El uso de la nube o de servicios de cloud computing por parte de las empresas, puede implicar en muchos casos el uso de datos personales en la nube, ya sea para su almacenamiento o para su gestión. Por lo tanto, se produce un tratamiento de datos que necesariamente implica cumplir con las obligaciones de la normativa de protección de datos. En este artículo hablaremos de la protección de datos en la nube y lo que significa para las empresas.
Contenido del artículo
¿Qué es la protección de datos en la nube?
La protección de datos en la nube es la adopción, tanto por parte del responsable del tratamiento como del proveedor de servicios en la nube contratado, de las medidas de seguridad técnicas y organizativas que garanticen la confidencialidad, integridad y disponibilidad de los datos en la nube.
Es decir, cuando hablamos de protección de datos en la nube, no estamos hablando de la protección de datos como servicio (DPaaS), sino de cuando una empresa (responsable del tratamiento) contrata uno o varios servicios en la nube para empresas o de cloud computing, de los que se deriva un tratamiento de datos personales (como puede ser, por ejemplo, almacenar y gestionar bases de datos de clientes y empleados).
Por lo tanto, la protección de tus datos en la nube depende de dos actores, el servicio al que has cedido tus datos personales (responsable del tratamiento) y el proveedor de servicios en la nube que este ha contratado (generalmente, un encargado del tratamiento), sea para su almacenamiento o para su almacenamiento y gestión.
¿Por qué es importante la protección de datos en la nube?
La protección de datos en la nube es importante porque es una obligación legal; si como empresa o autónomo subimos datos personales a la nube (a través de un servicio de cloud computing, como pueden ser Dropbox, Google Drive o un servicio SaaS que requiere la cesión de datos personales), debemos tener en cuenta que estamos ante un tratamiento de datos personales y que, por tanto, debemos cumplir con las obligaciones del RGPD y la LOPDGDD, puesto que somos responsables de la seguridad, confidencialidad, integridad y disponibilidad de dichos datos.
Además, estamos «confiando» dichos datos a un tercero, el proveedor de un servicio cloud, que, aunque también debe cumplir con la normativa de protección de datos, es responsabilidad nuestra como responsable del tratamiento de hacer las debidas comprobaciones para asegurarnos de que cumple con dicha normativa. Esto implica también saber dónde se encuentran los servidores del proveedor, dónde se almacenan los datos, qué medidas de seguridad de los datos en la nube tiene implementadas, si subcontrata algún servicio, que garantías ofrece, etc.
Como responsables del tratamiento debemos asegurarnos de que los datos en la nube de nuestros clientes o usuarios están debidamente protegidos y a salvo de accesos no autorizados o filtraciones, así como que no son usados con fines diferentes a los acordados (como, por ejemplo, fines publicitarios).
En ese sentido (como ocurre con la protección de datos en las redes sociales cuando se usan con un perfil profesional), y como veremos más adelante, para una empresa o autónomo no solo basta con conocer la política de privacidad de un servicio en la nube (como puede ser, por ejemplo, la política de privacidad en Google Drive para quienes usen esta nube de uso gratuito), sino que habrá que conocer a fondo cómo y dónde almacena y/o gestiona los datos el proveedor del servicio, sus medidas de seguridad y establecer determinadas condiciones en un contrato, del que hablaremos más adelante.
Prácticas recomendadas de protección de datos en la nube
Cómo ya dijimos, la protección y seguridad de datos en la nube depende de dos actores, el responsable del tratamiento, que es la empresa que contrata uno o varios servicios en la nube, y el encargado del tratamiento, que es el proveedor del servicio en la nube.
En general, las medidas de seguridad para proteger la información y los datos y evitar la pérdida, robo o alteración no autorizada de los mismos, dependen básicamente de la empresa proveedora, pero, como ocurre con la protección de datos en la web, la empresa responsable del tratamiento también debe tomar y aplicar sus propias medidas de seguridad para evitar incidentes de seguridad desde su lado.
Copia de seguridad de datos
Si bien, tener una copia de seguridad de datos es ya, de por sí, una medida de seguridad para evitar pérdidas y disponibilidad de los datos, siempre es recomendable mantener otra copia de seguridad física o alojada en otra ubicación diferente a la empresa como puede ser la nube (aplicando la regla 3-2-1).
La ventaja de mantener una copia de seguridad de datos en la nube es que el proceso de hacerla y mantenerla se puede automatizar a través del propio servicio, es decir, se puede programar la realización de copias de seguridad a intervalos regulares o en un horario específico, de manera que ante fallos del sistema local o un ciberataque, se pueda recuperar la nube de datos y restablecerlos con relativa facilidad.
