Comparar proveedores sin dejarse seducir
Módulo 2: ¿Qué es realmente una nube europea? · Tiempo de lectura: 11 minutos
Objetivo de aprendizaje: Después de esta lección podrá comparar proveedores europeos por contenido con su propia lista de requisitos, valorar sellos de calidad por lo que realmente aportan, y elegir entre un servicio todo en uno, servicios sueltos o el autoalojamiento.
Conceptos clave: lista de requisitos (debe, debería, puede), ISO/IEC 27001, ámbito de aplicación (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, disponibilidad, idioma de soporte, periodo de prueba, referencias, todo en uno, servicios sueltos, autoalojamiento
Primero sus requisitos, luego los proveedores
Quien empieza mirando las páginas web de los proveedores se deja llevar por lo que ellos destacan: una cifra grande de almacenamiento, un botón de IA, un logotipo elegante. Empiece por tanto por usted mismo. Bakkerij De Korrel primero anotó lo que realmente necesitaba, y solo después se puso a mirar.
Utilice para ello tres niveles:
- Debe: sin esto el proveedor queda descartado. Por ejemplo: datos y copias de seguridad en el EEE, propietario europeo, contrato de encargo del tratamiento con lista de subencargados, correo con dominio propio, IMAP y CalDAV, verificación en dos pasos.
- Debería: importante, pero se puede sortear. Por ejemplo: paquete ofimático en línea en el navegador, soporte en español, aplicación móvil para fotos.
- Puede: agradable de tener. Por ejemplo: videollamadas, formularios, ayuda de IA.
Mantenga corta la lista de requisitos imprescindibles. Una lista de treinta puntos no la cumple nadie, y entonces acaba eligiendo igualmente a ojo.
Tres tipos de oferta
Los servicios de nube europeos se presentan a grandes rasgos en tres formas.
| Forma | Qué es | Ventajas | Tenga en cuenta |
|---|---|---|---|
| Todo en uno | Un único proveedor ofrece correo, almacenamiento, agenda, documentos y chat juntos, como las suites de los grandes proveedores estadounidenses | Un contrato, un inicio de sesión, todo funciona integrado | Vuelve a depender de una sola empresa; compruebe especialmente bien las opciones de exportación |
| Servicios sueltos | Correo con un proveedor, archivos y agenda con otro, chat con un tercero | La mejor opción para cada componente; menos dependencia | Más contratos, más inicios de sesión, más gestión |
| Autoalojamiento | Usted ejecuta software de código abierto (por ejemplo Nextcloud) en un servidor propio o alquilado | Control máximo | Usted se encarga de las actualizaciones, la seguridad y las copias de seguridad; eso requiere conocimiento y tiempo, cada semana |
Muchas organizaciones pequeñas optan por un término medio: un servicio gestionado sobre software de código abierto. En ese caso, un proveedor gestiona el servidor, pero usted puede trasladarse con el mismo software a otro proveedor o pasar al autoalojamiento si alguna vez lo necesita. El autoalojamiento solo es buena idea si alguien dedica tiempo de forma estructural a ello y sabe lo que hace. Un Nextcloud que lleva un año sin actualizaciones es menos seguro que un servicio bien gestionado, sea europeo o no.
Sellos de calidad: qué dicen y qué no
A los proveedores les gusta mencionar certificaciones. Son útiles, pero hay que saber qué significan.
| Sello de calidad | Qué indica | En qué fijarse |
|---|---|---|
| ISO/IEC 27001 | La empresa tiene un sistema de gestión de la seguridad de la información: riesgos identificados, medidas, control anual por una entidad certificadora | El ámbito de aplicación (scope): ¿se aplica al servicio que usted contrata, o solo al centro de datos o a un departamento? ¿Es el certificado válido y de una entidad acreditada? |
| ISO/IEC 27701 | Extensión de la 27001 para la gestión de la privacidad | Las mismas preguntas sobre el ámbito de aplicación |
| NEN 7510 | Norma neerlandesa de seguridad de la información en el sector sanitario | Solo relevante si trata datos sanitarios; en ese caso suele ser un requisito |
| BSI C5 | Catálogo alemán de requisitos para servicios en la nube del Bundesamt für Sicherheit in der Informationstechnik | Informe con hallazgos, no un simple "aprobado" |
| SecNumCloud | Cualificación francesa de la ANSSI para servicios en la nube, con requisitos frente al acceso por leyes de fuera de la UE | Exigente; dice mucho sobre la independencia jurídica |
| SOC 2 | Informe de auditoría estadounidense (AICPA) sobre medidas de seguridad | No es un certificado sino un informe; pida el informe, no solo el logotipo |
Dos trampas habituales. Primera: el centro de datos está certificado, pero el propio proveedor no. En ese caso, el certificado dice algo sobre la electricidad, la refrigeración y los controles de acceso, pero nada sobre quién puede acceder a sus datos. Segunda: un sello de calidad no responde a las cinco preguntas de la lección 2.1. Un servicio estadounidense puede tener la ISO 27001 y aun así estar sujeto a la CLOUD Act.
Los proveedores pequeños a veces no tienen certificación, porque cuesta mucho. Eso no los hace inseguros. En ese caso, pregunte en concreto qué medidas toman: verificación en dos pasos para administradores, cifrado, copias de seguridad en otra ubicación, política de actualizaciones, un procedimiento de notificación de brechas de datos.
