PDF de programación - GUÍA para clientes que contraten servicios de Cloud Computing

GUÍA

para

clientes que
contraten servicios

de



Cloud

Computing

GUÍA
para clientes que
contraten servicios
Cloud

de



Computing

© AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS-2013

índice

5

¿QUÉ ES ‘CLOUD COMPUTING’?

6

ACTORES EN EL MODELO DE ‘CLOUD COMPUTING’

6
  7 
  7 
  7 

TIPOS DE ‘CLOUD COMPUTING’

NubE PúbLICA
NubE PRIvADA
OTROS mODELOS

7 MODALIDADES DE SERVICIO
  8 
  8 
  8 

SOfTwARE COmO SERvICIO
INfRAESTRuCTuRA COmO SERvICIO
PLATAfORmA COmO SERvICIO

8

PORTABILIDAD DE LA INFORMACIÓN

9
  9 
  9 
 10 

10

11
 11 
 11 

12
 12 
 12 

13
 13 

 13 

 14 
 14 
 15 

LOCALIZACIÓN DEL PROCESO Y DE LOS DATOS

SubCONTRATACIÓN
LOCALIzACIÓN
TRANSPARENCIA

LAS GARANTÍAS CONTRACTUALES

RIESGOS DE LA COMPUTACIÓN EN ‘NUBE’

fALTA DE TRANSPARENCIA
fALTA DE CONTROL

UNA ESTRATEGIA PARA EL CLIENTE DE SERVICIOS DE COMPUTACIÓN EN ‘NUBE’

EvALuAR LOS TRATAmIENTOS y EL NIvEL DE PROTECCIÓN DE DATOS
vERIfICAR LAS CONDICIONES EN quE SE PRESTA EL SERvICIO

LO QUE DEBO CONOCER PARA LA CONTRATACIÓN DE SERVICIOS DE ‘CLOUD COMPUTING’

1.-   ¿qué debo analizar y tener en cuenta antes de contratar servicios de ‘cloud 

computing’?

2.-   Desde la perspectiva de la normativa de protección de datos, ¿cuál es mi papel 

como cliente de un servicio de ‘cloud’?

3.-  ¿Cuál es la legislación aplicable?
4.-  ¿Cuáles son mis obligaciones como cliente?
5.-  ¿Dónde pueden estar ubicados los datos personales? ¿Es relevante su ubicación?

 15 

 16 
 16 

 17 
 17 

 18 

 18 

18
 18 
 19 
 20 
 22 

22

6.-   ¿qué garantías  se consideran adecuadas para las transferencias internacionales de 

datos?

7.-  ¿qué medidas de seguridad son exigibles?
8.-   ¿Cómo puedo garantizar o asegurarme de que se cumplen las medidas de 

seguridad?

9.-  ¿qué compromisos de confidencialidad de los datos personales debo exigir?
10.-   ¿Cómo garantizo que puedo recuperar los datos personales de los que soy 

responsable (portabilidad)?

11.-   ¿Cómo puedo asegurarme de que el proveedor de ‘cloud’ no conserva los datos 

personales si se extingue el contrato?

12.-   ¿Cómo puedo garantizar el ejercicio de los derechos de acceso, rectificación, 

cancelación y oposición (derechos ARCO)?

EL ‘CLOUD COMPUTING’ EN LAS ADMINISTRACIONES PÚBLICAS

¿qué singularidades presenta el ‘cloud computing’ en las Administraciones Públicas?
¿qué aspectos deben tenerse en cuenta al contratar servicios de ‘cloud computing’?
¿qué elementos de la seguridad cobran especial relevancia en un entorno ‘cloud’?
¿qué requisitos son exigibles en materia de portabilidad e interoperabilidad?

GLOSARIO



GuÍA PARA CLIENTES 
quE CONTRATEN SERvICIOS DE ‘CLOuD COmPuTING’

¿quÉ ES ‘CLOuD COmPuTING’?

El cloud computing o computación en nube es una nueva forma de prestación de los servicios de
tratamiento de la información, válida tanto para una empresa como para un particular y, también,
para la Administración Pública.
Una solución cloud computing permite al usuario optimizar la asignación y el coste de los recur-
sos asociados a sus necesidades de tratamiento de información. El usuario no tiene necesidad de
realizar inversiones en infraestructura sino que utiliza la que pone a su disposición el prestador del
servicio, garantizando que no se generan situaciones de falta o exceso de recursos, así como el
sobrecoste asociado a dichas situaciones.
En un entorno de cloud computing la gestión de la información está de forma virtual en manos
del cliente que contrata los servicios de la nube, que la trata a través de Internet accediendo a
soluciones de bases de datos, correo electrónico, nóminas o gestión de recursos humanos de
acuerdo a sus necesidades. En función del modelo utilizado, los datos pueden no estar realmente
en manos del contratista, toda vez que la propiedad, el mantenimiento y gestión del soporte físico
de la información, los procesos y las comunicaciones pueden encontrarse en manos de terceros.
El proveedor del servicio puede encontrarse en, prácticamente, cualquier lugar del mundo y su
objetivo último será proporcionar los servicios citados optimizando sus propios recursos a través
de, por ejemplo, prácticas de deslocalización, compartición de recursos y movilidad o realizando
subcontrataciones adicionales.

