La computación en la nube (cloud computing) ofrece grandes beneficios económicos, pero también plantea una serie de desafíos críticos tanto para los profesionales legales y de cumplimiento de las empresas usuarias, como para los reguladores.
Por ello, el establecimiento de unos estándares mínimos de seguridad y de privacidad para las transferencias de datos entre los proveedores de servicios en la nube y los consumidores de los mismos, va a permitir el desarrollo del ecosistema «cloud».
El objetivo de este artículo es presentar y comentar el nuevo estándar internacional que va a facilitar a las organizaciones que adquieran servicios de cloud computing el comparar sistemáticamente las ofertas de servicios de diferentes proveedores de servicios en la nube, la norma internacional ISO / IEC 19086-1.
Pero antes de abordar el papel de este estándar, retrocedamos un poco para explicar la verdadera escala del fenómeno de la computación en la nube.
... en 2013, el número de aplicaciones que se ejecutaban a través de centros de datos servidores en la nube superó el de las ejecutadas en los servidores de las empresas .
I. La implantación de la computación en la nube
Viéndolo en retrospectiva, fue en 2013 cuando el mundo de la informática cambió para siempre. En ese año, el número de aplicaciones web que se ejecutaron a través de servidores de centros de datos ubicados en la nube, superó por primera vez, a nivel global, el total de aquellas que se ejecutaban en centros de datos tradicionales. Y desde entonces, esta tendencia se ha acelerado. La década actual verá una inversión total entre los papeles de los centros de datos locales —en los que las empresas y las agencias gubernamentales han procesado tradicionalmente sus datos— y los de la nube. Si en 2010 solo en torno al 21% de todas las aplicaciones a través de servidores se ejecutaban en la nube, se prevé que en 2019 esta cifra alcance el 86% (1) . Y si bien es probable que la computación local no vaya a desaparecer por completo, su trabajo se reducirá a ocuparse de un pequeño porcentaje de tareas de computación heredadas.
¿Qué está impulsando esta revolución en la nube? La respuesta hay que encontrarla en la confluencia de un conjunto de innovaciones técnicas y de economías de escala. A partir de la década de 1990, el auge de Internet hizo que la conectividad universal fuera mucho más barata en comparación con los antiguos sistemas de redes centralizadas. Hoy en día, casi todos los clientes potenciales tienen acceso a redes rápidas y baratas. Y por parte de los centros de proceso de datos, la evolución desde el uso de PCs dedicados a tareas específicas a la concentración de una potencia de cómputo mucho mayor que nunca, permite disponer de servidores genéricos baratos.
En la era de la computación centralizada (mainframe), el tamaño del centro de datos estaba limitado por el propio tamaño de los sistemas —de forma que la capacidad de cómputo alcanzaba hasta ese tamaño. Las arquitecturas escalables de hoy en día no tienen límites técnicos definidos sobre su capacidad de crecimiento— dado que se puede seguir añadiendo tantos bastidores de servidores como sea necesario, de forma que para atender los requerimientos del cliente basta con invertir los fondos suficientes. Otra clave para el crecimiento de la nube ha sido la disponibilidad de software estándar para los servidores, que ofrece una mayor sofisticación que el anterior software centralizado a un coste mucho menor (2) .
La consecuencia más importante de la revolución del «cloud» es que al provocar una caída exponencial del costo de la computación y de la conectividad a través de la de red, se ha posible un flujo continuo de nuevas aplicaciones que antes eran imposibles.
... sólo el 28% de los acuerdos de nube se firman con la participación de los asesores corporativos
Sin embargo, la adopción acelerada de la computación en la nube por las empresas ha cogido por sorpresa a los responsables de sus departamentos jurídicos y de cumplimiento normativo.
A menudo estos asesores internos, al igual que los gestores de riesgos y los departamentos de adquisiciones, se encuentran con que no han sido tenidos en cuenta cuando los directivos, tras descubrir que el despliegue en la nube no requiere de grandes inversiones de capital, deciden abruptamente trasladar sus operaciones a la nube. Así, por ejemplo, un reciente estudio de Forrester Research da cuenta de que sólo el 28% de los contratos sobre computación en la nube se firman con la participación de la asesoría jurídica interna (3) . Y cuando estos actores clave participan efectivamente en esa decisión, a menudo carecen de un marco a para formalizar sus aportaciones (4) . La consecuencia de la falta de una consulta exhaustiva a las áreas internas afectadas en un contrato de computación cloud abre una innecesaria y nada saludable brecha entre las partes interesadas, que puede conducir a decisiones inconsistentes y puede impedir la utilización óptima de esta nueva capacidad.
