viernes, 3 de febrero de 2012

¿Una nube para la AGE? Con Google Apps hay que pensarlo dos veces.

Hoy a través de Twitter he leído dos post que han iniciado el título de este artículo. El primero titulado ¿Y si los funcionarios usaran Google Apps? plantea tras noticia del BBVA y su migración a Google Apps si la Administración General del Estado podría plantearse un escenario similar. En este artículo se referencia a su vez a otro más extenso titulado Una nube para la Administración General del Estado (AGE), un análisis más exhaustivo de los pros y contras que puede tener la unificación mediante la cloud computing de los recursos de la Administración General del Estado. 
Mi post pretende complementar y completar este análisis aportando algo de luz en las cuestiones que afectan a la seguridad de la información y en este caso, el papel crucial que puede tener esta cuestión en la decisión de externalizar hacia una nube "pública" pero propiedad de una empresa "privada" basada en Google Apps.

En primer lugar aclarar que en cierta forma comparto los argumentos principales que llevan a pensar en la homogeneización y centralización de recursos TI para dar servicio a la AGE, por las cuestiones planteadas en el propio blog y que a continuación cito:
  • Ubicuidad: el acceso a los servicios está disponible desde cualquier terminal: PC, SmartPhone (iPhone incluido), Tablet (iPad incluído), …. Se puede usar en cualquier momento y lugar en el que exista una conexión a Internet/Intranet.
  • Inmediatez: El despliegue de la solución es muy rápido, no requiere reformas o adaptaciones de los sistemas existentes, y el periodo de formación y adaptación de los usuarios es muy corto, pues muchos de ellos ya conocen y usan las herramientas de Google
  • Flexibilidad: una de las características más interesante del SAAS es que el servicio y el cliente está constantemente actualizado de forma completamente transparente. Las nuevas versiones aparecen automáticamente al usuario cuando están disponibles, generalmente con la opción de “seguir con la versión antigua” si en ese momento tenemos prisa y no queremos aprender la nueva funcionalidad.
  • Seguridad: Los servicios contratados se acogen a la legislación sobre protección de datos española y europea mediante el acuerdo de “Puerto Seguro” (Safe Harbor) a la cual está actualmente adherido Google. Para proceder a implementar este proyecto, el BBVA ha recibido la autorización del Banco de España, como es preceptivo.
  • Y, por supuesto, Coste. Diversos estudios fijan en torno a los 100 dólares por año el coste de cada buzón de correo corporativo cuando se implementa con medios propios, pero para volúmenes de usuarios a partir de 10.000. Sin embargo, si el número de usuarios desciende por debajo de 10.000, los costes aumentan rápidamente. Así, para 100 usuarios un estudio calcula un precio de más de 300 dólares al año. Frente a ello, la solución de correo corporativo de Google tiene un coste de alrededor de 40 € por usuario y año.
  • Y no olvidemos que esta solución no es sólo correo. Incluye también todas las herramientas de ofimática en línea de Google: Documentos, Hoja de cálculo, Presentaciones. A la hora de comparar costes, debemos poner en el debe de la solución in-house el coste de adquisicion y amortización de las herramientas ofimáticas usadas en la casa. Por no hablar también de otras posibilidades como el chat, audio y video conferencia en línea incluidas en la solución.
De todos estos puntos a favor, el que posteriormente cuestionaré es el de la seguridad tratando de justificar el por qué. En el mismo texto y cuando se reflexiona sobre los contras de esta solución, de nuevo la seguridad aparece en el centro de la cuestión.
  • En primer lugar, están las cuestiones de la seguridad de la información y de la disponibilidad del servicio. Estos son las principales pegas que se pueden poner a esta solución basada en nube pública, y precisamente los principales argumentos a favor de una nube privada.
  • Con respecto a la seguridad de la información, ¿es suficiente con la que proporciona “Safe Harbor”?. En otras palabras, ¿podemos dormir tranquilos los responsables de informática sin saber exactamente dónde están los datos?. No soy un experto, pero parece que la cobertura legislativa de puerto seguro es o debería ser suficiente también para la aplicación de estos servicios en la Administración Pública española.
  • Además, la gestión, control y validación de usuarios no se externaliza: puesto que se utiliza un servicio LDAP interno de la AGE, el proveedor de servicios no podrá, aunque quiera, crear o modificar cuentas de usuario. Todo el acceso está bajo el control de los sistemas de información propios de la AGE.
  • Con respecto a la disponibilidad y continuidad del servicio, estamos hablando fundamentalmente de un SLA y del grado de confianza que nos ofrece la empresa proveedora del servicio de cumplir un SLA. A este respecto, no olvidemos que cualquier solución de nube privada va a depender también de los SLA que se contraten y de cómo esos SLA se aplican en la práctica. De modo que, en este aspecto, para mí, hay empate.
  • Existe también la cuestión del archivo y la recuperación de los datos, y, llegado el caso, de la transición del servicio a otro posible proveedor. Aquí también nos encontramos con que, tanto en las soluciones de nube privada como en las de nube pública, son cuestiones a resolver. No es que estén muy claras, pero no veo en ellas un argumento de peso a favor de una u otra solución.
  • Pero por otro lado, las soluciones de nube privada son por lo general más caras y más lentas de poner en marcha, y sobre todo, menos escalables. El momento en el que empiezan a ser efectivas las ventajas de la nube privada llegan mucho más tarde en el cronograma proyecto que en el caso de l nube pública, la cual resulta eficaz y es escalable desde la primera instalación. Por ello, el riesgo técnico/económico para el proyecto de adoptar una nube pública es muy inferior al de la nube privada, lo que para mi decanta definitivamente el peso de la decisión a favor de la nube pública.


