Nubes negras sobre la información crítica

La computación en nube o cloud computing está acaparando la atención del sector TI y algunos ya se atreven a hablar de un cambio de paradigma. Sin embargo, existe una característica poco tranquilizadora acerca de esta tecnología. Si ya es realmente difícil procurar que los datos estén bajo nuestro control como parte de una infraestrutura de negocios tradicional, ¿se imagina lo difícil que sería en un ambiente en donde la ubicación de esos datos es desconocida?

La información está por las nubes. No permita que el viento se la lleve.

Una definición vaga (pero útil) de cloud computing se refiere al procesamiento de datos en algún lugar de la "nube" a la que llamamos internet. Todo el mundo está por las nubes en estos momentos: albergando servidores de correo electrónico, redes sociales, software como servicio (SaaS, Software as a Service) e incluso infraestructura como servicio. La computación en nube se está haciendo popular como una técnica de ahorro, pues estos servicios no requieren una inversión inicial fuerte en materia de hardware, software o personal. ¿No suena demasiado bueno para ser cierto?

Por un lado, las infraestructuras de nube más populares del momento (léase Amazon S3, Dell, IBM Blue Cloud, Google, etc) son incompatibles entre sí. De todas formas, al ser una tecnología que todavía está en etapa de crecimiento, es poco probable que esté pensando en realizar una migración. Así que hagámonos una pregunta mucho más interesante.

¿En dónde está la seguridad?
Para asegurar nuestros datos, primero tenemos que entender su ciclo de vida: como se recolectan, se procesan, se transmiten, se almacenan, se reportan y se exportan. Cualquiera de estas fases contiene vulnerabilidades, algunas de ellas son independientes de la localización y otras son específicas del ambiente en que se hallan. Si no sabemos en donde está nuestra información, protegerla será más difícil aún.

Pero las cosas se ponen todavía peor, porque nuestro contratista podría tercerizar el almacenamiento de nuestros datos. De esta forma, ni siquiera nuestro proveedor sabría en qué país están y que legislatura se aplica sobre ellos.

La consultora Gartner publicó un reporte a principios de Junio en donde trata de identificar los riesgos de seguridad de la computación en nube. Una de las recomendaciones más fuertes que hace es exigir transparencia en el manejo de los datos a través de un razonamiento muy simple: si nuestro proveedor no puede decirnos exactamente que está haciendo para proteger nuestra información en cada etapa de su ciclo de vida, ¿qué tan bueno es el servicio que está brindando?

Confidencialidad, integridad y disponibilidad
A modo de examen preliminar, veamos como se comporta el modelo CIA (confidenciality, integrity, availability) en una infraestructura de este tipo.

• Confidencialidad: es de suponer que la información estará encriptada. Pero ¿quién controla las claves? ¿El cliente o el proveedor del servicio?
• Integridad de los datos: promulga la modificación de los mismos únicamente en respuesta a accesos autorizados. Para lograr esto, se necesitan estándares. Y hoy por hoy, dichos estándares no existen.
• Disponibilidad: ¿estarán nuestros datos disponibles constantemente? La respuesta es un seco "tal vez". A modo de ejemplo, en febrero el servicio S3 de Amazon estuvo caído durante cuatro horas debido a un pico inesperado en las transacciones de sus usuarios. Si bien Amazon ha trabajado duro para evitar que se repitan estos incidentes, la disponibilidad nunca estará del todo asegurada.
  

Algunos consejos
Repasemos las medidas que podemos tomar para mejorar la seguridad de nuestra información:

• Encriptar los datos y tener posesión de las claves.
• Prestar atención a que el contrato especifique que la información nos pertenece y que el proveedor no puede ponerla a disposición de otros.
• Dentro de lo posible, utilizar autenticación mediante biometría u otros dispositivos físicos como tokens o smart cards.
  

Conclusión
La computación en nube es un conjunto poderoso de soluciones tecnológicas que llegaron para quedarse. Es capaz de abaratar los costos de la infraestructura empresarial, pero no arriesguemos nuestra información crítica sólo para abaratar costos y ahorrar tiempo. Es necesario evaluar la seguridad de estos servicios de la misma forma en que se evalúa el hardware y el software. Si nuestro proveedor se niega a responder preguntas de seguridad o si sus respuestas no se adhieren a las políticas de nuestra empresa, tal vez sea mejor pasarse a una nube más robusta.