Según señala Craig Shank, Vice Presidente de Corporate Standards de Microsoft Corporation, los proyectos de cloud empresarial tienen muchas más probabilidades de lograr resultados óptimos cuando los asesores jurídicos internos y otros actores involucrados en el cumplimiento están plenamente involucrados en el proceso de diligencia debida desde el principio.
II. El proceso de revisión en los proyectos de cloud computing
Dado el incesante crecimiento de la demanda de cloud computing y la brecha de conocimiento entre los asesores internos y los demás responsables del cumplimiento sobre cómo llevar a cabo los procesos de diligencia debida relacionados con el mismo, existe una necesidad crítica de materiales de guía para ayudar a los usuarios a definir sus requisitos al respecto.
Sin embargo, el objetivo de definir un marco global sobre las decisiones de migración a la nube ha resultado escurridizo, porque los requerimientos difieren mucho dependiendo de la industria, la geografía, la cultura organizacional y las metas específicas del proyecto. Por ejemplo, los requisitos de seguridad para las organizaciones nacionales de infraestructuras críticas son fundamentalmente diferentes de los de los vendedores minoristas; los requisitos de la normativa de privacidad para las operaciones realizadas en el ámbito europeo son diferentes de las realizadas en los Estados Unidos; las empresas con grandes inversiones en I + D tienen necesidades propias en cuanto a la protección de la propiedad intelectual; y el nivel de prestaciones o rendimiento técnico requerido claramente difiere de un proyecto a otro.
Por ello no cabe un modelo único de requerimientos. Lo que los clientes de la nube necesitan es un marco que puedan usar para desarrollar su propio conjunto de requisitos para satisfacer las demandas externas, las necesidades de la organización y los requisitos técnicos del proyecto. En cada caso las especificaciones de los requisitos serán diferentes. Sin embargo, no cabe duda de que es necesario que todos los usuarios de la nube comprendan claramente lo que sus proveedores del servicio en la nube les pueden ofrecer en términos de protección de la privacidad, seguridad, cumplimiento normativo y otras consideraciones clave. Pese a ello, la lamentable realidad es que tales requisitos se olvidan a menudo. La investigación de Forrester que hemos citado anteriormente, demuestra que las cláusulas de carácter jurídico aparecen en sólo el 36% de los acuerdos sobre computación en la nube.
En respuesta a las demandas del mercado, los principales organismos de normalización del mundo, la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC), han desarrollado conjuntamente un nuevo estándar internacional, la ISO / IEC 19086-1 para ayudar a las organizaciones de todo el mundo a definir sus requisitos particulares para la migración a la nube.
III. El Comité Técnico Conjunto 1 de la ISO/IEC: Donde nacen los estándares tecnológicos más importantes del mundo
El Comité Técnico Conjunto 1 de la ISO y la IEC (JTC 1) es responsable del desarrollo de normas técnicas internacionales neutrales en el ámbito de las Tecnologías de la Información y las Comunicaciones, incluida la ISO / IEC 19086-1. Sus miembros son instituciones nacionales de normalización, como el American National Standards Institute (ANSI) de los Estados Unidos y la British Standards Institution (BSI) del Reino Unido. Desde su creación hace 30 años, el JTC 1 ha creado muchos importantes estándares que han influido en todos los aspectos de las tecnologías de la información, incluyendo la fundamental ISO / IEC 27000 de gestión de la seguridad de la información. Dado que nuestro objetivo se centra en los estándares de la computación en la nube, no vamos a revistar aquí todo el ámbito de aplicación de la ISO / IEC JTC 1, pero los lectores interesados deben explorar este amplio tema en su versión on line (5) .
La naturaleza transnacional de la computación en la nube hace que la armonización internacional que facilita la ISO / IEC tenga carácter crítico. Los numerosos actores involucrados en el ecosistema global de la nube requieren un entendimiento común de los conceptos y detalles de su implementación, aunque inevitablemente puedan tener puntos de vista diferentes sobre qué deben o no deben hacer los servicios cloud con los datos de los usuarios.
En términos generales, existen dos tipos de estándares internacionales de computación en la nube:
Un ejemplo clave es el Acuerdo Marco de Nivel de Servicio en la Nube (SLA) ISO / IEC 19086-1.
IV. El estándar ISO/IEC 19086 sobre el Acuerdo Marco de Nivel de Servicio (SLAs) en la nube
La norma ISO/IEC 19086-1 (6) es la primera parte de una nueva norma internacional para establecer un marco y una terminología para los acuerdos de Nivel de Servicio en la nube (SLA).
Ofrece un conjunto unificado de consideraciones para las organizaciones que se planteen la adopción de la nube, así como una terminología común para que puedan comparar más fácilmente los servicios y proveedores de la nube disponibles y establecer en última instancia un SLA.
