¿Es seguro llevar nuestros datos a la nube o debemos guardarlos en nuestro propio servidor?

Cuando se habla de un nuevo software, un asistente para clientes o un sistema de citas, surge a menudo una pregunta: "¿Dónde estarán nuestros datos, en la nube? ¿Es segura la nube?" La pregunta es pertinente. Pero muchas veces se centra en el lugar equivocado: en qué edificio están físicamente los datos. Sin embargo, lo que determina si unos datos están seguros no es tanto su ubicación como quién los protege, quién puede abrirlos y cómo se recuperan si se pierden.

Servidor propio o nube: ¿dónde está la diferencia real?

Cuando se dice "nuestro propio servidor", casi siempre se piensa en un ordenador en un rincón de la oficina o en un servidor alquilado a una empresa de alojamiento. La "nube", en cambio, son servidores que funcionan en el centro de datos de un gran proveedor de infraestructura. La diferencia entre ambos se aprecia en estos puntos:

• Protección física. El servidor de la oficina está expuesto a incendios, inundaciones, cortes de electricidad y robos. Los centros de datos cuentan con medidas específicas para estos riesgos.
• Actualizaciones y mantenimiento. En su propio servidor, alguien tiene que aplicar con regularidad las actualizaciones del sistema operativo y del software. Una actualización que no se aplica es una vulnerabilidad conocida esperando a la puerta.
• Control. En su propio servidor todo está en sus manos; eso es a la vez una ventaja y una carga. En la nube, el proveedor gestiona una parte de la infraestructura y usted gestiona la parte que le corresponde.

En resumen, tener un servidor propio significa "lo protegemos nosotros mismos"; pero si nadie lo hace realmente, los datos pueden no estar tan protegidos como se cree.

¿Quién protege qué? La responsabilidad compartida

En la nube, la seguridad se reparte entre dos partes. El proveedor protege el edificio, el hardware y la infraestructura básica. La cuenta, las contraseñas, quién puede ver qué archivo, la propia aplicación y el control de las copias de seguridad los gestiona, en la mayoría de los casos, el cliente o la empresa de software que trabaja en su nombre. Una parte importante de las fugas de datos no se debe a que se vulnere la infraestructura, sino a un enlace compartido mal configurado, a una contraseña débil o compartida, o a la cuenta no cerrada de alguien que ha dejado la empresa. Estos errores pueden cometerse igual en la nube que en un servidor propio.

Las copias de seguridad: la mitad más olvidada de la seguridad

La seguridad no consiste solo en impedir que alguien con malas intenciones acceda a los datos; también consiste en que los datos no se pierdan. Un disco puede averiarse, un empleado puede borrar una carpeta por error, un ransomware puede bloquear los archivos. En estos casos, lo único que salva la situación es una copia de seguridad hecha con regularidad y guardada en otro lugar. Estas son las preguntas que hay que hacerse:

• ¿Con qué frecuencia se hace la copia de seguridad?
• ¿Se guarda la copia en un lugar distinto de donde están los datos originales?
• ¿Durante cuánto tiempo se conservan las copias?
• ¿Cuándo se probó por última vez restaurar desde la copia?

La última pregunta es especialmente importante: una copia que nunca se ha probado es una copia que no ha demostrado que funcione. En los productos de URİKEM hemos explicado con claridad, en la sección de seguridad de los datos, dónde se guardan los registros de clientes, citas y asistentes, con qué frecuencia se hacen copias y durante cuánto tiempo se conservan.

El acceso: ¿quién puede ver los datos?

Tan importante como dónde están los datos es quién puede abrirlos. En un sistema en el que todos entran con el mismo nombre de usuario, no se sabe quién ha cambiado qué. En una buena organización, cada persona tiene su propia cuenta, cada uno ve solo los datos que necesita para su trabajo, el acceso de quien deja la empresa se cierra el mismo día y, si es posible, se exige un segundo paso de verificación al iniciar sesión. La misma lógica se aplica al sitio web y a los paneles de administración; mantener el sitio actualizado, supervisado y con copias de seguridad forma parte de este trabajo. Explicamos cómo lo llevamos a cabo en nuestro producto de mantenimiento y seguridad web.

Cuando entra en juego la inteligencia artificial

En una herramienta que funciona con inteligencia artificial surge una pregunta adicional: ¿qué ocurre cuando el texto se envía al servicio de inteligencia artificial? Tratamos este tema por separado en el artículo ¿aprende la inteligencia artificial de sus datos? En resumen: los datos enviados deben reducirse al mínimo, el contrato debe indicar si el proveedor del servicio utiliza los datos para entrenar modelos y, si los datos se transfieren al extranjero, esto requiere, en lo que respecta a los datos personales, información y consentimiento adicionales.

Preguntas que hacer antes de decidir

• ¿En qué país y en la infraestructura de qué proveedor están los datos?
• ¿Quién gestiona la infraestructura y quién la aplicación y las cuentas?
• ¿Con qué frecuencia y dónde se hacen las copias de seguridad, y cuánto tiempo se conservan?
• ¿Quién puede acceder y cómo se cierra el acceso?
• Si el servicio termina, ¿en qué formato recuperamos los datos?

Aspectos a tener en cuenta

No decida basándose en frases generales como "la nube es segura" o "nuestro propio servidor es más seguro". Ambas opciones son seguras cuando se gestionan bien y arriesgadas cuando se descuidan. Si trata datos personales, dónde se guardan y si se transfieren al extranjero también es importante desde el punto de vista de la KVKK (la ley turca de protección de datos personales); consulte la opinión de su propio asesor jurídico al respecto. Pida por escrito a la empresa de software con la que trabaja las respuestas a las preguntas anteriores; una empresa que no puede responderlas quizá tampoco sepa cómo protege sus datos.

Preguntas frecuentes

¿Es la nube más segura que nuestro propio servidor?

No por sí misma. El proveedor de la nube protege la infraestructura física; las cuentas, las contraseñas, los permisos de acceso y el control de las copias de seguridad siguen siendo responsabilidad suya o de su empresa de software. Ambas opciones, bien gestionadas, pueden ser seguras.

¿Qué debemos hacer para tener copias de seguridad de nuestros datos?

Asegúrese de que las copias se hacen con regularidad, se guardan en un lugar distinto de los datos originales y se conservan durante un periodo determinado. Lo más importante es probar de verdad, de vez en cuando, la restauración desde la copia.

Si dejamos el servicio, ¿podemos recuperar nuestros datos?

Es un aspecto que debe figurar en el contrato desde el principio. Antes de empezar, pregunte en qué formato (por ejemplo, Excel o CSV) se entregarán los datos cuando termine el servicio y cómo se borrarán después.