Como venimos señalando en nuestra serie de artículos sobre cloud computing, el acelerado desplazamiento de los sistemas tradicionales de tecnologías de información (TI) ubicados en las instalaciones de la empresa hacia el cloud computing o computación en la nube, presenta para los departamentos y asesores jurídicos de las empresas una verdadera carrera de obstáculos debido a los retos que suponen escenarios normativos cada vez más exigentes. Prácticamente todos los sectores de actividad deben afrontar un conjunto de exigencias cada vez mayores de seguridad de datos que conviven con las normativas de privacidad de los diferentes países. Con ello, los abogados y responsables jurídicos de las empresas tienen que ser expertos conocedores de estos requisitos, además de explicárselos a sus directivos y de asegurarse de que su organización cumpla con los mismos.
En Wolters Kluwer hemos hablado con uno de los principales proveedores de la nube, Microsoft, sobre cómo cientos de sus abogados se involucran a diario con los equipos de ingeniería de nube, ayudándoles a entender e implementar los requisitos de este universo legislativo complejo y en evolución.
El mensaje fundamental que nos transmiten es simple: los avances económicos y estratégicos de la computación en la nube hacen que sea imposible ignorarla, pero la transferencia de responsabilidad sobre los datos sensibles y las aplicaciones de clientes a los proveedores del cloud requiere de la elaboración de un nuevo marco para establecer y mantener la confianza entre estas partes contratantes.
Los beneficios económicos y estratégicos de la computación en la nube son muy grandes para dejarlos pasar, incluso para las organizaciones más conscientes de los riesgos. En efecto, dado que la nube será cada vez más un activo estratégico para la innovación y la productividad de las empresas a lo largo de la economía, prácticamente todos los negocios en el futuro serán negocios digitales.
Pero al mover de manera permanente los datos y aplicaciones a centros de datos propiedad de terceros que pueden estar localizados en otros países o incluso en otros continentes, la computación en nube introduce un nivel de complejidad legal que requiere una manera fundamentalmente nueva de trabajar y pensar para profesionales jurídicos de las empresas.
En este artículo presentamos algunos ejemplos prácticos de cómo Microsoft resuelve y gestiona esa complejidad legal de la nube:
-
• Comienza con ejemplos concretos de computación en la nube y los retos de cumplimiento que surgen de ésta: por ejemplo, en el caso de programas de reconocimiento facial usados por la policía americana.
-
• Revisa ejemplos de problemas de cumplimiento de la nube que Microsoft ha afrontado, en representación de sus clientes: casos Safe Harbor, correo en otro país, atentados de Francia y estandarización.
-
• Por último, comenta cómo un proveedor de nube grande como Microsoft concibe el cumplimiento como un servicio actual que debe ser integrado en las especificaciones de todo proyecto cloud.
La forma en que la nube crea nuevos retos de cumplimiento: reconocimiento facial y caso TASER
Cuando las máquinas reconocen las caras y entienden el lenguaje, debemos prestar atención adicional a la privacidad.
En los últimos cinco años, universidades y laboratorios de investigación y desarrollo corporativo como los de Microsoft, Facebook y Google, han hecho impresionantes progresos en aprendizaje automático (machine learning). Se ha avanzado en la construcción de software que entienden el lenguaje humano y reconocen rostros. Este software ha salido de los laboratorios de investigación hacia la producción de importantes aplicaciones para el cliente y tenemos ejemplos en el asistente digital Cortana de Microsoft, el etiquetado de rostros de fotos de Facebook o Google Photos (Fotos de Google): el machine learning está preparado para salir del mercado de consumidor y entrar en la empresa. La comprensión automatizada de texto, lenguaje, imágenes y video será muy pronto una característica estándar en las aplicaciones de TI empresariales, desde la más rutinaria hasta la más estratégica.
Entrenar a los modelos que hacen operar el aprendizaje automatizado requiere de gigantescas cantidades de datos y capacidad informática. Como resultado, la mayoría de estas aplicaciones tendrán que residir en la nube.