Su mayor impulsor fue el Instituto Nacional de Estándares de Estados Unidos (National Institute of Standars o NIST). Este organismo, NIST, es de hecho el departamento interno de estandarización del mayor comprador de servicios en la nube del mundo: el Gobierno federal de los Estados Unidos de América. En colaboración con otros agentes como la Administración General de Servicios (General Services Administration, GSA) y la Oficina de Gestión y Presupuesto (Office of Management and Budget, OMB), el citado organismo ha liderado durante muchos años un esfuerzo constante para estandarizar y racionalizar los complejos e inconsistentes procesos a través de los que el Gobierno federal proporciona y utiliza los servicios en la nube.
Al otro lado del Atlántico la Comisión Europea ha constituido el Grupo de Excelencia de Actividad en la Nube (Group Select Industry Cloud) sobre Acuerdos de Niveles de Servicio (SLA) (C-SIG SLA) para que guíen a las pequeñas y medianas empresas en sus decisiones de paso a la nube. Al igual que la colaboración del mencionado NIST, las aportaciones de este Grupo han sido decisivas para el desarrollo de la ISO 19086-1.
El conjunto de todos estos esfuerzos comienza a dar sus frutos, gracias a su a la intensificación internacional y multisectorial que supone la ISO 19086-1. Promete sentar las bases para la estandarización de los acuerdos SLA en la nube para todo tipo de empresas clientes del cloud, independientemente del país de procedencia o sector de actividad.
V. Aplicación de la ISO 19086-1 por los responsables
A la hora de contratar un servicio de cloud computing, es importante determinar tanto los objetivos de nivel de servicio, como los objetivos de calidad de servicio.
Los objetivos del nivel de servicio de la nube (service level objectives o SLOs) son requisitos medibles de manera cuantitativa, por ejemplo la disponibilidad de la nube, que puede ser expresada de manera numérica.
Por el contrario, los objetivos cualitativos de los servicios en la nube (service qualitative objectives o SQOs) no pueden ser expresados con números, como por ejemplo los requisitos de protección de identificación personal, política de acceso de las fuerzas de seguridad, requisitos de declaraciones legales, y métodos y niveles de atención al cliente. A salvo de unas pocas excepciones como la atención al cliente, estos requisitos de objetivos cualitativos tienden a ser comunes para toda la empresa, independientemente del departamento o proyecto. Por eso son, en general, aquellos en los que los departamentos jurídicos y responsables de cumplimiento normativo centran su atención.
Para entender mejor los objetivos de nivel de servicio de la nube y los objetivos cualitativos del servicio en la nube, incluimos un enlace a la Checklist elaborada por Microsoft. No obstante, se recomienda a los lectores interesados consultar el estándar en su versión original antes de aplicarlo en la configuración de los requisitos de la solicitud interna de la empresa.
En líneas generales las fases de esta etapa de la contratación son:
- I. Definición de los requisitos organizativos de la nube: fase en la que se definen y priorizan los requisitos relativos a la actividad, a la normativa y a la organización. Los requisitos y prioridades aquí establecidos deberían ser reutilizados en todos los proyectos de la organización, dando lugar así a mayor coherencia y solidez de esta diligencia debida. Es crucial que el departamento jurídico y los responsables de cumplimiento normativo participen en esta fase.
- II. Definición de los requisitos del proyecto: en esta fase se definen y priorizan los requisitos específicos del proyecto. Este es el momento en el que las características técnicas del servicio cloud y los límites económicos, no enumerados en la norma ISO, se detallan. Puede suceder que los requisitos específicos del proyecto choquen con los requisitos organizativos citados anteriormente. En tal caso, será necesario conciliar ambos intereses con la participación de los responsables oportunos.
- III. Valoración de las opciones del proyecto: en esta fase se comparan las diferentes opciones de arquitectura o de proveedores cloud con los requisitos y prioridades definidos en las fases anteriores.
Nos vamos a detener solo en la fase I, ya que las otras dos competen sobre todo a los departamentos informáticos. No obstante, los departamentos jurídicos y responsables de cumplimiento normativo deberán participar en la conciliación de requerimientos sobre necesidades y valoraciones de rendimiento de las diferentes opciones de las fases II y III, pero este no debe ser un desafío especialmente complicado, sobre todo si la fase I se ha realizado correctamente.
