregión	Zonas para residencia regional	Empresas que estandarizan el contenido diario y el intercambio de operaciones
Ellty	Nube	Nube de región única	Una unidad de negocio que quiere una sala moderna en vivo el mismo día

Si hay datos personales de la UE de por medio, la residencia se enlaza directo con tus obligaciones de RGPD, y la guía de residencia de datos explica cómo anclar el almacenamiento a una región concreta. Cuando además hay datos de salud, verifica la cobertura de HIPAA de forma explícita; dentro de la preselección, Box y Citrix ShareFile la acreditan.

Lo que compras negocia de verdad

La cifra empresarial no aparece en ninguna tarifa publicada. Se define dentro de una pila de instrumentos contractuales, y las condiciones que van adentro pesan más que el número de portada. Saber nombrar cada documento que se abre es media batalla ganada para sonar con soltura ante el área que gobierna el contrato.

Instrumento	Qué negocia la empresa dentro de él
Contrato marco de servicios	Límites de responsabilidad, vigencia, derechos de terminación y protección de precio en las renovaciones
Acuerdo de tratamiento de datos (DPA)	Finalidad del tratamiento, borrado al finalizar, derechos de auditoría y cláusulas contractuales tipo
Lista de subencargados	Quién más toca los datos, aviso ante nuevas altas y el derecho a objetar
Acuerdo de nivel de servicio (SLA)	Compromiso de disponibilidad, tiempos de respuesta del soporte y las compensaciones cuando se incumple
Anexo de seguridad	Plazo de notificación de brechas, frecuencia de pentest y la línea base de controles que el proveedor asume

Un proveedor que responde a todo esto con adjetivos, en vez de un documento que puedas tachar y renegociar, te está anticipando cómo será el resto de la relación. El que no sabe nombrar a sus subencargados, o no se compromete a un plazo de notificación de brechas, sencillamente no ha pasado antes por una compra empresarial, y tu área de protección de datos lo va a descubrir durante la incorporación en vez de después.

Modela el coste antes de que compras se siente a firmar

Como el precio de etiqueta va por cotización, no tiene sentido perseguir una lista de precios. Lo útil es modelar el coste totalmente cargado que vas a soportar de verdad: los asientos repartidos entre filiales y asesores, las salas permanentes que sobreviven a una operación puntual, y el catálogo entero que vas a operar en lugar de la única sala que estás pilotando. La calculadora de abajo convierte esas entradas en una cifra comparable en USD que puedes llevar a la mesa de negociación.

Hay tres realidades de coste que mueven el total de una organización grande más que cualquier número de portada:

• Los asientos inflan la factura. Los modelos por usuario, como el de Box, parecen modestos hasta que sumas cada filial, asesor y revisor, y encima el nivel Shield si necesitas su DRM. Modela el número de asientos totalmente cargado, no el del piloto.
• Las salas permanentes y el catálogo se acumulan. Un espacio permanente de consejo, fondo o cartera que sobrevive a cualquier operación aislada arrastra un coste recurrente que una sala de venta única no tiene, y luego multiplícalo por cada sala del catálogo.
• La palanca de compras existe. Los compromisos plurianuales y para toda la plataforma mueven el precio cotizado más de lo que sugiere cualquier lista, que es justo la razón por la que la cifra empresarial se negocia y no se publica.

Nuestra guía sobre cuánto cuesta una sala de datos y el hub de precios ponen los modelos lado a lado, y la guía de costes ocultos cubre las tarifas por exceso y de salida que asoman después de firmar.

Retención, retención legal y borrado defendible al cerrar

Las organizaciones grandes piensan en el final de una sala con el mismo cuidado que en su arranque, porque el gobierno del dato y la exposición legal se juegan las dos en el cierre. Cuando termina un mandato, las áreas de protección de datos y jurídica piden tres cosas que el equipo de la operación rara vez plantea por su cuenta.

Cerrar una sala empresarial de forma defendible

Lo que exigen el gobierno del dato y jurídica cuando una sala llega al final de un mandato.

1. 1

   Deja que la política de retención actúe sola

   El catálogo necesita una regla única, no un borrado a mano: cuánto tiempo se guardan los datos de cada sala tras el cierre, aplicado de forma automática, para que cien salas no dependan de que alguien se acuerde de purgar cada una.

2. 2

   Respeta la retención legal cuando corresponda

   Si una sala está bajo litigio o investigación, el borrado se pausa para los documentos afectados mientras el resto del catálogo sigue su calendario normal. Verifica que la plataforma pueda retener a nivel de sala o de documento, no solo global.

3. 3

   Exporta el registro de auditoría antes de purgar

   El registro de actividad es tu prueba de quién vio qué y cuándo. Expórtalo, desglosado por usuario y por versión de documento, antes de borrar nada, y consérvalo durante todo el plazo que exijan tus obligaciones.

4. 4

   Pide constancia del borrado defendible

   Cuando por fin se eliminen los datos, consigue el certificado de borrado frente al DPA, con las copias en poder de los subencargados incluidas, para poder demostrar que los datos desaparecieron y no solo quedaron ocultos.

El foco del equipo de la operación se detiene en “cerrar la sala”. El foco empresarial pregunta quién podrá demostrar, dos años más tarde, que los datos se guardaron bien, se retuvieron cuando tocaba y se borraron cuando debían. Esa diferencia es la razón por la que el registro de auditoría y la política de retención son criterios de selección empresarial, no tareas de mantenimiento. Nuestra explicación sobre los registros de auditoría de VDR detalla qué tiene que capturar un registro para ser defendible.

Cómo factura el precio empresarial

En el tramo empresarial, el precio publicado es la rareza. La mayoría de las plataformas que TI llega a aprobar cotizan por mandato o por año, y el modelo de facturación pesa más que cualquier cifra suelta.

