El Instituto Nacional de Tecnologías de la Comunicación (INTECO) publica el “Estudio sobre el cloud computing en el sector público en España” con el objetivo de identificar y analizar el posicionamiento de las administraciones y empresas públicas españolas respecto a la implantación, posibilidades y riesgos de seguridad que ofrece la adopción de modelos de prestación de servicios de negocio y tecnología basados en cloud computing.
La nube es una oportunidad para las AAPP tanto como prestatarias como prestadoras de los servicios cloud.
En un modelo cloud, las organizaciones pueden pasar de la gestión tecnológica tradicional (con cuantiosas inversiones en recursos, incluyendo hardware, software, centros de procesamiento de datos, redes, personal, seguridad, etc.), al nuevo modelo de gestión en la nube, donde se elimina la necesidad de grandes inversiones y costes fijos y se transforma a los proveedores en instrumentos que ponen al alcance de los usuarios, de forma flexible e instantánea, la capacidad de computación bajo demanda.
Actualmente el cloud computing resulta muy atractivo para el desarrollo de políticas públicas estratégicas que exigen alta demanda de recursos tecnológicos en un contexto económico restrictivo, como el actual. De hecho, la Agenda Digital Europea considera el desarrollo del cloud como un elemento estratégico para la modernización y mejora del AAPP.
Las oportunidades que se abren a las entidades del sector público, según el estudio, son:
- El ahorro y optimización de costes tecnológicos
- La flexibilidad en el dimensionamiento de recursos
- La reutilización de servicios tecnológicos
- Las posibilidades de estandarización tecnológica e interoperabilidad
La nube ha llegado a las AAPP para quedarse, y va a seguir creciendo:
Uno de cada tres organismos y empresas públicas ya son usuarias de algún servicio TIC en modo cloud computing.
Las entidades locales (EELL) son las más activas en la incorporación de soluciones en formato cloud computing debido dos motivos fundamentalmente: i) su menor capacidad financiera y de recursos les obliga a buscar soluciones de ahorro, ii) en los últimos años se han desarrollado soluciones y aplicaciones en modo cloud para organismos municipales por parte de otras Administraciones de mayor escala o de la propia industria TIC española a través de programas como Avanza Local.
Un porcentaje importante de entidades del sector público buscan como proveedor de servicios de cloud computing a otro organismo perteneciente a la Administración, ya sea de ámbito local (41,6%), autonómico (34%) o estatal (19%).
Tanto el ahorro económico, declarado por el 68,4% de las administraciones, como el ahorro de tiempo en la gestión de los recursos tecnológicos, con un 69,5%, encabezan la lista de motivaciones que influyen para la contratación de un servicio cloud computing. Estos resultados pueden constituir un indicio de que la actual situación económica y la necesidad de optimizar los presupuestos públicos suponen un imperativo para el conjunto del sector público.
Como toda tecnología, el cloud computing no está exento de riesgos. Tanto riesgos de seguridad como para la privacidad de la información. A este respecto, la principal preocupación que señalan las AAPP respecto al cloud computing es con un 55,2% la seguridad y confidencialidad de los datos. Le siguen la pérdida de control de procesos (26,5%) o la dependencia del proveedor (20,8%)
¿Cómo afrontan las AAPP la gestión de riesgos en la nube?
El 41,7% de las administraciones españolas sí realiza un análisis de riesgos previo a la implantación del servicio cloud computing, bien de forma interna (29,9%), bien con el soporte de un proveedor externo (11,8%)
En los casos en que las administraciones optan por realizar un análisis previo, los análisis se centran sobre todo en los riesgos relativos a la integridad de la información (70%) Con menor número de menciones, los riesgos de privacidad (52%) o los riesgos de continuidad de negocio (35%).
Cabe destacar que 2 de cada 3 organismos y empresas públicas españolas tienen en cuenta consideraciones de cumplimiento normativo antes de contratar cloud, especialmente la LOPD (en el 94,4% de los casos)
Para una adecuada gestión de estos riesgos, es necesario definir un marco de confianza a aplicar por parte de las AAPP que apuesten por modelos de cloud:
- Exigir el cumplimiento normativo: tratamiento de ficheros, cesión de ficheros a terceros, derechos del ciudadano, transferencia internacional de datos, procedimientos y estándares de seguridad a aplicar, cumplimiento de estándares tecnológicos en los servicios para garantizar la interoperabilidad de la información pública, etc.).
- Establecer contratos garantistas con los proveedores de servicio: (sobre todo en proveedores internacionales), cuyas cláusulas requerimientos claros de nivel de servicio, auditoría, evaluación, penalización y control.
- Exigir al proveedor y exigirse a la propia administración el cumplimiento de procedimientos y estándares certificables y/o auditables de solvencia técnica en la gestión de servicios y de información.
- Adaptar sus instrumentos de gestión del riesgo y continuidad de negocio al nuevo mapa de riesgos de los servicios llevados a la nube.
