Evaluar proveedores y servicios en la nube
Módulo 7: Acceso, proveedores y la nube · Tiempo de lectura: 11 minutos
Objetivo de aprendizaje: Después de esta lección podrá evaluar a un proveedor o servicio en la nube en materia de seguridad, privacidad y salida, explicar qué debe regular un contrato de encargo de tratamiento según el RGPD, y mantener un inventario de proveedores.
Conceptos clave: responsabilidad compartida, encargado del tratamiento, contrato de encargo de tratamiento, subencargado, ubicación de los datos, certificación (por ejemplo ISO 27001), estrategia de salida, inventario de proveedores
Su seguridad es tan fuerte como la de sus proveedores
Una pequeña empresa rara vez tiene servidores propios. El correo funciona en un proveedor, la contabilidad en un paquete en línea, la tienda web en una plataforma, los portátiles los gestiona una empresa de informática, y la nómina se tramita a través de una asesoría. Esto es sensato: esas partes a menudo pueden organizar la seguridad mejor de lo que usted podría hacerlo por sí mismo. Pero también significa que una gran parte de su seguridad está en manos de otros.
Dibújelo para usted mismo. Ponga su empresa en el centro y trace una línea hacia cada parte que guarde datos suyos o tenga acceso a sus sistemas. Hágase dos preguntas por cada línea:
- ¿Qué pasa si esa parte desaparece? Una interrupción del servicio, una quiebra, una subida de precio que le hace querer marcharse.
- ¿Qué pasa si esa parte sufre una filtración? Una intrusión en el proveedor, un empleado que puede ver demasiado, una cuenta de la empresa de informática que es tomada por un atacante.
Responsabilidad compartida
En la lección 6.1 ya vio el modelo de responsabilidad compartida: el proveedor de un servicio en la nube se encarga del centro de datos, los servidores y el funcionamiento del software; usted sigue siendo responsable de sus datos, sus cuentas y su configuración. Microsoft afirma literalmente en su documentación que esto se mantiene así en todos los tipos de servicio en la nube, incluso con software listo para usar.
Lo que esto significa en la práctica:
| El proveedor suele encargarse de | Usted siempre se encarga de |
|---|---|
| La seguridad física del centro de datos | Quién tiene una cuenta y con qué permisos (lección 7.1) |
| Las actualizaciones de los servidores y el software | Activar y usar la verificación en dos pasos |
| La disponibilidad según lo acordado | Qué comparte y con quién (lección 7.3) |
| Las copias de seguridad para emergencias (si así se ha acordado) | Una copia de seguridad o exportación propia de lo que realmente no puede permitirse perder (módulo 6) |
Un error frecuente es dar por hecho que el proveedor se encarga de algo que usted nunca ha confirmado. Pregúntelo, por tanto.
Encargado del tratamiento y contrato de encargo de tratamiento
En cuanto un proveedor trata datos personales para usted, se aplican las normas del RGPD. Piense en los datos de clientes de su tienda web, correos con nombres y direcciones, datos de nóminas, o un almacenamiento en la nube con currículums de candidatos.
- Usted es el responsable del tratamiento: usted determina para qué y cómo se utilizan los datos.
- El proveedor es un encargado del tratamiento: trata los datos por encargo suyo, para sus fines.
El artículo 28 del RGPD establece que solo puede utilizar encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. Los acuerdos se recogen en un contrato de encargo de tratamiento, por escrito (también puede ser electrónico). Según el artículo 28, apartado 3, ese contrato debe regular en todo caso el objeto, la duración, la naturaleza y la finalidad del tratamiento, qué tipos de datos personales y de interesados afecta, y que el encargado:
- solo actúa siguiendo sus instrucciones por escrito;
- garantiza que su personal respeta la confidencialidad;
- aplica las medidas de seguridad del artículo 32;
- solo contrata a un subencargado con su autorización, y bajo las mismas obligaciones;
- le ayuda cuando las personas ejercen sus derechos de privacidad (acceso, rectificación, supresión);
- le ayuda con la seguridad, las filtraciones de datos y una eventual evaluación de impacto (artículos 32 a 36);
- al finalizar, suprime o devuelve los datos y elimina las copias, según su elección;
- le facilita la información para comprobar que cumple los acuerdos, y permite realizar auditorías.
