Elegir al proveedor cloud adecuado eliminando riesgos y alcanzando recompensas

Por Michael Darlington, Director Técnico de Trend Micro y Presidente del Foro de la Industria Cloud.

“La nube” ha adquirido cierto tono de mito en el mundo de las tecnologías de la información. No sólo es un tema que sale a relucir en prácticamente cualquier conversación tecnológica, sino que el término también se utiliza de forma abusiva por algunos e incorrecta por otros, lo que repercute en la seguridad de datos y puede derivar en problemas de gobernabilidad en el futuro. La cuestión es que hay demasiados de los denominados proveedores cloud que no son más que oportunistas. Los equipos de TI con poca o ninguna experiencia en el trámite del proceso de licitación del cloud computing necesitan ser especialmente cuidadosos al navegar por este campo de minas, sobre todo la primera vez.

En mi nuevo cargo como presidente del nuevo Foro de la Industria Cloud, un grupo con especial interés por la seguridad, he escuchado muchos comentarios de líderes del sector TI sobre proveedores que dicen que pueden manejar y gestionar el “viaje” a la nube, pero en una segunda aproximación se ha descubierto que una parte de esas promesas equivalen a poco más que exageraciones de marketing y “engaños”. Se trata de un problema que se da más entre los fabricantes de cloud más pequeños, aunque el tamaño de la organización no está necesariamente relacionado con la calidad del servicio.

A la hora de elegir una empresa, es importante tener en cuenta que sea una firma financieramente estable que ofrezca un paquete cloud seguro que permita que los datos puedan ser fácilmente liberados cuando el contrato finalice. Esto, obviamente, es más fácil decirlo que hacerlo, y más adelante se abordará con más detalle el apartado sobre “mejores prácticas” para lograrlo.

Desafíos y potenciales peligros asociados a la elección del proveedor adecuado

El cumplimiento normativo es una de las tareas más laboriosas para el equipo de TI y llevar los datos a la nube no va a hacer que ésta desaparezca de repente. Por eso, es necesario tener cuidado y saber exactamente cómo de seguro es el centro de datos del proveedor dependiendo de en qué sector la empresa desarrolle su actividad- e incluso dónde se van a alojar los datos geográficamente.

El ámbito legal cada vez está siendo más oneroso, de hecho. Las reformas de la Ley de Protección de Datos, que se espera que entren en vigor en 2014 como parte de la nueva regulación europea, prepararán el terreno para realizar sanciones de hasta un millón de euros o hasta el 2% de la facturación anual global de una compañía en caso de que se produzca una violación grave. El impacto de una brecha en los datos confidenciales de clientes o relacionados con la propiedad intelectual, también puede, por supuesto, hacer mella en la marca de una empresa y posiblemente provocar una salida de clientes, lo que será mucho más perjudicial aún.

Igual de importante es encontrar un proveedor cloud estable y de confianza desde el punto de vista financiero. La posibilidad de firmar un contrato con una empresa sólo para salir del negocio o ser adquirido por un competidor es inquietante para los administradores de TI y podría suponer que información crítica, de pronto, no estuviera disponible. Los contratos deben redactarse para garantizar que, en caso de que esto ocurra, exista una alternativa de migración transparente y sencilla, permitiendo que los datos corporativos puedan volver a recuperarse y se pueda disponer de ellos in situ o cambiarlos a otro proveedor.

La diligencia debe primar ante todo y estar presente en los responsables de TI. Es alarmantemente común comprobar que el equipo dedicado a TI es obligado a ocuparse de la gestión de los datos en la nube porque el proveedor cloud no está haciendo su trabajo adecuadamente. Obviamente, esto es una falsa economía. Realizar ese viaje a la nube debería generar una serie de beneficios de negocio alrededor de una mayor agilidad, reducción de costes y un uso más eficiente de los recursos –siendo los recursos humanos uno de estos recursos clave-. La alternativa de la nube debería liberar de ciertas funciones de TI para ser reutilizados estos recursos de la organización en otros lugares – y no aumentar la carga.