Si el software en la nube puede entender las palabras y reconocer los rostros de grandes números de usuarios individuales, ¿qué medidas deben tomar las empresas y sus proveedores de nube para garantizar el cumplimiento con las disposiciones legales para la privacidad y la protección de la información personalmente identificable?
Ninguna respuesta por sí sola es suficiente
Hace falta un enfoque amplio para desarrollar respuestas para la situación específica planteada, e implementarlas después de manera efectiva en los servicios de nube. Los requisitos normativos en materia de privacidad varían enormemente en su alcance y definiciones entre países y sectores de actividad. Asimismo, son relevantes muchos estándares técnicos diferentes para la protección de información personalmente identificable (IPI).
Un ejemplo claro de por qué los proveedores de la nube necesitan desplegar estándares específicos de privacidad para proteger la IPI sensible, proviene de un cliente que recientemente escogió desplegar sus aplicaciones sobre Microsoft Azure. El cliente es TASER, un proveedor muy conocido de equipos para autoridades judiciales en los Estados Unidos. En los últimos años, TASER se ha convertido en el proveedor más grande del mundo de cámaras que se usan en los cuerpos de policía. Con miles de estas cámaras implementadas por los cuerpos de seguridad a lo largo de los Estados Unidos y de otros grandes mercados como el Reino Unido, se generan enormes cantidades de datos de video continuamente. El único sitio asequible y técnicamente viable para almacenar estos datos de video es en la nube. Por esta razón, TASER decidió muy pronto ofrecer a los cuerpos de seguridad de manera conjunta tanto las cámaras como su propio servicio de almacenamiento y recuperación de video en la nube, llamado Evidence.com.
Los videos grabados por cámaras de la policía son una evidencia viva, sujeta a estrictas reglas legales que gobiernan los derechos de acceso y la cadena de custodia de la evidencia. Por un lado, los videos deben poderse buscar fácilmente y estar disponibles para revisión por múltiples participantes en los casos judiciales, incluyendo a los oficiales investigadores, fiscales, abogados defensores, víctimas y sus familiares, funcionarios y, a menudo, por los medios de información. Pero, por otro, dada su naturaleza, los videos de la policía frecuentemente graban escenas de individuos en situaciones que no son apropiadas para la distribución indiscriminada al público. Por esta razón, las autoridades judiciales que utilizan las grabaciones de estas cámaras han determinado que es esencial desarrollar políticas de edición que protejan la privacidad y las identidades de individuos grabados en video, en especial cuando son víctimas, espectadores inocentes o testigos vulnerables.
Además, la obligación de editar el video policial antes de su divulgación pública (según lo dispuesto por la ley en muchos estados de los EE.UU) crea un nuevo problema. Resulta que la edición manual de video es un proceso laborioso, tan costoso que algunos cuerpos y fuerzas de seguridad se han visto forzados a suspender la actividad de sus cámaras por la falta de personal y presupuesto para la edición. Es aquí donde entra el tema del aprendizaje automatizado basado en nube. TASER decidió usar las capacidades de aprendizaje automatizado disponibles en Microsoft Azure que ( bajo la supervisión de un experto humano) automatizan la edición de video mediante el reconocimiento de rostros individuales y su seguimiento a través de secuencias extensas de video.
Edición automatizada de rostros en videos policiales (fuente de imagen: Microsoft)
No obstante, surge una pregunta vital: si TASER no solo almacena enormes cantidades de video con datos sensibles de las cámaras de la policía en la nube de Microsoft Azure, sino que además utiliza el aprendizaje automatizado para identificar y hacer seguimiento de los individuos en ese video para proteger su privacidad, ¿qué estándares asegurarían que estos datos no estuvieran sujetos a violaciones o filtrados? Si bien el video estaría codificado, TASER aún tendría que compartir las claves o códigos de codificación (encryption keys) con Microsoft para que los algoritmos de aprendizaje automatizado de Azure fueran aplicados a los datos. En vista de esto, ¿qué garantías puede ofrecer Microsoft a TASER, y TASER a sus clientes autoridades judiciales, y qué estándares rigurosos protegen los datos una vez que fueran transmitidos de sus instalaciones a los centros de datos de Microsoft?