Hecha la introducción ahora voy a intentar expresar mi punto de vista al respecto. 

Primera cuestión: ¿por qué Google debe tener acceso a datos de funcionarios y españoles?

Creo que uno de los elemento esenciales que hay que plantearse en este asunto es qué ocurre con la información cuando se procesa en un entorno tradicional ofimático y qué ocurre cuando se procesa en Google Apps. En un entorno ofimático tradicional los datos se recogen, procesan, generan unos resultados, se almacenan o se envían hacia otros agentes relacionados con el tratamiento. Los procesos de transformación operan simplemente sobre los datos en cuestión afectados por el trámite administrativo. Cómo mucho se generan otros metadatos vinculados a la propia gestión pero todo queda en el Organismo responsable de la tramitación.
Sin embargo, cuando la información se procesa con Google Apps las cosas son diferentes. En el discurso filantrópico de la empresa americana se insiste en la necesidad de mejorar el servicio al usuario, de facilitarnos la vida y tanto soniquiete parece hacernos olvidar un aspecto muy importante del asunto: EXAMINAN E INDEXAN TODOS LOS DATOS PROCESADOS. Obviamente antes de hacer una afirmación así te tenido que buscar un poco cuales son las condiciones del servicio en este caso de Google y dado que esta empresa en esta materia es transparente, podemos encontrar en la FAQ de Google Apps la respuesta.
Privacy
Who owns the data that organizations put into Google Apps? 
When can Google employees access my account?
Who can gain access to my Google Apps administrative account? 
Who can gain access to my end-users' accounts? 
Does Google give third parties access to my organization's data? 
What kind of scanning/indexing of user data is done? 
In order to provide some of the core features in Google Apps products, our automated systems will scan and index some user data. For example:
  • Email is scanned so we can perform spam filtering and virus detection.
  • Email is scanned so we can display contextually relevant advertising in some circumstances. (Note that there is no ad-related scanning or processing in Google Apps for Education or Business with ads disabled)
  • Some user data, such as documents and email messages, are scanned and indexed so your users can privately search for information in their own Google Apps accounts.
In other words, we only scan or index user content in Google Apps in order to provide features that will directly benefit users, or to help us maintain the safety and security of our systems. Except when your users choose to publish information publicly, Google Apps data is not part of the general google.com index.
It's important to note that our scanning and indexing procedures are 100% automated and involve no human interaction. For complete information, see our detailed Privacy Policy, Privacy Principles, and our Google Apps Terms of Service (Google Apps, Google Apps for Business, Google Apps for Education).
Por tanto, primera cuestión ¿Debe el Estado Español permitir meter las narices a una empresa extranjera en la información que procesa para satisfacer sus gestiones administrativas? Además, acabamos de sufrir estos días, con el cambio de política de privacidad de Google otro hecho relevante. De forma unilateral se modifican las políticas de privacidad y se imponen como las lentejas: "si quieres las tomas y si no, las dejas". Sin embargo, moverse de sistema de información o cambiar los hábitos del usuario no es tarea fácil ni que pueda ser asumida de un día para otro. Y esta vez nos dan un mes de plazo porque "La nueva Política de privacidad y las nuevas Condiciones de servicio de Google entrarán en vigor el 1 de marzo de 2012. Si decides seguir usando Google una vez que se haya producido el cambio, lo estarás haciendo con arreglo a la nueva Política de privacidad y a las nuevas Condiciones de servicio."