Un subencargado es una parte que su encargado contrata a su vez, por ejemplo el centro de datos de su proveedor de alojamiento o el servicio de correo de su paquete de contabilidad. El RGPD establece que el encargado sigue siendo plenamente responsable ante usted si un subencargado no cumple sus obligaciones. Pregunte por la lista de subencargados.
La Agencia Española de Protección de Datos recomienda concretar los acuerdos, en lugar de limitarse a repetir el texto legal, y dejar establecido con qué rapidez y con qué información le informará el proveedor sobre una filtración de datos. Esto último es importante: en la lección 8.2 verá que usted debe notificar en un plazo de 72 horas, y ese plazo solo empieza a contar cuando usted tiene conocimiento del hecho.
Muchos proveedores tienen un contrato de encargo de tratamiento estándar. Léalo, y compruebe si realmente debe firmarse o aceptarse: en algunos proveedores no entra en vigor automáticamente.
Esta lección ofrece una explicación general y no constituye asesoramiento jurídico. El texto completo está en el RGPD, en eur-lex.europa.eu.
Preguntas para hacer a un proveedor
Una evaluación no tiene que ser un informe de auditoría de cuarenta páginas. Para una pequeña empresa, un cuestionario fijo funciona bien. Las respuestas suelen estar ya en el sitio web del proveedor, en una página de seguridad o en una lista de preguntas frecuentes.
| Tema | Pregunta |
|---|---|
| Ubicación | ¿Dónde están mis datos, incluidas las copias de seguridad? ¿Van a países fuera del Espacio Económico Europeo? |
| Acceso | ¿Puedo exigir la verificación en dos pasos para todos mis usuarios? ¿Puedo dar a los usuarios sus propios permisos? |
| Copia de seguridad | ¿El proveedor hace copias de seguridad, con qué frecuencia, durante cuánto tiempo se conservan, y puedo restaurarlas yo mismo? |
| Cifrado | ¿Están los datos cifrados en tránsito y en el disco? |
| Filtración de datos | ¿Con qué rapidez y cómo me informa el proveedor en caso de incidente? |
| Subencargados | ¿Qué partes contrata, y cómo me entero de los cambios? |
| Certificación | ¿Hay un certificado, por ejemplo ISO 27001, y para qué ámbito es válido? |
| Salida | ¿Puedo exportar todos mis datos en un formato utilizable? ¿Qué sucede con mis datos tras darme de baja? |
Sobre la certificación: ISO/IEC 27001 es una norma internacional con requisitos para un sistema de gestión de la seguridad de la información. ISO no certifica directamente; lo hace una entidad certificadora independiente. Un certificado demuestra que una organización gestiona su seguridad de forma planificada, pero no garantiza que nunca vaya a ocurrir nada. Fíjese sobre todo en el ámbito de aplicación del certificado: ¿es válido para el servicio que usted utiliza, o solo para una oficina o departamento concreto?
Salida: poder irse también es seguridad
Una estrategia de salida es su plan para dejar de usar un proveedor, de forma forzada o voluntaria. Suena a algo para más adelante, pero debe considerarse ya al elegir: si solo descubre en una quiebra que no puede exportar su cartera de clientes, ya es demasiado tarde.
Compruebe por tanto de antemano:
- si puede exportar todos los datos, y en qué formato (un formato abierto como CSV, correo estándar o archivos normales es mejor que un formato propietario);
- durante cuánto tiempo siguen disponibles sus datos tras darse de baja;
- si su nombre de dominio está a su propio nombre y puede cambiar usted mismo los servidores de nombres (lección 4.3);
- si conserva usted mismo una exportación reciente, como parte de su copia de seguridad (lección 6.1).