La respuesta a estas preguntas reside en un estándar de protección de datos crucial pero poco conocido, específicamente diseñado para la información sensible de autoridades judiciales en los Estados Unidos. Ese estándar es la Política de Seguridad de los Servicios de Información de Justicia Criminal del FBI (FBI’s Criminal Justice Information Services – CJIS- Security Policy).
Hace seis años, con la nube en su época incipiente, los proveedores de nube no tenían un conocimiento detallado de los requisitos únicos de la protección de datos de los cuerpos de seguridad. En varios casos los departamentos policiales se vieron obligados a cancelar su servicio de correo electrónico cuando descubrieron que no cumplía con la Política de Seguridad CJIS. En Microsoft se tomaron estos incidentes como una llamada de atención y se inició un recorrido de varios años que culminó con los servicios de Office 365 y Azure convirtiéndose en la primera nube pública comercialmente disponible que cumple con las exigencias de CJIS.
Cumplir con el estándar CJIS requería de una cuidadosa re-ingeniería no solo de las características de seguridad técnicas de los servicios de nube, sino también del proceso de negocios y prácticas de gestión de personal en las que están incorporados esos servicios. Para citar solo un ejemplo, los exigentes requisitos del FBI especifican que si los empleados de las organizaciones que proveen los servicios a las autoridades judiciales tienen acceso a los datos protegidos, éstos deberán pasar por rigurosas revisiones de sus antecedentes criminales. Someter al personal de los centros de datos de Microsoft a tales revisiones del CJIS en forma rutinaria e institucionalizada es un proceso costoso. No obstante, se aceptó ese coste como paso esencial para cumplir con las necesidades más amplias de la comunidad del gobierno local y estatal, de la cual las autoridades judiciales son solo una parte, aunque fundamental. Si bien es cierto que las revisiones de antecedentes judiciales de CJIS son una cuestión específica para las ofertas de nube para el gobierno en los Estados Unidos, los procesos de negocios desarrollados para cumplir con este estándar han tenido un efecto de contagio positivo sobre todos los servicios de nube empresarial.
Computación en la nube y protección de datos de la Unión Europea
Los grandes datos (big data) aplicados a la información personal pueden fácilmente entrar en conflicto con las reglas de transferencia de datos de la UE. De hecho, el análisis del conocido como big data revolucionará la habilidad de las empresas de entender qué es exactamente lo que está sucediendo con sus mercados y cómo moldear los resultados futuros. Tales métodos requieren que las empresas almacenen y analicen masivas cantidades de datos que solo pueden ser almacenados en la nube. No obstante, en muchos casos contendrán "información personalmente identificable" ( IPI) de clientes y empleados, y por lo tanto caerán bajo las leyes de privacidad de datos más estrictas, incluyendo la exigente nueva regulación de protección de la Unión Europea.
¿Cómo pueden las empresas multinacionales que están haciendo negocios a ambos lados del Atlántico asegurarse de que sus programas estratégicos de grandes datos no entran en conflicto con las reglas existentes de transferencia internacional de datos?
Una posible respuesta es aconsejar asociarse con proveedores de nube que hayan invertido años en tratar de entender lo que exigen los reguladores y cómo implementar tanto los componentes técnicos como los legales de una estrategia completa de cumplimiento de la nube.
Así, cuando en octubre de 2015, el Tribunal de Justicia de la UE (TJUE) invalidó la legislación sobre Safe Harbor, que se basaba en un acuerdo de más de quince años entre los Estados Unidos y la Comisión Europea, y que hacía posible que, cumpliendo un marco legal determinado, miles de empresas movieran información personal a través del Atlántico a la vez que cumplían con las estrictas reglas de protección de datos de la UE, en Microsoft la posibilidad que Safe Harbour se anulara había sido prevista, y ya se habían dado algunos pasos al efecto.
-
• De hecho, en 2010 se asignó a un equipo formado por varias docenas de abogados y profesionales en relaciones institucionales la tarea de crear un nuevo contrato de nube basado en las cláusulas contractuales estándar (conocidas a menudo como las "cláusulas modelo") que la Comisión había establecido de conformidad con la Directiva de Protección de Datos de 1995 de la CE. La idea era ofrecer a los clientes la seguridad de mantenerse en cumplimiento con la ley de la UE (al menos provisionalmente) incluso sin Safe Harbor.
