¿Están nuestros datos seguros en la nube?

Cuentan que en los tiempos de Luis XIV, rey de Francia (y Navarra) no estaba precisamente de moda la higiene personal, y no ya en el pueblo plebeyo, sino que la suciedad era una característica atribuible también a la nobleza. Si aceptamos esta aproximación al siglo XVII, se me antoja paradójico que a Luis XIV se le conociera como el Rey Sol.

Parece ser que, en semejante medioambiente, las pelucas de época que dictaba la moda del siglo no eran sino guaridas para legiones de insectos y parásitos: un verdadero ecosistema para el piojo. Se estilaban unas manitas de madera o marfil de largo mango -todavía se pueden encontrar en algunos comercios- que se utilizaban para rascarse lo más discretamente posible el cuero cabelludo por debajo de la peluca, sin tener que desprenderse de ella.

 Esto me recordaba a mí la situación en que -si nos descuidamos- se pueden encontrar nuestros datos en la nube, al menos en servicios de infraestructura de cloud computing tales como los de almacenamiento remoto de los datos. Esta afirmación -pienso- exige una explicación.

Hace poco saltaba a la prensa especializada un estudio de Kroll Ontrack sobre empresas que habían sufrido algún tipo de pérdida de datos en 2011. Los resultados del estudio me parecieron espectaculares porque afirmaban que el 49% de las empresas habían perdido datos durante el año. ¿En qué entorno residían los datos perdidos por estas empresas? El 55% almacenaba los datos perdidos en local (en un entorno físico local), el 26% los tenía alojados en un entorno local pero virtual, el 3% tenía los datos en la nube y un 16% mantenía datos en estos dos últimos entornos.

La conclusión es obvia: los datos que residen en entornos virtualizados o en la nube también se pueden perder. Esto puede confundir a los administradores de sistemas quienes frecuentemente contratan servicios en la nube para "garantizar" la seguridad de los datos, ya que aunque siempre y desde cualquier lugar pueden estar disponibles. Un segundo objetivo es alejar los datos de la acción de los usuarios que los manejan, que son los principales agentes de riesgo para esas informaciones.

¿Ponemos un ejemplo? ¿Quién no ha perdido datos alojados en Dropbox al compartir ficheros con otras personas que por descuido han borrado los ficheros compartidos? Estos ficheros compartidos disponen de menor seguridad que los alojados en un entorno de servidor tradicional con un buen sistema de permisos. Claro que, entonces, perderíamos las ventajas de la nube relativas a la deslocalización de los recursos.

Este no es el único problema. Vamos a suponer un sistema de almacenamiento en la nube que los empleados de cierta empresa utilizan a título individual. Esa empresa, que es cuidadosa con sus datos, ha registrado en la Agencia Española de Protección de Datos aquellos ficheros de datos que la ley le obliga. Los empleados trabajan con esos datos de acuerdo con los procesos previstos para que se preserve la información personal alojada en las bases de datos. Pero hay empleados que en su afán de mejorar su producción se llevan trabajo a casa. En su hogar no tienen acceso a la base de datos de trabajo y la empresa, por prudencia, impide que los trabajadores intercambien información desde sus equipos mediante medios extraíbles: así no se intercambian virus ni se producen fugas de información, piensa el administrador.
Esto no es un problema para el empleado productivo, sube los datos de trabajo a la nube y  los tendrá permanentemente accesibles desde el equipo de su casa: en esto consiste la nube. Además la información ha viajado a la nube utilizando protocolos de transporte cifrados como HTTPS. El empleado no ha violado ninguna norma explícita de la empresa. Es más, piensa que está haciendo bien las cosas, ha tomado medidas de seguridad. Pero puede estar incumpliendo la ley. Este trabajador, comparte una carpeta en la nube con alguna otra persona, carpeta que, además de las fotos realizadas el fin de semana anterior, contiene también el fichero de su empresa protegido por la ley: ha producido una fuga de datos sobre un fichero cuyo acceso debería estar restringido y auditado. A partir de aquí comenzará el calvario de denuncias, auditorias, pruebas periciales y sanciones.

Quizás el administrador conozca este riesgo, pero el número de vías de agua que puede haber en una organización es tan elevado que no tiene más remedio que asumir una gran cantidad de riesgos. ¿Qué va a hacer? ¿Dejará a sus empleados sin Internet? Es posible que, aunque quisiera, no pudiera porque casi seguro que esos trabajadores necesitan Internet como medio de su trabajo.
Si se le pregunta al administrador, afirmará en sagrado que su red es segura. Pero todos sabemos que no. Si hay algo difícil en la administración de la seguridad es gestionar un plan de defensa en profundidad. El administrador se ha puesto la peluca -como Luis XIV-, pero debajo de ella alberga una colección de parásitos y riesgos que, posiblemente no ha querido, sabido o podido gestionar. Frecuentemente atenazado por el miedo a delatar sus deficiencias, a asumir sus responsabilidades en la implantación de una política de seguridad o a enfrentarse al nivel gerencial para gestionar un presupuesto en seguridad, quien habitualmente  no entenderá el porqué de estos riesgos. Las épocas de crisis acentúan estas situaciones.

No puedo ocultar que me mueve a compasión la situación de multitud de administradores que se rascan con la manita de marfil por debajo de la peluca con mucho cuidado para que no se note y no se les mueva.

Por cierto, si queréis pasar un buen rato, leeros el informe de Kroll Ontrack sobre los diez mayores desastres de pérdida de datos de 2012. 

____________________

Alfredo Abad Domingo.
Twitter: @AlphesTIC,  https://twitter.com/AlphesTIC 
Facebook: https://www.facebook.com/alfabad 

Linkedin: https://www.linkedin.com/in/alfabad