Así, podemos resumir los cinco pasos recomendados para el proceso de definición de los requisitos organizativos de la nube:
- 1. El proceso comienza con la enumeración de los objetivos cualitativos del servicio en la nube y los objetivos de nivel de servicio establecidos en el estándar o en el checklist. En la Tabla 1 se enumera únicamente el primer objetivo de la norma ISO 19086-1, la accesibilidad, a efectos ilustrativos. La accesibilidad se refiere al diseño de los productos y servicios para personas con discapacidades. La igualdad de oportunidades en el acceso a la tecnología en la nube para personas con discapacidad puede ser, para algunos ordenamientos jurídicos y para algunas actividades, un requisito legal. En otros casos pueden ser las organizaciones las que opten por ir más allá de las exigencias normativas en cuanto a proporcionar una nube accesibe. Se explica más adelante.
- 2. Los requisitos externos vienen impuestos a la organización por las normas sectoriales de cada actividad o grupos dentro de estas. Muchas empresas multinacionales se ven afectadas por un gran conjunto de exigencias externas que proceden de los diferentes reguladores de cada país. A veces puede no ser necesario pormenorizar todos estos requisitos externos, sino que puede ser más práctico delimitar cuáles son los más rigurosos y aplicar esos. En el caso de la accesibilidad, por ejemplo, algunos países europeos exigen cumplir el estándar EN 301 549 del sector de servicios públicos. Este estándar puede ser diferente al de otros sectores de actividad o al usado en otros países. O en otros casos, las celdas de la tabla pueden quedar vacías porque no existe exigencia externa. Esto puede suceder para objetivos específicos del proyecto, como por ejemplo el soporte técnico o la disponibilidad.
- 3. Los requisitos organizativos reflejan los valores y políticas de la empresa. A veces las empresas establecen políticas que superan los requisitos que les vienen impuestos. Algunos países carecen de requisitos normativos de carácter técnico o incluso de normativa antidiscriminación o relativa a la accesibilidad. Pese a ello, las empresas pueden auto imponerse obligaciones para hacer que su tecnología en la nube esté accesible para empleados o clientes con discapacidades. Nuevamente, no todos los objetivos son relevantes, en concreto pueden no serlo los específicos del proyecto.
- 4. El siguiente paso consistirá en combinar los requisitos externos con los organizativos. Forman el conjunto de requisitos habituales para todos los proyectos cloud de la organización.
- 5. Por último, atribuir un grado de priorización para cada uno de los requisitos aplicables permite garantizar coherencia entre todos los proyectos cloud. En el ejemplo se usa una escala de 1 a 10, pero caben otras medidas.
Tabla 1: Definición de los requisitos organizativos de la nube| PASO 1 | PASO 2 | PASO 3 | PASO 4 | PASO 5 |
| Objetivos | Requisitos externos | Requisitos organizativos | Combinación de requisitos organizativos | Priorización |
| Accesibilidad | EN 301 549 | Como en 2 | EN 301 549 | Escala de 1 a 10 |
Este proceso cuyo boceto presentamos, si bien puede parecer sencillo sobre el papel, en la práctica puede ser complejo y prolongarse en el tiempo, incluso precisando apoyo de asesores externos. Pero el resultado de este ejercicio será una comprensión más profunda de las prioridades y políticas de la nube de la organización. Supone planificar un proceso rápido y con éxito para la transformación del negocio hacia el cloud computing.
VI. Conclusión: los departamentos jurídicos pasan a ser socios del negocio
La revolución de la nube ha cogido a las empresas y a los consumidores de tecnología por sorpresa pues, además, está siguiendo un ritmo de cambios sin precedentes que parece no tener freno.
En pocos años, la mayoría de los recursos informáticos que estaban en servidores han migrado de miles de centros de datos separados operados por organizaciones de usuarios a puede que solo unos pocos cientos de instalaciones en nubes de hiper escala que albergan de manera colectiva decenas de millones de servidores.
Lo cierto es que no se puede exigir que los departamentos jurídicos estén constantemente actualizados con este rápido ritmo de cambios tecnológicos en el cloud computing. Pero, afortunadamente, el estándar ISO/IEC 19086-1 descrito en este artículo y reconocido a nivel internacional, ofrece a los departamentos jurídicos una manera formal, sencilla pero completa, de garantizar que los requisitos relevantes de privacidad, seguridad y normativos de los proyectos cloud han sido identificados, documentados y adoptados. Con una herramienta así al alcance de la mano los departamentos jurídicos pueden salir de su rol tradicional de guardianes pasando a convertirse en verdaderos socios que contribuyen y comparten de manera absoluta los objetivos de negocio de sus empresas.
Para saber más puede consultarse en artículo de Craig Shank en: http://download.microsoft.com/download/0/D/6/0D68AE95-6414-4074-B4B8-34039831E2BF/New-International-Standards-Will-Help-Cloud-Customers.pdf
Artículos relacionados:
- Introducción a la nube para abogados: hacia una nube “cumplidora”
- Machine learning para reconocimiento facial y otros ejemplos de los retos que supone la nube