-
• Durante varios años, los expertos en cumplimiento se reunieron en numerosas ocasiones con los funcionarios de la Comisión Europea y con las Autoridades de Protección de datos de los 28 países miembro de la UE (APDs) para encontrar una solución.
-
• En abril de 2014, las APDs europeas determinaron que las Cláusulas Modelo del nuevo contrato de nube empresarial cumplían con sus requisitos de un marco legal válido que rigiera los flujos de datos internacionales. Estas cláusulas, que ahora se ofrecen de manera generalizada a todos los clientes cloud independientemente de su tamaño, garantizan que, aún sin que existiera un Safe Harbor, toda la información personalmente identificable almacenada en la nube de Microsoft continuará cumpliendo con los rigurosos estándares de privacidad europeos independientemente de dónde esté localizada.
-
• Y es que es esencial que los profesionales jurídicos de las empresas entiendan que el cumplimiento normativo es un objetivo en cambio constante: las cláusulas modelo de la CE están siendo revisadas y podrán dar paso a nuevos requisitos regulatorios.
-
• De hecho, el gobierno de los Estados Unidos y la UE negociaron un nuevo acuerdo llamado el Escudo de Privacidad (Privacy Shield) que reemplaza al Safe Harbor. Este es un paso importante en la creación de un nuevo marco legal que permita que los datos se muevan entre Europa y los Estados Unidos de un modo que satisfaga la privacidad de datos y las preocupaciones de seguridad de ambas partes. El Escudo de Privacidad ha sido ratificado por la Comisión Europea y por todos los Estados miembro de la UE.
Sin importar el resultado del Escudo de Privacidad en su forma actual, las empresas grandes y pequeñas tienen que continuar sometiéndose a los cambios en los requisitos legales y de cumplimiento en la medida en que éstos afecten el uso de la nube y otros servicios de tecnología. Estas empresas deben por lo tanto buscar proveedores que trabajen para anticipar los retos legales y regulatorios futuros, y que estén comprometidas a implementar la experiencia necesaria tanto legal como de ingeniería para atender dichos retos de cumplimiento.
Los proveedores de nube y su relación con los gobiernos
El compromiso de un proveedor de nube de respaldar a sus clientes en temas legales y de cumplimiento regulatorio es tan importante como su promesa de ofrecer las últimas funcionalidades y características técnicas.
Este compromiso debe ir más allá de la anticipación a los cambios en el ambiente regulatorio. Debe significar también que, cuando las circunstancias lo justifiquen, el proveedor de nube debe ser capaz de hacer frente y, en su caso, denunciar, las eventuales acciones de los gobiernos que puedan amenazar la legítima privacidad y los intereses de seguridad de sus clientes.
-
• Destaca por ejemplo la denuncia por parte de Microsoft frente a la solicitud del gobierno de los Estados Unidos de datos de clientes empresariales, que fue aceptada por los Tribunales. Se trata de un caso reciente en que el gobierno de los Estados Unidos exigía que Microsoft entregara los correos electrónicos de un cliente que no era ciudadano americano y estaban almacenados en el centro de datos en Dublín, Irlanda. Se consideró que este intento unilateral de ejercer el poder extraterritorial para acceder a información privada de un proveedor de nube de Estados Unidos operando al otro lado del océano iba más allá de la intención de la ley norteamericana, y que debería haber sido procesado directamente a través del gobierno de Irlanda, de conformidad con los acuerdos internacionales vigentes. Con gran apoyo por de muchas compañías de tecnología, expertos legales y defensores privados, así como del gobierno de Irlanda y de varios miembros del Parlamento Europeo, el 14 de julio de 2016, la Corte de Apelaciones del Segundo Circuito de los Estados Unidos emitió una decisión histórica que dispone que:
"…La Ley de Comunicaciones Almacenadas (Stored Communications Act) no autoriza a los jueces (americanos) a dictar y ejecutar órdenes por las que proveedores de servicio localizados en Estados Unidos puedan acceder al contenido de correos electrónicos de clientes que estén almacenados exclusivamente en servidores en el extranjero".
