PDF de programación - Guia para empresas: seguridad y privacidad del cloud computing

Guía para empresas:
seguridad y privacidad del cloud computing

OBSERVATORIO DE LA SEGURIDAD DE LA INFORMACIÓN



Edición: Octubre 2011

La “Guía para empresas: seguridad y privacidad del cloud computing” ha sido elaborada
por el equipo del Observatorio de la Seguridad de la Información de INTECO:

Pablo Pérez San-José (dirección)





Cristina Gutiérrez Borge (coordinación)





Susana de la Fuente Rodríguez





Laura García Pérez





Eduardo Álvarez Alonso


La presente publicación pertenece al Instituto Nacional de Tecnologías de la Comunicación (INTECO) y
está bajo una licencia Reconocimiento-No comercial 3.0 España de Creative Commons, y por ello esta permi-
tido copiar, distribuir y comunicar públicamente esta obra bajo las condiciones siguientes:

• Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros,
citando su procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web: www.
inteco.es. Dicho reconocimiento no podrá en ningún caso sugerir que INTECO presta apoyo a dicho
tercero o apoya el uso que hace de su obra.

• Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y

exhibidos mientras su uso no tenga fines comerciales.

Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de
estas condiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de
autor. Nada en esta licencia menoscaba o restringe los derechos morales de INTECO. http://creativecommons.
org/licenses/by-nc/3.0/es/

El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document
Format). Se trata de un documento estructurado y etiquetado, provisto de alternativas a todo elemento no
textual, marcado de idioma y orden de lectura adecuado.

Para ampliar información sobre la construcción de documentos PDF accesibles puede consultar la guía dispo-
nible en la sección Accesibilidad > Formación > Manuales y Guías de la página http://www.inteco.es

�
�
�
�
El Instituto Nacional de Tecnologías de la Comunicación (INTECO) (http://www.inteco.e
sociedad estatal adscrita al Ministerio de Industria, Turismo y Comercio a través de la Secreta
de Estado de Telecomunicaciones y para la Sociedad de la Información, es una plataforma p
el desarrollo de la Sociedad del Conocimiento a través de proyectos del ámbito de la inno
ción y la tecnología. La misión de INTECO es aportar valor e innovación a los ciudadanos
las pymes, a las Administraciones Públicas y al sector de las tecnologías de la información
través del desarrollo de proyectos que contribuyan a reforzar la confianza en los servicios de
Sociedad de la Información en nuestro país, promoviendo además una línea de participaci
internacional. Para ello, INTECO desarrollará actuaciones en las siguientes líneas: Segurid
Accesibilidad, Calidad TIC y Formación.

s),
ría
ara
va-
, a
, a
la
ón
ad,

El Observatorio de la Seguridad de la Información (http://observatorio.inteco.es) se inse
dentro de la línea estratégica de actuación de INTECO en materia de Seguridad Tecnológi
siendo un referente nacional e internacional al servicio de los ciudadanos, empresas, y ad
nistraciones españolas para describir, analizar, asesorar y difundir la cultura de la seguridad y
confianza de la Sociedad de la Información.

rta
ca,
mi-
la

INTECO quiere agradecer la colaboración de la Asociación Profesional Española de Priv
cidad (APEP) (http://www.apep.es) en la elaboración de esta guía, en especial a su preside
Ricard Martínez por su aportación personal:

a-
nte

Índice

1.

Introducción al cloud computing

�

2. Características principales del cloud computing



3. Marco legal



4. Riesgos del cloud computing



5. Seguridad en la nube



6. Privacidad en la nube

7. Pasos para entrar en la nube

5

13


�

17


�

29


�

33


�

40


�

47


�

4

1. Introducción al cloud computing






























En los últimos años las organizaciones asisten con expectación al
surgimiento y desarrollo del cloud computing o paradigma de com-
putación en la nube (también llamada “la nube”), según el cual, todos
los recursos de información pueden ser almacenados en servidores
de terceros y accesibles a través de Internet. Los proveedores dis-
ponen de centros de proceso de datos para dar servicio a múltiples
usuarios. A cambio, los clientes reciben un soporte flexible a las ne-

cesidades y particularidades de su actividad en cada momento.































































































































Este modelo ofrece grandes posibilidades para empresas y entidades, tan-
to en términos de inversión como en economías de escala, deslocalización,
acceso a la información desde cualquier lugar, etc. Si bien no existen datos
concluyentes de la adopción de la nube en España, se identifican una serie de
factores1 que pueden propiciar su extensión en los sectores público y privado:
desarrollo del sector TIC, tejido empresarial dominado por la PYME, disposi-
ción geográfica de la población y potencial del sector público, entre otros.











































































































El presente documento ofrece una aproximación al
modelo cloud computing para todo tipo de organi-
zaciones, deteniéndose en las principales implica-
ciones en cuanto a seguridad y privacidad, claves
para asegurar el éxito en la utilización de servicios
en la nube.

A lo largo de la presente guía, el lector encontrará las denominaciones enti-
dad, empresa, organización, cliente, contratista, o usuario en función del pa-
pel que tome en la situación concreta que se esté tratando en cada apartado.

1 Fundación para la Innovación Bankinter (2010). Cloud Computing. La tercera ola de las Tecnologías de la

Información.

Introducción al cloud computing

5

Guía para empresas: seguridad y privacidad del cloud computing

1.1. CLOUD COMPUTING COMO EVOLUCIÓN DE TECNOLOGÍAS



Cloud computing, o informática “en la nube”, es una propuesta tecnológica o
modelo que permite ofrecer servicios informáticos a través de Internet en el
que los recursos, el software y los datos se ofrecen bajo demanda. El objeti-
vo de este nuevo modelo es que la empresa o el usuario final no tengan que
preocuparse por los detalles técnicos y puedan utilizar cualquier aplicación
con su navegador web.

Cloud computing es la suma de la evolución de varias tecnologías:

•

� Aumento de la capacidad de procesamiento. Desde el origen de
la informática, la capacidad de cómputo de los ordenadores perso-
nales se ha ido incrementando de forma vertiginosa.

� Conexión a Internet. La Red se ha convertido en una herramienta
•
casi indispensable en la vida cotidiana de las personas. Su evolución
implica aumento en la velocidad de conexión y en el número de co-
nexiones en los hogares y en el trabajo.

•
� Dispositivos móviles. La miniaturización de los componentes infor-
máticos ha permitido la aparición de dispositivos móviles que permiten
la conexión permanentemente a Internet. Hoy en día, en un negocio
es necesario poderse conectar con los recursos de la empresa, tanto
desde ordenadores fijos como desde dispositivos portátiles, convir-
tiéndose la ubicuidad y movilidad en requisitos de gran importancia.

En cuanto a la historia de la computación en la nube, destacan los siguien-
tes eventos:

•

� En 1961, John McCarthy sugirió que los avances en la informática y
las comunicaciones conducirían a que “algún día la computación se

6

Introducción al cloud computing

organizaría como un servicio público” (utility), igual que el modelo de
negocio del agua o la electricidad.

•

A finales de los años 90, los técnicos de Amazon se dieron cuenta que
tenían una gran infraestructura informática pero que apenas utilizaban el
10-15% de su capacidad. Vieron las posibilidades de ofrecer estos ser-
vicios a usuarios y en 2006 presentaron los Servicios Web de Amazon2.

•

� Durante los años 2007 y 2008, grandes empresas como Google o
IBM se unieron a universidades norteamericanas para iniciar una in-
vestigación a gran escala sobre el cloud computing. Como resultado
de esta investigación, enero de 2009 apareció Eucalyptus, una pla-
taforma de código abierto que permitía la creación de sistemas en la
nube compatibles con los servicios web de Amazon2.

En conclusión, los avances en los tres campos mencionados anteriormente
(capacidad de procesamiento, conexión a Internet y dispositivos móviles)
junto a las importantes inversiones realizadas por las grandes empresas que
dominan el panorama tecnológico mundial han propiciado la rápida evolu-
ción e implantación del cloud computing. Hasta tal punto que muchos usua-
rios ya disfrutan los servicios en la nube sin darse cuenta.

1.2.

� EL LUGAR DEL CLOUD COMPUTING EN EL


DESARROLLO INFORMÁTICO

La evolución de la informática en los últimos años se puede simplificar en los
siguientes hitos:

•

� Mainframes. A principios de los años 60, los ordenadores eran dis-
positivos muy caros, difíciles de mantener y de utilizar. Las empresas

2 En inglés, Amazon Web Services (AWS) http://aws.amazon.com/

Introducción al cloud computing

7

�
Guía para empresas: seguridad y privacidad del cloud computing

tenían grandes ordenadores, conocidos como mainframes, para ha-
cer las tareas más críticas y complicadas. Generalmente, estos no
estaban conectados a la Red y se utilizaban para manejar