Elegir el proveedor adecuado: consejos útiles

El viaje a la nube puede ser algunas veces como andar por un campo de minas a causa de proveedores de servicios sin escrúpulos e integradores de servicios con ofertas de servicio con las que pretenden dar respuesta a todas sus necesidades, pero que luego resulta que son poco más que exageraciones de marketing y falsas promesas. Puede parecer una tarea desalentadora para algunos, especialmente para las organizaciones más pequeñas, con menos recursos y menos experiencia en la elección de proveedores cloud. Pero esto no es imposible y, por ello, es importante tener en cuenta algunos consejos prácticos que pueden servir de ayuda para aliviar la carga y asegurarse de que se toma la decisión correcta.

A la hora de buscar un proveedor cloud, lo más importante que debemos recordar es que emprender ese viaje a la nube no significa olvidarnos de todos nuestros datos sólo porque alguien más está almacenándolos y gestionándolos. Es crítico recordar que no importa lo que el proveedor cloud pueda decir, la responsabilidad de la seguridad e integración de nuestra información fundamentalmente siempre corresponde al cliente.

Con esto en mente, es momento de actuar con diligencia. Todo es cuestión de encontrar un proveedor capaz de satisfacer las demandas del cliente. Ahora bien, estas dependerán de para qué se esté utilizando la nube. Si una empresa la usa para ejecutar una gran base de datos transaccional, por ejemplo, la latencia será un tema importante y es posible que necesite buscar un proveedor que cuente con centros de datos ubicados en sitios cercanos. Lo mismo ocurre si los requisitos normativos estipulan que los datos no pueden abandonar el país o si hay algunas normas estrictas de seguridad que se deben cumplir, entonces éstas deben ser contempladas en los acuerdos de nivel de servicio (SLA).

Por otro lado, también se necesitarán una serie de requisitos diferentes si la organización está utilizando una plataforma cloud para un entorno de producción o de desarrollo, o si se trata de uno de prueba. En este último caso, por ejemplo, las IPs sensibles deben ser extraídas de la nube de forma segura en pequeñas fases y después trasladadas a las propias instalaciones de la compañía, algo que algunos proveedores pueden no ser capaces de hacer de forma satisfactoria.

Las dos mayores áreas de preocupación son, probablemente, la seguridad de los datos y el rendimiento, pero la facturación y el soporte también son importantes para garantizar un servicio sin problemas. La facturación, en particular, necesita ser automatizada y transparente para evitar cualquier impacto en la línea, mientras que las opciones de soporte deben cumplir los propios estándares del equipo de TI.

También necesitará ver de cerca la administración del sistema –asegurándose que el proveedor aplica con rigor el acceso basado controlado en roles y que los servicios de directorio se pueden trasladar sin problema desde su entorno local a la nube. En ese sentido, es fundamental que los sistemas puedan interactuar sin problemas con los del proveedor cloud. Los administradores de sistemas buscarán la posibilidad de gestionarlos a través de un único panel de control –lo que también beneficiará al cliente maximizando sus recursos TI.

Uno de los principales problemas con los proyectos cloud es que no hay un marco universal de estándares con los que ayudar a seleccionar el proveedor correcto. De hecho, el cloud computing a menudo no se limita una única definición, haciéndolo doblemente importante para establecer con tiempo de sobra la elaboración de esa lista de requerimientos de TI y de negocio. Acto seguido, es necesario confirmar que estos requisitos deber ser rigurosamente aplicados e imponer duras sanciones que deben estar incluidas en el contrato en el caso de que los SLA no se cumplan.

Sin embargo, también existe ayuda al alcance de su mano. Hay varios organismos cloud independientes, como el Foro de la Industria Cloud, que proporcionan gran cantidad de información y consejos útiles. Otra buena idea es visitar tantos eventos de la industria como sea posible y realizar actividades de networking con sus colegas de profesión –averiguar cuáles son sus necesidades, qué proveedores están utilizando y obtener esas referencias. Por lo menos, hay entre 4 o 5 conferencias al mes sobre cloud y seguridad cloud, así que mi consejo es asistir y recopilar tanta información como sea posible antes de tomar una decisión.