Leer el SLA
Un SLA (service level agreement, acuerdo de nivel de servicio) describe lo que promete un proveedor: disponibilidad, tiempo de respuesta del soporte, ventanas de mantenimiento y lo que recibe si no cumple su promesa.
Convierta siempre la disponibilidad en tiempo. Un 99,9% al mes suena casi perfecto, pero significa que el servicio puede estar inaccesible algo más de 43 minutos al mes. Con un 99% son más de siete horas. Compruebe también si el mantenimiento planificado cuenta, y cuál es la compensación: a menudo un pequeño crédito, no una indemnización por sus daños.
Lea también lo que no aparece. Puntos importantes que deberían figurar en un SLA o en las condiciones:
- cuánto tiempo y dónde se conservan las copias de seguridad, y si usted mismo puede restaurar algo;
- con qué rapidez se soluciona una vulnerabilidad de seguridad;
- cómo se le informa en caso de incidencia (página de estado, correo electrónico);
- qué ocurre con sus datos después de darse de baja (lecciones 2.3 y 8.2).
Probar, preguntar, testar
El papel lo aguanta todo. Por eso no compare solo a partir de la página web:
- Contrate un periodo de prueba o un paquete pequeño, y utilícelo con un conjunto de prueba real: varios buzones de correo, una agenda con citas recurrentes, una carpeta con sus documentos más complicados (lección 6.5).
- Hágale al soporte una pregunta real, por ejemplo "¿Cómo exporto todo si me doy de baja?" Fíjese en la rapidez, el idioma y si la respuesta es correcta.
- Pida la documentación: contrato de encargo del tratamiento, lista de subencargados, SLA, certificados con su ámbito de aplicación.
- Pida referencias de una organización parecida a la suya, y llámela.
- Haga una prueba de exportación antes de firmar.
Una tabla comparativa que funciona
Coloque los proveedores en columnas y sus requisitos en filas. Rellene cada celda con un hecho y su fuente, no una impresión. Ejemplo de algunas filas para la panadería:
| Requisito | Nivel | Proveedor A | Proveedor B | Proveedor C |
|---|---|---|---|---|
| Propietario europeo | debe | sí (registro mercantil) | no (matriz en EE. UU.) | sí (memoria anual) |
| Datos y copias de seguridad en el EEE | debe | sí (CET anexo 1) | sí | sí, copia de seguridad en CH (adecuación) |
| IMAP, CalDAV, CardDAV | debe | sí (probado) | solo aplicación propia | sí (probado) |
| Exportación de todo en formatos estándar | debe | sí (probado) | parcial | sí |
| Paquete ofimático en línea | debería | sí | sí | no |
| Soporte en español | debería | sí | no | sí |
El proveedor B queda descartado por dos requisitos imprescindibles, por muy bueno que sea el resto. Entre A y C, decida en función de los requisitos deseables.
En la práctica: así se ve en un proveedor
Un Nextcloud de WebOké es un ejemplo de servicio gestionado sobre software de código abierto: puede elegir entre un entorno compartido y un servidor propio por paquete, y el software es el mismo Nextcloud que también puede usar con otros proveedores o por su cuenta. Otros proveedores europeos ofrecen formas similares: servicios todo en uno con correo, almacenamiento y agenda (por ejemplo mailbox.org, Infomaniak, Proton o IONOS), servicios de correo sueltos (por ejemplo Posteo o Tuta) y servidores para autoalojarse (por ejemplo en Hetzner, OVHcloud, Scaleway o STACKIT). Este curso no elige por usted: utilice su lista de requisitos.
Resumen
- Empiece por sus propios requisitos, divididos en debe, debería y puede. Mantenga corta la lista de requisitos imprescindibles.
- Elija conscientemente entre todo en uno, servicios sueltos y autoalojamiento; el autoalojamiento requiere conocimiento y tiempo de forma estructural.
- Un sello de calidad dice algo sobre todo dentro de su ámbito de aplicación, y no responde a la pregunta sobre el propietario.
- Convierta la disponibilidad en tiempo y lea lo que no figura en el SLA.
- Pruebe con un periodo de prueba, una pregunta real al soporte y una prueba de exportación antes de firmar.
Cuestionario
Ejercicio
Ejercicio E2.4: Su propia lista de requisitos y comparación. Elabore una lista de requisitos con al menos cinco requisitos imprescindibles y tres deseables. Compare con ella dos o tres proveedores en una tabla como la de arriba, con un hecho y una fuente por celda. Explique en tres frases qué proveedor elegiría y por qué.
Ejercicio E2.4: Su propia lista de requisitos y comparación
Elabore una lista de requisitos y compare dos o tres proveedores (columnas: requisito, nivel obligatorio/deseable/opcional, proveedor 1, 2, 3).
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de estos artículos se aplican a los servicios de WebOké; en otros proveedores funciona de forma parecida.
- Manual de Nextcloud 1.4: Nextcloud Free, Personal, Family o Max: diferencias y cambio de paquete
- Manual de WebOké 2.2: Elegir un plan de hosting (alojamiento web, plan de correo, Nextcloud, AI Builder)
- Manual de Nextcloud 6.6: Copias de seguridad en WebOké: qué conservamos nosotros y qué puede hacer usted mismo
- ISO/IEC 27001:2022, Information security management systems (iso.org, norma 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html