El inventario de proveedores
Registre todo en un inventario de proveedores: una tabla con, por cada proveedor, el servicio, qué datos contiene, si hay datos personales, si existe un contrato de encargo de tratamiento, quién es el responsable por su parte, las respuestas principales del cuestionario y la posibilidad de salida. Revíselo una vez al año, y cuando se añada un nuevo servicio.
Si alguno de sus clientes está sujeto a la transposición española de NIS2 (lección 9.1), puede esperar que ese cliente le haga a usted, como proveedor, este tipo de preguntas. Con su propio inventario tendrá las respuestas listas.
En la práctica: así se ve
Muchos proveedores publican las respuestas a estas preguntas en una página de seguridad. En el entorno de ejemplo de WebOké, el manual de Nextcloud describe, por ejemplo, qué regula el proveedor y qué hace el propio usuario: dónde están los datos, el cifrado en tránsito y en los discos, la verificación en dos pasos obligatoria, las actualizaciones y copias de seguridad, y que para uso profesional con datos personales se firma un contrato de encargo de tratamiento. Esa estructura (qué regula el proveedor, qué hago yo mismo) es exactamente lo que debe buscar en cada proveedor. En otros proveedores suele estar en un centro de confianza, una página de seguridad o las condiciones; si no aparece, pregúntelo.
Resumen
- Dibuje sus proveedores y pregúntese por cada línea: ¿qué pasa si desaparece, qué pasa si sufre una filtración?
- Responsabilidad compartida: el proveedor gestiona la infraestructura, usted sus datos, cuentas y configuración.
- Si un proveedor trata datos personales para usted, es un encargado del tratamiento y debe firmar un contrato de encargo de tratamiento según el artículo 28 del RGPD.
- Use un cuestionario fijo: ubicación, acceso, copia de seguridad, cifrado, filtración de datos, subencargados, certificación, salida.
- Un certificado dice algo, pero compruebe su ámbito de aplicación; organice su salida antes de necesitarla.
Cuestionario
Ejercicio
Ejercicio D7.2: Su inventario de proveedores. Elabore una tabla con sus cinco proveedores y servicios en la nube más importantes. Indique, para cada proveedor, qué datos contiene, si hay datos personales, si existe un contrato de encargo de tratamiento, y busque las respuestas al cuestionario de esta lección (ubicación, verificación en dos pasos, copia de seguridad, filtración de datos, subencargados, certificación, salida). Intente realizar realmente una exportación en al menos un servicio.
Ejercicio D7.2: Su inventario de proveedores
Así puede abordarlo: (1) Dibuje su empresa en el centro con líneas hacia cada parte que guarde datos suyos o tenga acceso a sus sistemas. (2) Elija los cinco más importantes y elabore una tabla con: servicio, qué datos, datos personales (sí/no), contrato de encargado de tratamiento (sí/no/no necesario), responsable por su parte, y las respuestas al cuestionario de la lección 7.2: ubicación de los datos y copias de seguridad, obligar la verificación en dos pasos (2FA), copia de seguridad y restauración propia, cifrado, rapidez de notificación ante una filtración de datos, subencargados, certificación con su alcance, exportación y qué ocurre tras la cancelación. (3) Busque primero las respuestas en la documentación, la página de seguridad o las condiciones del proveedor. Anote la fuente. Si no aparece, haga la pregunta al proveedor y anote la respuesta. (4) Compruebe con cada proveedor que trate datos personales por usted si existe un contrato de encargado de tratamiento, y si debe aceptarse o firmarse. (5) Realice realmente una exportación de sus datos con al menos un servicio y compruebe si puede abrirla. (6) Escriba en tres frases, para el servicio más importante, su plan de salida: adónde iría, cómo se llevaría sus datos, cuánto tiempo necesitaría para ello.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; en otros proveedores funciona de forma similar o diferente.
- Manual de Nextcloud 3.1: ¿Cómo protege WebOké su Nextcloud?
- Manual de Nextcloud 15.13: Preguntas frecuentes sobre seguridad y privacidad
- RGPD (Reglamento (UE) 2016/679), artículo 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (en inglés): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility