Cloud Computing: el problema no es técnico, es regulatorio

¡Este año la nube está de moda! No hay un solo evento técnico en el que no aparezca de alguna forma la nube y pese a que la gran mayoría están de acuerdo en que es económicamente muy ventajosa son pocos los que se atreven a adentrase en ella. La mayor parte de los que no dan el primer paso alegan problemas de seguridad.

¿Problemas de seguridad? ¿Dónde? Cloud Computing utiliza exactamente los mismos mecanismos de cifrado de información que se usan en cualquier servicio de venta online, en las webs de banca, de seguros, en la administración electrónica,...

Decir que Cloud no garantiza la confidencialidad en las comunicaciones sería lo mismo que negar el comercio electrónico en sentido amplio.

Entonces, si los problemas no son de transmisión de la información deben ser los mecanismos de almacenamiento, copias de seguridad, etc. ¿Seguro?

La mayor parte de las veces los proveedores de Cloud utilizan las mismas tecnologías de almacenamiento y salvaguarda de la información que las que usaban antes sus clientes. Y con una ventaja porque las economías de escala les permiten duplicar o triplicar la información en diferentes puntos. Pueden permitirse tener CPDs por todo el mundo aislándose de esa forma de cualquier tipo de imprevisto, incluso de catástrofes naturales.

Entonces, ¿qué problemas técnicos tiene el Cloud? Probablemente ninguno porque a fin de cuentas el cloud no es nada nuevo y sus problemas no son de seguridad, son de confianza.

Es una cuestión de confianza

La séptima enseñanza sobre TI que nos proporciona el escándalo de Wikileaks es que los proveedores de Cloud no son ni mucho menos neutrales. Amazon, el mayor proveedor de Cloud, no tuvo absolutamente ningún rubor para expulsar a Wikileaks alegando que los ataques de DDOS que estaba sufriendo este sitio ponían en riesgo al resto de sus clientes.

Una burda justificación teniendo en cuenta que Amazon tiene capacidad más que de sobra para soportar un ataque como ese y mucho más. Los problemas eran éticos por un lado, comerciales por otro (un porcentaje significativo de sus clientes son norteamericanos) y sobre todo políticos (la presión gubernamental debió ser importante).

Wikileaks descubrió en sus carnes la letra pequeña del contrato de Cloud con Amazon porque para incredulidad del mercado resulta que esa posibilidad, la de expulsar a un cliente sin previo aviso y por causas discrecionales del proveedor, estaba ya contemplada en el acuerdo general que Amazon establece con sus clientes.

Pero no acaba ahí la cosa. Hace unas semanas se sabía que el Gobierno de los Estados Unidos había requerido a Twitter la entrega de toda la información personal de la que dispusiese (nombre, dirección, teléfono, fotos, tweets, quienes son sus contactos,...) de todas las cuentas relacionadas con Wikileaks. Según parece, la misma solicitud habría sido enviada a otras redes como Facebook (con más de un millón y medio de amigos de Wikileaks) o buscadores como Google o Bing. Es decir, se solicita y recaba información sobre personas que no están inmersas en ningún procedimiento judicial y que en gran parte no están sujetas a la legislación de quien las solicita lo que añade un puntito de complejidad legal a todo esto.

Con ello se hace especialmente evidente que en los servicios que operan en exclusiva en la nube la privacidad de la información es más que discutible. Y lo peor, no podemos negarnos a dar la información o incluso no acatar el requerimiento judicial por la sencilla razón de que no la tenemos nosotros, la tiene el proveedor de la nube en algún punto around the world.

Está bien, ambos casos están relacionados con un asunto que algunos sienten como un problema de seguridad nacional. Pero para demostrarnos a todos que no es solo en esos casos, hace unos días la Agencia Nacional de Gestión de la Propiedad Intelectual ha clausurado la web rojadirecta.org por realizar retransmisiones deportivas por la web sin disponer de los pertinentes derechos. Entre los partidos retransmitidos había algunos de la NBA o de la NFL.

Esta agencia gubernamental no ha tenido ningún miramiento para obligar a la ICANN (organismo que regula Internet y teóricamente imparcial) a modificar los registros DNS de este dominio que, y es muy importante tenerlo en cuenta, no residía en Estados Unidos, no es ilegal en el país en el que opera y no ha tenido ningún requerimiento judicial previo.

Es decir, en este caso la intervención de Internet se produce para defender los, por otra parte legítimos, derechos comerciales de empresas norteamericanas. No se trata de un asunto de fuerza mayor ni de defensa nacional. Es simplemente una actuación para proteger derechos comerciales.

Ergo...

En ese escenario, ¿de verdad se puede confiar y subir datos sensibles a la nube? Tal vez no haya mayor problema si se trata de una empresa pequeña o mediana que no compita en mercados globales y con competidores también globales. Pero si hablamos de grandes corporaciones y aún más de instituciones públicas habrá que tener muy en cuenta el nivel de confianza que se puede esperar de la computación en la nube. Los precedentes de gestión de la disponibilidad y sobre todo privacidad no son precisamente para echar cohetes.

Algunas instituciones públicas plantean la solución al problema mediante la creación de nubes privadas. Sin embargo, salvo que la empresa o administración en cuestión tenga una masa crítica suficiente (y suficiente quiere decir suficiente) crear una cloud privada es hacer cambios para que nada cambie. Invertirá una enorme cantidad de dinero para crear su nube y la mayor ventaja del cloud, la reducción del gasto corriente, no variará absolutamente nada.

Aún con todo hay escenarios donde cloud tiene un encaje perfecto. Aquellos donde se exige grandes capacidades de computación, en periodos de tiempo no constantes y manejando datos no sensibles. Un caso de éxito puede ser Telecinco con la retransmisión del mundial de fútbol por Internet. Para el resto la prudencia obliga a esperar a un mejor clima y sobre todo a que exista una verdadera regulación legal sobre la información independientemente del país donde se ubiquen los servidores.

Por cierto, hace unos meses asistí a una genial presentación en la que el speaker, un miembro del Ejército del Aire, aseguró que él había estado en las nubes y podía certificar de forma concluyente que por más que insistamos, allí no había nada. Su mayor preocupación era donde enchufar los racks asumiendo que alguien encontrase algún mecanismo para sujetarlos. Visto lo visto, parece que antes de poner los enchufes ya hemos puesto algún que otro satélite espía. ;-)

www.tonsofit.com