Tener una política de copias de seguridad es fundamental para cualquier empresa que opere con datos personales o cualquier otra información confidencial y crítica.
Evaluar la seguridad integrada
Cómo hemos dicho, la seguridad de los datos en la nube depende, en gran medida, del proveedor del servicio de cloud computing, por lo que como responsables del tratamiento debemos asegurarnos de que el proveedor escogido cumple también con la normativa de protección de datos y cuenta con las herramientas, el protocolo interno y las funciones de control necesarias para garantizar la seguridad de la información. Así mismo, el proveedor debe ser completamente transparente con sus políticas de cumplimiento y seguridad.
Además, como responsables del tratamiento, también deberemos, siempre que el proveedor tenga acceso a datos personales:
- Firmar un contrato de encargo de tratamiento.
- Incluir la cesión de datos al servicio en la nube en el registro de actividades de tratamiento.
- Si los servidores del proveedor están fuera de la UE, la empresa contratante debe comprobar que el país al que se envían los datos cuenta con las garantías suficientes en materia de protección de datos o, en su caso, recurrir a la firma de cláusulas contractuales tipo aprobadas por la Comisión Europea para las transferencias internacionales de datos con terceros países.
- La empresa que contrata el servicio debe asegurarse de que la empresa proveedora cuenta con las medidas de seguridad técnicas y organizativas necesarias para garantizar la protección de datos, así como que estos no serán cedidos a terceros ni usados con fines diferentes a los especificados en el contrato de protección de datos.
- La empresa proveedora del servicio colaborará con la empresa contratante en los términos que hayan establecido en el contrato para la atención a solicitudes de derechos de los interesados. Además, informará de inmediato sobre cualquier brecha de seguridad que haya sufrido y puesto en riesgo dichos datos.
- En el contrato de protección de datos o encargo de tratamiento, la empresa responsable del tratamiento deberá especificar qué debe hacer la empresa proveedora del servicio en la nube una vez finalice el plazo o la finalidad del tratamiento de los datos personales cedidos (si deben suprimirlos, bloquearlos o devolverlos al responsable).
Usar cifrado de nivel de archivo
Siempre se deberían cifrar los archivos que suben a la nube, para dotarlos de una capa adicional de seguridad, especialmente en caso de robo o fuga de datos, ya que al estar cifrados, será mucho más difícil que los datos queden expuestos en estos casos.
Políticas de credenciales sólidas
Otra práctica que no puede faltar en el protocolo o política de protección de datos en la nube, es la inclusión de una política de credenciales sólidas; no solo se trata de crear contraseñas robustas y seguras y cambiarlas con cierta periodicidad, sino también establecer niveles de acceso a los datos a usuarios que necesiten trabajar con esos datos, limitando así el número de empleados que tienen acceso a ellos, lo que minimizará las probabilidades de fuga o robo de datos.
Transfiera datos de forma segura
Los datos no solo deben estar cifrados cuando están almacenados, sino que también deberían cifrarse en tránsito, es decir, cuando la información viaja en procesos de comunicación. Así mismo, también deberían establecerse medidas de monitoreo para controlar quién accede a los datos y a dónde se envían, pudiendo revocar permisos y transferencias cuando estas puedan parecer sospechosas o ir en contra de la normativa de protección de datos.
Dispositivos seguros
Dado que a los datos en la nube se puede acceder desde cualquier dispositivo con conexión a internet, es fundamental implementar medidas de seguridad en los endpoint, es decir, en los dispositivos usados por los empleados para acceder a la nube.
Entre esas medidas, la empresa debería contar con una política de uso de dispositivos portátiles para el trabajo, siendo muy recomendable limitar su uso a los dispositivos y terminales de la empresa, que contarán con medidas de seguridad implementadas en ellos. Adicionalmente, se debería limitar o incluso restringir la transferencia de datos de la nube a los dispositivos personales de los empleados, ya que estos suelen tener un menor nivel de seguridad y pueden convertirse en un vector de ataque que acabe propiciando un robo o una fuga de datos.
Desafíos para la protección de datos en la nube
A la hora de contratar un servicio que se gestione a través de la nube, las empresas deben ser conscientes de los problemas y desafíos que esto implica para la protección de datos en internet, si bien es cierto que gran parte de las medidas de seguridad para garantizar la confidencialidad, integridad y disponibilidad de los datos deberá aplicarlas el proveedor del servicio.
Entre los riesgos que existen en el uso de la nube, destacamos:
- Accesos no autorizados por parte de terceros.
- Ataques que interrumpan el servicio (como ataques DDoS).
- Pérdida o filtración de información.
- Explotación de vulnerabilidades.
- Uso indebido de la información almacenada en la nube.
Además de estos problemas, hay que añadir estos otros riesgos asociados al uso de servicios de cloud computing:
Falta de visibilidad de los datos
En ocasiones y al llevar cabo diferentes acciones en la nube, como el traslado de datos o la reducción de controles del sistema, se puede perder la visibilidad y trazabilidad de los datos, especialmente porque al transferir datos a la nube, estos quedan fuera de la protección del sistema de prevención de intrusiones que pueda tener implementada la empresa, creando así puntos ciegos.
A esto habría que sumar también, por estar directamente relacionado con la visibilidad de los datos:
- La falta de transparencia por parte del proveedor, de manera que el responsable del tratamiento y quien contrata el servicio desconoce «qué, quién, cómo y dónde se lleva a cabo el tratamiento de los datos que se proporcionan al proveedor». Esta falta de transparencia repercute de forma negativa en el responsable, que no sabrá qué riesgos existen para los datos cedidos y, por tanto, qué medidas de seguridad adoptar, dónde se encuentran los datos, qué medidas de seguridad tiene implementadas el proveedor o si este recurre a otros prestadores de servicios (subcontratación).
- La falta de control sobre los datos personales cedidos por parte del responsable, derivada, precisamente, de esa falta de transparencia. Esto supone, entre otras, dificultades para saber dónde están los datos, si es posible la portabilidad, así como la gestión de otros derechos de los interesados.
Confidencialidad de los datos
Mantener la confidencialidad de los datos en la nube es también un desafío; por un lado, los proveedores deben ofrecer herramientas y sistemas que permitan limitar el acceso a los datos subidos a la nube por parte de sus clientes, además de contar con sus propias medidas de seguridad para evitar y responder ante ciberataques e intentos de robo de información.
Por otro lado, los clientes, es decir, los responsables del tratamiento, deben usar las herramientas y sistemas facilitados por el proveedor de manera adecuada, implementado una política de credenciales robusta y acceso basado en roles. Así mismo, también debe aplicar medidas de seguridad propias, como el cifrado de archivos.
Inconsistencias entre proveedores de nube
No todos los proveedores de servicios en la nube brindan un mismo nivel de seguridad, ni tienen los mismos enfoques o capacidades, por lo que la política de seguridad de la información o de protección de datos de la empresa debe contemplar estas inconsistencias y contar con medidas de seguridad propias que puedan solventarlas.
Así mismo, tampoco podemos olvidar los problemas de control y seguridad de los datos que plantean los proveedores fuera de la UE, especialmente en países que no tienen una normativa de protección de datos o, si la tienen, no es equiparable al RGPD.
No hay suficiente almacenamiento en la nube
Pese a que solemos asociar la nube con grandes capacidades de almacenamiento, este, en realidad, no es infinito, algo que debemos tener en cuenta especialmente para las copias de seguridad, puesto que algunas de ellas pueden suponer grandes volúmenes de datos. Seleccionar servicios en la nube con capacidad de escalabilidad es fundamental para asegurar que no nos quedaremos sin espacio o se perderán datos más «antiguos».
Brechas de seguridad
Pese a las medidas de seguridad aplicadas por responsables del tratamiento y proveedores de servicios en la nube, el riesgo cero no existe y, como ya dijimos más arriba, cuando hay falta de transparencia y control sobre los datos personales y los servicios en la nube, es muy difícil aplicar medidas de seguridad adecuadas para minimizar los riesgos inherentes al tratamiento de datos en la nube.
Sufrir una brecha de seguridad no solo pone en riesgo los datos, sino que también puede acarrear costosas sanciones para los responsables del tratamiento, especialmente si quedan expuestos datos personales y no aplicaron medidas de seguridad que pudieran haber minimizado ese riesgo (como el cifrado).
Si usas servicios de cloud computing en los que se suban datos personales, Atico34 puede ayudarte a cumplir con las obligaciones del RGPD y la LOPDGDD, como son la redacción del contrato de encargo de tratamiento, la evaluación de la seguridad y el nivel de cumplimiento de la normativa de los proveedores de servicios en la nube, la clasificación de los datos y la identificación y análisis de riesgos relativos a los servicios en la nube, etc., así como a diseñar e implementar las correspondientes medidas de seguridad para garantizar la protección de los datos personales que se subirán a la nube.
En definitiva, cuando se trata de protección de datos en la nube, es cosa de dos, pero como responsable del tratamiento, la responsabilidad final ante incidentes o brechas de seguridad será siempre suya.