-
• La voluntad de defender el estado de derecho y la protección de la privacidad se extiende también al apoyo de otros competidores. En marzo de 2016, Microsoft se unió a varias otras empresas líderes de tecnología para presentar un escrito legal apoyando a Apple, ya que esta compañía estaba impugnando una solicitud del FBI de implementar medidas extraordinarias para romper la codificación de un iPhone utilizado por uno de los atacantes de los terribles asesinatos terroristas de diciembre de 2015 en San Bernardino, California.
-
• En temas de seguridad nacional es esencial el equilibrio entre la privacidad de los ciudadanos y la seguridad pública de conformidad con la ley, y muy seria la responsabilidad de las empresas proveedoras de nube de trabajar con las fuerzas y cuerpos de seguridad públicos. En numerosas ocasiones se precisa una rápida respuesta a solicitudes legales urgentes de información. Por ejemplo, cuando la policía francesa estaba persiguiendo a los fugitivos de los ataques terroristas de París en noviembre de 2015, se pudieron entregar datos de correos electrónicos de las cuentas de los sospechosos a los 45 minutos de haber recibido la solicitud. Hay que ser consciente de que las personas no utilizarán tecnología en la que no confían y de que atentar contra estas protecciones nos pondrá a todos en un mayor riesgo.
Los estándares son esenciales para la confianza en la nube
El tema fundamental del reto del cumplimiento de la nube radica en el hecho de que los clientes que escogen la nube deberán potencialmente poner grandes cantidades de datos sensibles en las manos de terceros cuyas instalaciones no controlan, a menudo sujetos a las estrictas exigencias regulatorias de sectores específicos (bancario, medico, gobierno, consumidor, datos de empleados, etc.). Al mismo tiempo, los clientes deben confiar en estos proveedores externos para que gestionen aplicaciones de negocios críticas para los objetivos de la empresa que procesan estos datos.
Cabe pensar que el cifrado de datos de extremo a extremo (end-to-end data encryption) o las rigurosas inspecciones de las instalaciones de los centros de datos de los proveedores de nube permiten a los clientes mitigar algunos de los riesgos. No obstante, dada la naturaleza del cloud computing, ni el cifrado, ni las auditorías de los clientes pueden proveer una respuesta satisfactoria para el reto de cumplimiento:
-
• Con respecto a la codificación, si bien es técnicamente posible para un usuario cifrar sus datos antes de enviarlos a la nube y garantizar que el proveedor no tenga acceso a las claves de cifrado, este enfoque en general no es práctico a gran escala. Por ejemplo, aunque algunos grandes usuarios en sectores sensibles instalan equipos especiales para cifrar los correos electrónicos en camino a la nube, tal cifrado no puede ser convenientemente aplicado al intercambio de correo electrónico con destinatarios fuera de los firewalls de la propia organización, y en cualquier caso los metadatos asociados con tal correo electrónico (tales como dirección de destino) no pueden ser cifrados. Es más, los sofisticados algoritmos basados en la nube tales como el aprendizaje automatizado, así como las rutinas de seguridad como la detección de malware, no pueden operar con datos cifrados, limitando el valor de la nube para los clientes.
-
• Permitir a cada cliente la posibilidad sin restricciones de realizar inspecciones en las instalaciones de los centros de datos de nube daría pie a un sinnúmero de retos prácticos. En Microsoft hay más de 200 centros de datos alrededor del mundo, incluyendo aproximadamente una docena que se clasifican como verdaderas instalaciones de híper-escala. Todas estas instalaciones se someten a procesos técnicos y de ingeniería de procesos de negocios rigurosos, y regularmente se realizan auditorías con terceros que son líderes en su campo para garantizar el cumplimiento con literalmente decenas de estándares formales. Sería imposible manejar miles de clientes continuamente llegando a inspeccionar estos sitios y a auditar su cumplimiento legal. Hacerlo sería en efecto un serio riesgo de seguridad que iría en contra de los intereses de los clientes.
Pero que no sea aconsejable tener a clientes individuales haciendo auditorías de las instalaciones de la nube realza la importancia vital de esta confianza delegada, provista por estándares formales estrictos y ampliamente reconocidos que son certificados por terceros independientes.
La siguiente lista proporciona unos cuantos ejemplos de los muchos estándares que por ejemplo son cumplidos por los servicios de nube de Microsoft
Estándares globales
□ ISO 27001/2 (seguridad de TI en general),
□ ISO 27018 (protección de IPI almacenada en la nube),
□ ISO 19086 (estableciendo un Acuerdo de Nivel de Servicio estándar para los servicios de nube)
Estándares regionales o nacionales
□ PDPA de Argentina,
□ IRAP de Australia,
□ MLPS de China,
□ Marco de Seguridad de la Información ENISA de Europa (Europe’s ENISA Information Assurance Framework)
Estándares específicos para una industria o sector
□ FedRAMP del gobierno federal de los Estados Unidos,
□ HIPAA del sector médico,
□ PCI-DSS de la industria financiera,
□ SOC 1 y 2
Prácticamente cada uno de estos estándares, y muchos otros, requieren de minuciosas auditorías anuales de las instalaciones o capacidades por parte de auditores acreditados. Cumplir con estas múltiples inspecciones y requisitos de auditoría es un proceso intenso en términos de recursos y tiempo que sería tremendamente difícil de implementar para las empresas usuarias en sus propios centros de datos. Para poder cumplir con estos requisitos, en el caso de Microsoft se cuenta con una gran organización de especialistas dedicados, cuyo trabajo consiste en manejar las auditorias que se llevan a cabo durante el transcurso del año en los numerosos centros de datos en cumplimiento de estándares.
Estos equipos deben asegurarse de cubrir una serie de requisitos complejos y trabajar con frecuentes modificaciones que resultan de cambios en las regulaciones, estatutos, estándares y las buenas prácticas de industria para servicios de nube. Como parte de esta labor, se utiliza una metodología tipo para definir el cumplimiento con los estándares.
Los informes preparados por los terceros que realizan las auditorías regulares de la infraestructura de nube crean un mecanismo que puede ser escalado y que sirve para comunicar el cumplimiento con los estándares en la nube a clientes y a socios.
Construyendo un marco para la confianza
En definitiva, si bien la computación en la nube abre tremendas oportunidades nuevas, también introduce incertidumbres. Las mismas capacidades que hacen de la nube un facilitador poderoso de comercio, conexión e innovación, también pueden ser utilizadas para amenazar nuestros derechos y valores más fundamentales. El gran volumen de información personal de las agencias de inteligencia de los diferentes países, los recientes ataques terroristas en los Estados Unidos y en Europa, los cambios normativos como la decisión de invalidar el Acuerdo de Safe Harbour… todos estos eventos suscitan importantes preguntas acerca de la privacidad y la seguridad, y dejan claro que la tecnología necesita ser gobernada por el estado de derecho internacional, y no solo por las de uno o varios países.
En el centro de estas preguntas radica una cuestión de confianza. Como ciudadanos, queremos confiar en que nuestros gobiernos pueden ayudar a mantenernos seguros y proteger nuestros derechos a la privacidad y la libre expresión. Como consumidores, esperamos que la tecnología respete nuestras preferencias y mantenga sus promesas. Como negocios, necesitamos confiar en que podemos servir a nuestros clientes a la vez que obedecemos las leyes de los países en los que operamos.
Para los miembros de la comunidad legal y de cumplimiento, la confianza es especialmente importante para garantizar que sus clientes cumplen con las obligaciones normativas y las expectativas de la comunidad, a la vez que aprovechan los beneficios económicos y estratégicos de la nube. Y para ello, insistimos, deben exigir a sus proveedores de nube una nube cumplidora.
Fuente: Achieving Trust and Compliance in the Cloud, Rich Sauer, Vicepresidente Corporativo y Associate General Counsel, Microsoft Corporation, Estados Unidos
Artículos relacionados:
- Introducción a la nube para abogados: hacia una nube “cumplidora”
- Los nuevos estándares internacionales sobre cumplimiento normativo en la nube