5

De esta forma, el cloud computing representa una nueva forma de utilizar las tecnologías de la
información y las comunicaciones, que se basa en emplear técnicas ya existentes de una forma
innovadora y, sobre todo, a una nueva escala. Esto último es lo que la hace realmente distinta, ya
que permite el uso de recursos de hardware, software, almacenamiento, servicios y comunicacio-
nes que se encuentran distribuidos geográficamente y a los que se accede a través de redes públi-
cas, de forma dinámica, cuando se necesita, mientras se necesita y abonando una tarifa (cuando
no es gratuita) sobre lo que se consume; es decir, proporcionando a sus clientes un servicio de
tecnologías de información bajo demanda.
Como consecuencia de lo anterior, el mismo contratista puede desconocer la localización preci-
sa de sus datos y no disponer del control directo de acceso a los mismos, de su borrado y de su
portabilidad, ya que la información no está físicamente en su poder aunque, si esa información
contiene datos de carácter personal, sí está bajo su responsabilidad desde el punto de vista de la
Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD).

ACTORES EN EL mODELO DE ‘CLOuD COmPuTING’

Podemos decir que se están utilizando servicios de cloud computing cuando encontramos em-
presas, entidades, departamentos, etc., a los que llamaremos usuarios o clientes, que para imple-
mentar sus procesos de tratamiento de información comparten los mismos recursos a través de
la red; recursos proporcionados por una entidad distinta, llamada proveedor de servicios de cloud
computing o proveedor de la nube.
Aparte de clientes y proveedores, existen otros actores en el mundo del cloud computing. Entre ellos
destacan los socios o partners de los proveedores de cloud. Estos crean, ofrecen y soportan servicios
adicionales en la nube que venden al usuario final como licencias de uso, por ejemplo, creando una
aplicación de marketing que se ejecuta en la nube a partir de servicios más básicos de la misma. Los
partners se sitúan entre el cliente y el proveedor de la nube, pudiendo formalizar su relación con este
último con distintas figuras contractuales (reseller, vendedor independiente, etc).

TIPOS DE ‘CLOuD COmPuTING’

No todos los servicios y proveedores de cloud computing son iguales, ni lo son las posibles rela-
ciones que se establecen entre clientes y proveedores. Las nubes se pueden clasificar de muchas
formas atendiendo a varios criterios y lo que más interesa, desde el punto de vista de la normativa

6

española de protección de datos, es cómo afectan dichas modalidades de implementación al tra-
tamiento de datos de carácter personal.

NUBE PÚBLICA
Hablamos de un servicio de Nube Pública cuando el proveedor de servicios de cloud proporciona
sus recursos de forma abierta a entidades heterogéneas, sin más relación entre sí que haber ce-
rrado un contrato con el mismo proveedor de servicio. Existen diversas y numerosas soluciones en
Nube Pública y prestan sus servicios desde particulares a grandes corporaciones, ya que cualquiera
puede contratar con ellos.

NUBE PRIVADA
En el otro extremo podemos hablar de Nube Privada, que la encontramos cuando una entidad
realiza la gestión y administración de sus servicios en la nube para las partes que la forman, sin
que en la misma puedan participar entidades externas y manteniendo el control sobre ella. Una
Nube Privada no necesariamente se implementa por la misma entidad que la utiliza, sino que
puede contratarse a un tercero que actuará bajo su supervisión y en función de sus necesidades.
Las entidades que optan por las Nubes Privadas son aquellas que son complejas y necesitan cen-
tralizar los recursos informáticos y, a la vez, ofrecer flexibilidad en la disponibilidad de los mismos,
por ejemplo, administraciones públicas y grandes corporaciones, aunque hay ejemplos de Nubes
Privadas implementadas en entidades de enseñanza.

OTROS MODELOS
Entre ambos modelos se encuentran soluciones intermedias que tomarán distintos nombres, como
pueden ser las Nubes Híbridas, en las que determinados servicios se ofrecen de forma pública y
otros de forma privada; las Nubes Comunitarias, cuando dichos servicios son compartidos en una
comunidad cerrada; o las Nubes Privadas Virtuales, cuando sobre Nubes Públicas se implementan
garantías adicionales de seguridad.

mODALIDADES DE SERvICIO

Los proveedores de la nube proporcionan acceso a recursos informáticos a través de la red, y ofre-
cen una serie de servicios adicionales de valor añadido que acercarán la oferta del proveedor a las
necesidades de su cliente. En función de lo completo que sea ese valor añadido podemos decir
que tenemos una solución de Infraestructura como Servicio, Plataforma como Servicio o Software

7

como Servicio. Esta división no puede considerarse rígida, ya que hay proveedores que proporcio-
nan soluciones mixtas en las que se combinan características de todas ellas.

SOFTwARE COMO SERVICIO
Podemos hablar de una Nube de Software (modelo de servicio Software as a Service o SaaS),
cuando el usuario encuentra en la nube las herramientas finales con las que puede implementar
directamente los procesos de su empresa: una aplicación de contabilidad, de correo electrónico,
un worlkflow, un programa para la gestión documental de su empresa, etc.

INFRAESTRUCTURA COMO SERVICIO
Si el valor añadido es nulo, se puede hablar de una Nube de infraestructura (IaaS). En ese caso
el proveedor proporcion