Segunda cuestión: ¿Incumple Google la legislación en materia de protección de datos?

Esta segunda pregunta afecta esencialmente a la privacidad de los ciudadanos pero en esta cuestión, Google tiene resuelto el problema con la firma del acuerdo Safe Harbour. Sin embargo, ¿qué supone firmar ese acuerdo? De nuevo hay que rebuscar un poco para encontrar la página del Ministerio de Comercio americano y hallar los términos a los que se refiere dicho acuerdo. Básicamente que se respetan los principios generales de protección de datos del marco europeo, es decir, se cumplen y garantizan los siguientes derechos:
Organizations must comply with the seven Safe Harbor Privacy Principles, which require the following: 
Notice 
Organizations must notify individuals about the purposes for which they collect and use information about them. They must provide information about how individuals can contact the organization with any inquiries or complaints, the types of third parties to which it discloses the information and the choices and means the organization offers for limiting its use and disclosure.
Choice 
Organizations must give individuals the opportunity to choose (opt out) whether their personal information will be disclosed to a third party or used for a purpose incompatible with the purpose for which it was originally collected or subsequently authorized by the individual. For sensitive information, affirmative or explicit (opt in) choice must be given if the information is to be disclosed to a third party or used for a purpose other than its original purpose or the purpose authorized subsequently by the individual. 
Onward Transfer (Transfers to Third Parties) 
To disclose information to a third party, organizations must apply the notice and choice principles. Where an organization wishes to transfer information to a third party that is acting as an agent, it may do so if it makes sure that the third party subscribes to the Safe Harbor Privacy Principles or is subject to the Directive or another adequacy finding. As an alternative, the organization can enter into a written agreement with such third party requiring that the third party provide at least the same level of privacy protection as is required by the relevant principles. 
Access 
Individuals must have access to personal information about them that an organization holds and be able to correct, amend, or delete that information where it is inaccurate, except where the burden or expense of providing access would be disproportionate to the risks to the individual's privacy in the case in question, or where the rights of persons other than the individual would be violated.
Security 
Organizations must take reasonable precautions to protect personal information from loss, misuse and unauthorized access, disclosure, alteration and destruction. 
Data integrity 
Personal information must be relevant for the purposes for which it is to be used. An organization should take reasonable steps to ensure that data is reliable for its intended use, accurate, complete, and current. 
Enforcement 
In order to ensure compliance with the safe harbor principles, there must be (a) readily available and affordable independent recourse mechanisms so that each individual's complaints and disputes can be investigated and resolved and damages awarded where the applicable law or private sector initiatives so provide; (b) procedures for verifying that the commitments companies make to adhere to the safe harbor principles have been implemented; and (c) obligations to remedy problems arising out of a failure to comply with the principles. Sanctions must be sufficiently rigorous to ensure compliance by the organization. Organizations that fail to provide annual self certification letters will no longer appear in the list of participants and safe harbor benefits will no longer be assured.
To provide further guidance, the Department of Commerce has issued a set of frequently asked questions and answers (FAQs) that clarify and supplement the Safe Harbor Privacy Principles.
Realmente el cumplimiento de todos estos principios garantizan los requisitos establecidos por la LOPD pero sólo amparan a Google a tener nuestros datos con determinadas garantías y condiciones.  Aun así, la cuestión principal es que Google tendría los datos de los funcionarios que acceden a los sistemas y de los ciudadanos españoles que aparezcan en los documentos que éstos intercambien.

Google en este caso ejerce con un gran encargado de tratamiento que garantizará al Responsable del fichero, en este caso la AGE, todas aquellas cuestiones exigidas por la LOPD. Pero aquí la pregunta es, ¿Debe un ciudadano, por el hecho de tener que realizar un trámite con la AGE tolerar que Google tenga acceso a cierta información sobre su persona porque van a ser empleados en su tramitación recursos de la empresa americana? ¿Debe un funcionario tolerar lo mismo? 
No debemos confundir cumplir con la LOPD con el hecho de que el tratamiento de la información sea pertinente. Imaginemos que un Ayuntamiento usa Google Apps para la gestión de las multas de coche. En el manejo de los documentos ofimáticos necesarios para la gestión administrativa, aparte de la propia información sobre el infractor, el vehículo, la cuantía, la notificación, en los servidores de Google se van a indexar palabras vinculadas al dueño de la cuenta (el funcionario que tramita) y no sabemos si también asociadas al posible infractor (aquí no puedo ir más allá porque desconozco si Google puede vincular los datos escaneados a usuarios identificados en los propios documentos)

En este caso, este "encargado de tratamiento" va a hacer cosas que no están justificadas por la finalidad principal del fichero declarado pero que son intrínsecas al uso del servicio. Como hemos visto antes, toda documentación procesada es escaneada e indexada de forma automatizada. Y esa cuestión, vinculada al hecho de pensar que son tramites de la Administración General del Estado no me hace mucha ilusión. No entiendo por qué una empresa extranjera debe conocer tanta meta-información de los procesos internos de gestión administrativa de un país aunque cumpla con la legislación en materia de protección de datos. Y mucho menos con la nueva política de privacidad, donde lo que pretenden es reunir información parcial de cada uno de los servicios que emplea un usuario para hacer un único cubo que permita "inferir" o "anticipar" hábitos de consumo, productos o compras que potencialmente el usuario esté pensando hacer.


Tercera cuestión: ¿Garantiza la seguridad de la información?

Esta es quizás la pregunta mas compleja. ¿Qué debemos entender por garantizar la seguridad? ¿Protección de las infraestructuras? ¿En qué plano de la seguridad, el operativo? 
La infraestructura de Google estoy seguro que resuelve los aspectos más básicos de la seguridad de la información en relación a la protección de ubicaciones físicas, seguridad lógica, prevención de intrusiones, continuidad de negocio, etc. Es más, como se comenta en el blog eFuncionario, cumple con FISMA que es más exigente que ISO 27001.

La cuestión aquí no es la seguridad operacional sino la seguridad estratégica de un País que pone en manos de un tercero (externo y americano) parte de los recursos TI esenciales para proporcionar servicios básicos considerados estratégicos para el buen funcionamiento del estado. Y aquí es también curioso el planteamiento de Google. Efectivamente, se han preocupado de cumplir FISMA porque es la normativa del Estado Americano para poder garantizar los requisitos del Gobierno americano en materia de seguridad. Obviamente esta normativa está pensada por su Gobierno para la protección de sus intereses. Además, es muy curioso ver como en la explicación de los temas de seguridad para "Google Apps for Government" se dicen cosas como esta:
Meeting unique government requirements
Google Apps for Government provides segregated systems for our US government customers. Government customer data is stored in the US only. This "community cloud" – as defined by the National Institute of Standards and Technology – is available now to any federal, state or local government in the United States.
Google, como empresa americana que es, está diseñando y pensando en salvaguardar los intereses de su país, y por tanto, satisface completamente las necesidades específicas garantizando que para el Estado Americano, esa "Nube es privada" pero gestionada por Google. 

¿Qué ocurre cuando es el Estado Español el que usa esa infraestructura? Pues seguramente que nuestros datos no se almacenan en nuestro país sino en el suyo. Por tanto, la gran cuestión es ¿Por qué el Gobierno Español debe aceptar una protección inferior de la que el Gobierno americano exige a sus propios datos?
¿Por qué ellos no permiten que los datos del estado salgan de su país y los españoles tenemos que tolerarlo? ¿Qué me importa a mi SU FISMA si lo que aquí necesitamos que se cumpla es NUESTRO R.D. 3/2010 del Esquema Nacional de Seguridad?

Por tanto, en este tercer punto no debemos confundir que las instalaciones estén bien protegidas y adecuadamente gestionadas con que eso sea suficiente para garantizar los requisitos de seguridad que un Estado. Se debe tener en cuenta el plano estratégico  a medio y largo plazo antes de hacer un movimiento como el de migrar la AGE a Google Apps, porque además el camino de retorno no debe ser nada fácil. El BBVA como empresa privada puede hacer lo que sus dueños, accionistas y clientes toleren o permitan. El Estado debe atender al bien común de sus ciudadanos y en ese contexto, las decisiones no son tan sencillas.

Cuarta cuestión: ¿Y qué ocurriría en caso de conflicto España-EEUU?

Esta es quizás la pregunta menos relevante pero los que nos dedicamos a seguridad siempre debemos posicionarnos en los escenarios donde las cosas no funcionan bien, donde lo que se plantean son amenazas holísticas de cualquier ámbito y envergadura. Aquí para contestar sólo hay que leer lo que los propios americanos explican en su manual de operación de información (information warfare). Tal como explicó el blog Aeropago21 que cito a continuación, su estrategia está segmentada en diferentes niveles y estrategias que comprenden los siguientes puntos:
Dentro de la Guerra de Información esta doctrina define cinco núcleos básicos de capacidades, entre los que se encuentra tanto las ciberoperaciones como otras operaciones de corte más tradicional. Son las PSYOPS, la OPSEC, el MILDEC, la EW y las CNO.


Las PSYOPS, Operaciones de Guerra Psicológica (Psychological Operations), suponen el uso de propaganda para influir en las opiniones y comportamiento normalmente del enemigo pero también de aliados o elementos neutrales. Operaciones clásicas de PSYOPS son el uso de panfletos, transmisiones de radio o TV, etc. con el objetivo de desmoralizar al enemigo.


La OPSEC, Seguridad Operativa (Operations Security), se dedica a identificar que acciones propias pueden ser observadas por el enemigo y hasta qué punto este puede obtener inteligencia de las mismas. Así mismo la OPSEC también se encarga de definir y adoptar medidas para impedir esa recolección de inteligencia.


El MILDEC, Engaño Militar (Military Deception), engloba las tareas encargadas de facilitar al enemigo indicadores falsos que le hagan llegar a conclusiones erróneas sobre la fuerza, intenciones y capacidades propias. Un ejemplo histórico de MILDEC seria la Operación Fortitude durante la segunda guerra mundial con el objetivo de desviar la atención del desembarco sobre Normandía hacia un supuesto desembarco en el Paso de Calè.


La EW, la Guerra Electrónica (Electronic Warfare), implica el dominio del espectro electromagnético. Que incluye tanto la monitorización de las emisiones del enemigo como el uso de medios que van desde perturbadores a misiles anti-radar para limitar su utilización al contrario. Un ejemplo histórico de Guerra Electrónica seria la conocida como Battle of the Beams, también ocurrida durante la segunda guerra mundial, y que se centro en la utilización de sistemas de navegación aérea para facilitar el bombardeo alemán sobre Inglaterra, y los exitosos esfuerzos por interferir y falsear estas emisiones por parte de los ingleses.

