Resumen
Una transferencia gubernamental no termina cuando llega el archivo. Termina cuando puedes probar quién envió qué, quién lo recibió y qué pasó después — y la mayoría de los recibos se detienen en la entrega.
Qué exige realmente una transferencia gubernamental
El intercambio público agrega restricciones que una herramienta comercial rara vez ve: identidad del emisor y receptor, clasificación, integridad, recibo, registro y un camino que funcione con red limitada o air-gapped. El camino de transferencia debe documentarse antes del intercambio, no después del incidente.
El cifrado protege el archivo en tránsito; no dice qué hizo el receptor después de descifrarlo. Un recibo de entrega prueba que el paquete llegó, no quién leyó qué página. El recibo prueba la llegada; no prueba la lectura.
El registro de transferencia debe conectar documento, partes, clasificación, hora y evidencia de entrega. Un recibo sin identidad es una marca de tiempo sin dueño. Un hash prueba integridad; no prueba autoridad.
- Identidad — emisor, receptor, organización.
- Clasificación — qué puede contener el archivo.
- Evidencia — recibo, hash, acceso, retención.
Dónde se detienen los recibos
La mayoría de las herramientas se detienen en la entrega: bytes enviados, bytes recibidos, checksum. Eso sirve para integridad y no para custodia. El receptor ya tiene un archivo y tu política dejó de aplicar. El dispositivo del receptor queda fuera de tu frontera administrativa desde el primer byte. El archivo es ahora una copia con su propio ciclo de vida.
La revocación es la primera brecha. Un archivo enviado no se puede desenviar; un recibo no revoca una copia. La segunda es la visibilidad por página: la herramienta sabe que un archivo se movió, no qué páginas se leyeron. Un botón de revocación que solo funciona antes de la entrega no es revocación.
Los flujos gubernamentales suelen necesitar ambos: transferencia para paquetes grandes o de baja sensibilidad, y custodia para CUI, contratación, datos de ciudadanos y expedientes legales. Un recibo no es custodia; es un eslabón de la cadena. La cadena necesita un registro de entrega, no solo un recibo.
Cuándo la transferencia debe convertirse en custodia
La custodia empieza cuando el receptor lee dentro de tu control: renderizado server-side, marca de agua por página, revocación en vivo y auditoría que une la sesión con la página. La custodia es una decisión de renderizado antes que de política. El original queda en el servidor; la sesión queda en el log.
Para CUI, contratación y registros de ciudadanos, la pregunta no es si el archivo se cifró en tránsito; es quién puede leerlo después de la entrega y qué evidencia queda. Si la agencia no puede responder quién leyó la página 12, la transferencia no estuvo controlada.
El modelo de acceso de NIST SP 800-207 es una referencia útil para la decisión de política detrás de ese control. La política decide; el visor aplica; el log prueba.
- CUI y defensa — el enclave conserva el original.
- Contratación — los postores leen sin descargar el paquete.
- Registros de ciudadanos — acceso acotado, registrado, revocable.
- Legal y supervisión — evidencia por página, no solo entrega.
Matriz de decisión
Empieza por la pregunta del receptor: ¿necesita el archivo para procesarlo localmente o solo para leerlo? Lo primero es transferencia; lo segundo, custodia. Escribe la pregunta del receptor antes del demo.
Usa transferencia para paquetes grandes y de baja sensibilidad, feeds programados y socios con su propio repositorio. Usa custodia para CUI, ofertas, paquetes de directorio, datos de ciudadanos y flujos donde la revocación importa. El híbrido es común; el error es llamarlo un solo control. La clase de documento decide el camino.
Prueba ambos caminos con el mismo documento. Si el recibo de transferencia es la única evidencia que puedes producir, el flujo tiene una brecha. La prueba debe incluir el camino de fallo, no solo el feliz.
- Transferencia — el archivo viaja; recibo y hash.
- Custodia — las páginas se renderizan; sesión y marca.
- Híbrido — datos crudos por transferencia, decisiones por custodia.
- Evidencia — quién, qué, cuándo y qué pasó después.
Checklist antes del próximo intercambio
Pide una prueba de revocación en vivo, una exportación de auditoría y un camino air-gapped. Un demo de transferencia y uno de custodia responden preguntas distintas. Trae un paquete real y un receptor real. Si el proveedor no puede mostrar el fallo, el control es una promesa.
- Partes — identidad y organización verificadas.
- Clasificación — qué puede contener el archivo.
- Control — revocar, marcar, registrar, expirar.
- Registros — retención y exportación.
La transferencia gubernamental es una cadena, no un botón. Elige transferencia cuando el archivo debe viajar, y custodia cuando el documento debe leerse sin salir. Si estás mapeando un intercambio gubernamental, solicita una demo y trae un paquete real. Para la comparación de modelos, mira transferencia segura vs compartir documentos; para el contexto público, seguridad documental para gobierno; para la cadena de evidencia, cadena de custodia digital. Un recibo es el comienzo de la evidencia, no el final.