Ojo con una cosa: esta tabla lee el modelo de facturación, no los controles. Combínala con la tabla de controles empresariales de más arriba, que lee identidad y certificación. Son preguntas distintas y merecen rejillas distintas.

La concesión, sopesada con honestidad

Dónde queda cada proveedor

Ordena la preselección por cuatro cosas, y en este orden para una organización grande: alcance de la certificación, identidad y aprovisionamiento, encaje de despliegue y residencia, y por último el modelo de precio frente al catálogo que vas a operar.

• Intralinks es la opción consolidada para transacciones reguladas y de alto riesgo, y suma control de derechos de información incluso después de la descarga, algo que atrae a las revisiones que lidera cumplimiento.
• Datasite e iDeals traen ambas SOC 2 e ISO 27001, con SSO, permisos profundos y buena profundidad de auditoría; Datasite se apoya en la analítica de comprador, e iDeals en la diligencia multiparte con soporte a toda hora.
• Brainloop y BlackBerry Workspaces son la respuesta cuando la política de alojamiento obliga a un despliegue on-premise o híbrido y a residencia de datos en la UE.
• Box encaja en empresas que quieren una sola plataforma gobernada para el contenido diario y el intercambio de operaciones, con cobertura HIPAA y un amplio ecosistema de integraciones, siempre que presupuestes el nivel Shield para el DRM.
• Ellty le da a un equipo o unidad de negocio una sala moderna y de autoservicio, con precios publicados y una prueba gratuita, sobre infraestructura SOC 2, con marcas de agua y un registro de auditoría completo, aunque es solo en la nube y más liviana en integración de identidad empresarial.

Si estás entre los dos finalistas empresariales más habituales, nuestro cara a cara de Datasite frente a Intralinks los enfrenta directamente, y cómo elegir una sala de datos virtual despliega el marco de puntuación completo.

Salas de datos empresariales: tus preguntas

¿Quién aprueba realmente una sala de datos empresarial?

Casi siempre cuatro áreas, y cada una puede vetar. Seguridad de TI examina la integración de identidad y las pruebas de certificación; protección de datos revisa la residencia y las condiciones de tratamiento; compras negocia el contrato marco, el SLA y el precio; y el equipo de la operación confirma que la sala se puede usar contra reloj. Puede impresionar a la operación y aun así caerse si no entrega un informe SOC 2 para TI o se niega a mover una cláusula del DPA para compras. Reunir a las cuatro pronto, antes de comprometer nada, es lo que evita que una candidata se atasque a mitad del proceso.

¿Qué controles de identidad revisa una gran empresa en una sala de datos?

Bastante más que un inicio de sesión. El cuestionario reclama SSO y SAML para que la autenticación pase por tu proveedor de identidad; aprovisionamiento SCIM y sincronización de directorio para que las cuentas nazcan y se actualicen desde tu directorio; baja automática de accesos para que quien deja la empresa pierda el acceso por política; y una vía controlada de acceso de emergencia para la administración urgente. Cuando manejas cientos de personas entre filiales y asesores, gestionar usuarios a mano es el fallo de control que un auditor termina señalando, y por eso estos puntos son filtros de entrada y no un extra deseable.

¿Qué quiere decir operar un catálogo de salas y por qué pesa tanto?

Una organización grande rara vez opera una sola sala. Opera muchas a la vez, entre unidades de negocio y países, y abre nuevas cada mes. Eso desplaza el peso hacia otras cosas: una sola integración de identidad que cada sala hereda, administración delegada por roles para que las unidades operen sin un cuello de botella central, plantillas comunes que clonan un índice y un modelo de permisos ya validados, y una política de retención uniforme en todas. Una sala perfecta en aislamiento, pero que hay que configurar a mano cada vez, sencillamente no escala a un catálogo.

¿Qué se negocia de verdad en el contrato?

El valor está dentro del papeleo, no en la tarifa publicada. Compras negocia la responsabilidad y la vigencia en el contrato marco; el borrado y los derechos de auditoría en el acuerdo de tratamiento; la lista de subencargados y el aviso ante nuevas altas; la disponibilidad y las compensaciones de soporte en el SLA; y el plazo de notificación de brechas junto con la frecuencia de pentest en el anexo de seguridad. Un proveedor que no sabe nombrar a sus subencargados, o que no se compromete a un plazo de notificación de brechas, no ha pasado antes por una compra empresarial.

¿Qué ocurre con los datos cuando se cierra una sala empresarial?

El gobierno del dato trata el cierre con la misma seriedad que el arranque. Se aplica la política de retención de forma automática en vez de borrar cada sala a mano; se respeta la retención legal cuando una sala está bajo litigio; se exporta el registro de auditoría por usuario y por documento antes de purgar nada; y se obtiene el certificado de borrado frente al DPA, con las copias de los subencargados incluidas. La prueba de fuego es si puedes demostrar, dos años después, que los datos se guardaron bien, se retuvieron cuando tocaba y se borraron de forma defendible.

¿Cómo se estructura el precio de una sala de datos empresarial?

Casi siempre como una cotización a medida por mandato o por año, envuelta en un contrato marco, un acuerdo de tratamiento y un anexo de seguridad. Lo sensato es modelar el coste totalmente cargado y no la etiqueta: el precio por usuario crece con cada filial y asesor, las salas permanentes arrastran un coste recurrente en todo el catálogo, y la tarifa por usuario publicada de Box deja fuera el nivel Shield, donde vive su DRM. Los compromisos plurianuales y para toda la plataforma mueven el precio cotizado más de lo que sugiere cualquier lista.