Cloud Computing: La nube y la LOPD
Que el cloud computing está aquí y que ha llegado para quedarse está fuera de toda duda. Que este planteamiento de servicio tiene evidentes ventajas técnicas y económicas también. Lo que quizás esté despertando mayor recelo en algunos casos es el tema de la seguridad y, en concreto, el cumplimiento de la LOPD con proveedores que no son empresas españolas.
Es una fase habitual de la preventa de servicios cloud; el cliente quiere y necesita saber dónde van a estar sus datos para registrar el fichero correspondiente en la agencia española de protección de datos.
En el caso del cloud computing más “clásico” es sencillo, le indicamos la dirección postal de nuestro CPD en España. No obstante, cada vez más desplegamos y gestionamos servicios sobre plataformas de terceros, y estos terceros son multinacionales que no tienen físicamente sus servidores en España (Google Apps,Amazon Web Services, Microsoft Azure, Microsoft Office 365, etc.) Las ubicaciones físicas de los CPD’s de estos proveedores no son públicas, de hecho algunas veces son guardadas con auténtico “celo profesional”. En una ocasión un comercial de amazon me comentó que ni ellos mismos saben dónde están los CPD’s más allá de que se encuentran en un país concreto.
Y entonces ¿Cómo deben hacer las empresas para seguir cumpliendo la LOPD si “se van a la nube”? Aunque el trasfondo legal es amplio y ciertamente complicado, a la hora de la verdad, confiar en un proveedor reconocido es la solución más adecuada. Temas a tener en cuenta:
- Debe firmarse un contrato entre el cliente y el proveedor de servicios en el que se especifique claramente que el proveedor de servicios va a subcontratar determinados servicios (p.e. la plataforma de virtualización) a un tercero, especificando
- Cuando se contrata un servicio a terceros en modo “online”, no es necesario firmar físicamente un contrato con este tercero, el “acepto las condiciones” de este tipo de servicios puede admitirse como aceptación del contrato de cara a la LOPD
- Cuando se contrata a una empresa extranjera, hay que tener en cuenta que es casi imprescindible que esa empresa esté adherida a “Safe Harbor”. Google, Amazon y Microsoft lo están. Aunque esto no asegura todo, creo que debería ser un “must” a la hora de la elección. Al menos implica que no hay transferencia internacional de datos frente a LOPD, estas empresas tienen reconocido un adecuado nivel de protección (Decisión 2000/520/CE)
- Al margen de que los proveedores de cloud Americanos estén adheridos a Safe Harbor, es interesante que la ubicación física de los servidores sea dentro de la CEE, lo cual es el caso de Amazon y Microsoft, por ejemplo, que tienen los que dan servicio a Europa en Irlanda
- No nos engañemos, confiar al 100% en el proveedor de la infraestructura no es generalmente una buena técnica. Confía en un proveedor que complemente la plataforma de este tercero con un sistema de backup totalmente independiente y que utilice cifrado de la información
La agencia española de protección de datos acaba de editar una guía “Para Clientes que contraten servicios de Cloud Computing” de lectura interesante y recomendable. También puedes consultar esta guía para saber más sobre la seguridad en el cloud computing:
