Cloud computing en la Administración

CLOUD COMPUTING.
Definición:
La nube es un modelo a la carta para la asignación y el consumo de computación. La nube describe el uso de una serie de servicios, aplicaciones, información e infraestructura compuesta por reservas de recursos de computación, redes, información y almacenamiento. Estos componentes pueden orquestarse, abastecerse, implementarse y desmantelarse rápidamente, yescalarse en función de las dimensiones para ofrecer unos servicios de tipo utilidad.
Seguridad en la Nube – Guía de la Cloud Security Alliance (CSA)
Características y servicios:
Servicios a la carta o bajo demanda del consumidor.
Amplio acceso a la red (PC, móvil, PDA).
Compartición de recursos para el usuario con independencia de su localización.
Rapidez y elasticidad en la provisión deservicios.
Supervisión y control.
Software (SaaS), Plataforma (PaaS), Infraestructura (IaaS).
Nubes: Públicas, Privadas, Comunitarias, Híbridas.
Aspectos a tener en cuenta
La decisión de “irse a la nube” debe tener en cuenta multitud de aspectos:
Técnicos.
Económicos.
Modelo de gestión.
JURÍDICOS
Aspectos jurídicos. Protección de datos
Si la contratación de Cloud Computing afecta a datospersonales:
Se trata de derechos fundamentales.
Deben atenderse necesariamente las cuestiones de cumplimiento normativo.
Todo el entorno, sin excepción debe ser privacy compliance.
En cualquier caso, cuando un responsable de fichero o tratamiento en España contrata servicios de Cloud Computing aplicará los principios y obligaciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección deDatos de Carácter Personal. LOPD y RLOPD
Privacy Impact Assessment.
Privacy by Design.
El proveedor de servicios de Cloud Computing ¿es un encargado de tratamiento? Diligencia en la elección
¿En qué país se encuentra la nube? Transferencias internacionales de datos
Garantía de los derechos ARCO
Medidas de seguridad
Encargado del tratamiento: La persona física o jurídica, pública o privada, uórgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio.
El responsable del tratamiento deberá velar por que el encargado del tratamientoreúna las garantías para el cumplimiento de lo dispuesto en el RLOPD.
¿Está en condiciones de garantizar la seguridad? ¿dispone de alguna certificación o emplea alguna métrica que podamos verificar? ¿ISO 27001?
¿Se somete a auditorías? Y si lo hace, ¿en el proceso de auditoría, garantiza la protección de mis datos?, ¿exhibe documentación acreditativa y fiable?
¿Se ha realizado un mínimo análisisde riesgos? ¿disponemos de información fiable?
¿Subcontrata? ¿qué requisitos y obligaciones impone al subcontratista?
¿Informa sobre la ubicación física/territorial de sus activos? podemos decidir las ubicaciones?
¿Reúne el software los requisitos de la Disp. Ad. Primera del RLOPD?
Las aplicaciones ¿son propias o las provee un tercero? ¿puede acceder a datos el tercero?
¿Cómo se contrata?¿Condiciones generales de la contratación? ¿esta dispuesto a aceptar las exigencias dimanantes de la legislación española? ¿Reúne el contrato las condiciones del artículo. 12 LOPD?
¿Está en condiciones de cumplir con las exigencias normativas que debe garantizar el responsable del fichero?
Prohibición de subcontratación sin autorización expresa del responsable salvo que:
Se especifiquen en elcontrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar.
Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación.
Que el tratamiento de datos de...