Japón prepara un sistema para certificar la seguridad de centros de datos y servicios en la nube utilizados por organizaciones que manejan información sensible. El objetivo es reducir el riesgo de filtraciones, interrupciones y dependencia de proveedores sujetos a influencia extranjera.
La propuesta todavía necesita una reforma legal y no equivale a una prohibición ya vigente contra empresas de un país determinado.
Según Nikkei Asia, la iniciativa abarcaría operadores de centros de datos situados en Japón y proveedores de nube que mantengan servidores dentro del país.
Tokio quiere orientar a bancos, hospitales, institutos de investigación y otras entidades con datos personales de relevancia estratégica hacia infraestructura certificada. La elección del proveedor seguiría en manos de cada organización, aunque las que traten información delicada enfrentarían mayor supervisión sobre su gestión.
Qué evaluaría la nueva certificación
Los criterios previstos incluyen la propiedad de la compañía, sus procedimientos para evitar fugas de datos y el origen de los equipos que sostienen el servicio. No bastaría con que un servidor esté físicamente en territorio japonés: las autoridades también quieren entender quién controla la operación, qué componentes utiliza y cómo responde ante una incidencia. Esa evaluación convertiría la seguridad de la cadena de suministro en una condición para acceder a clientes sensibles.
El gobierno pretende presentar en enero una reforma de la Ley de Promoción de la Seguridad Económica. Bajo ese marco, podría ordenar la suspensión de proyectos que impliquen riesgos para los datos, mientras el esquema de certificación se desarrollaría después. Por ahora se trata de un plan informado a la prensa; los estándares concretos, el procedimiento de evaluación y el calendario definitivo aún deben quedar establecidos.
Finanzas y salud bajo mayor escrutinio
Para una entidad financiera, un centro de datos sostiene registros, pagos y acceso de clientes; en salud, almacena historiales cuya exposición puede causar daños difíciles de reparar. Por eso, la recomendación gubernamental tendría peso incluso sin obligar formalmente a contratar solo proveedores certificados. Una organización que elija una alternativa no recomendada tendría que justificar sus controles ante posibles revisiones.
Las empresas tecnológicas también necesitarían demostrar cómo gestionan subcontratistas, actualizaciones y respuesta a incidentes. La certificación podría favorecer a quienes ya documentan estos procesos, pero elevaría los costos de cumplimiento para otros actores.
El desafío será reforzar la protección sin reducir innecesariamente la competencia ni dificultar el acceso a capacidad de cómputo, cada vez más demandada por servicios digitales y proyectos de inteligencia artificial.
El riesgo geopolítico detrás del plan
La preocupación japonesa apunta a la posibilidad de que proveedores vinculados con China, Rusia u otros países considerados de riesgo queden expuestos a exigencias estatales o a presiones sobre sus sistemas. Una certificación basada en propiedad, equipos y controles podría limitar su participación en sectores estratégicos. Sin embargo, el proyecto descrito no establece una exclusión automática por nacionalidad: el efecto real dependerá de los requisitos que finalmente apruebe Tokio.
Como referencia, las autoridades observan el programa JC-STAR, que ya asigna etiquetas de ciberseguridad a determinados dispositivos conectados. La futura evaluación de centros de datos y nube tendría un alcance diferente, porque afectaría a infraestructura que almacena y procesa información crítica durante años. La continuidad del servicio y la capacidad de auditar a los operadores serán tan relevantes como la prevención de ataques.
Japón busca cerrar un vacío en la vigilancia de esa infraestructura mientras crece la rivalidad tecnológica. La prueba decisiva llegará cuando publique las reglas: deberán precisar qué datos requieren protección especial, cómo se verificará a los proveedores y qué margen tendrán las organizaciones para elegirlos.