  

Las CNO, Operaciones en Redes de Computadoras (Computer Network Operations). Las CNO se derivan de la creciente utilización de computadoras en red y sistemas de información por parte de organizaciones civiles y militares. Las CNO, junto con la EW, se utilizan para atacar, engañar, degradar, interrumpir, denegar, explotar la infraestructura del enemigo y defender la propia.
En un escenario de Ciberguerra estaríamos jodídos porque les hemos simplificado su actuación llevándonos todo a su país y sus infraestructuras.

La gente de PSYOPS podría "envenenar contenidos" modificando los documentos ofimáticos depositados en Google Apps. No debemos olvidar que es una empresa americana y que en caso de conflicto se someterá por completo al Estado. Y si se incumple alguna legislación, articulan rápido una Patriot Act y ajustan lo que sea necesario.

La gente de OPSEC se dedica a vigilar el tráfico de red cuyo origen sea España y destino los servicios de Google Apps.

La gente de MILDEC se dedica a jugar con los anchos de banda en la red, cortando y restableciendo el suministro cuando les apetece.

La gente de EW no tiene mucho que hacer porque ellos tienen ya el control de todos los recursos.

La gente de CNO sólo tienen que cortar el canuto de conexión desde España hacia sus servidores y estamos todos incomunicados y sin acceso a la información (Y ni siquiera su backup).

¿Muy paranóico y excéntrico, verdad? Que se lo cuenten a la empresa petrolera PDVSA cuando fue bloqueada a través de ataques informáticos provocando el "caos total" en Venezuela por el corte del suministro de petróleo al país. Los venezolanos elaboraron un documental conocido como "El cerebro de PDVSA" donde con demasiada carga política cuentan la realidad de unos hechos verídicos, el boicot americano mediante el sabotaje de los sistemas de información de la empresa más importante de Venezuela. El documental puede verse en Youtube en estos tres enlaces:

Conclusión final
El presente texto no quiero que sea visto como una oposición frontal a la cloud en la Administración General del Estado, todo lo contrario. Nube SI pero bajo control completo del Gobierno. Tenemos un grave problema en el área TI y es que nos estamos quedando atrás en la competencia por hacerse con los servicios tecnológicos en la Nube a nivel mundial. Lo que está en juego cuando hablamos de subcontratar Google es también parte del PIB, son puestos de trabajo que se van hacia el pueblo americano en vez de quedarse aquí, es mano de obra cualificada que no encontrará empleo porque se habrán elegido a empresas extranjeras con empleados con similar calificación pero que invirtieron en las infraestructuras en el momento adecuado. Por tanto, los motivos por los que aparece la "nube" en el contexto de la AGE son muy "loables" y "deseables" pero los medios para lograrlos deben ser controlados y controlables. El problema para poder pensar en la centralización y unificación de recursos es simplemente político. La filosofía aplicada hasta la fecha no ha pasado por un pensamiento estratégico, unificador y de interoperabilidad completa porque cada "reino" ha querido mantener su cuota de poder. No tiene sentido que las aplicaciones destinadas a atender a ciudadanos iguales sean diferentes por regiones, pero el problema previo es que las gestiones administrativas no son idénticas tampoco. Esa filosofía de por cada problema, determinar como mínimo 17 soluciones es un sinsentido y una perdida de productividad y operatividad a toda cosa, que lastra nuestro futuro.

Sin embargo, un Estado, por la importancia estratégica que tiene el area TI no puede pensar en poner toda esa gestión en manos de terceros países  porque además hemos visto que los propios americanos no lo hacen. Además, me llama mucho la atención el cambio de pensamiento que se observa y la inocencia con la que se juzga a Google frente a otras empresas. Si poníamos hace años el grito en el cielo por emplear tecnologías Microsoft en los sistemas operativos y aplicaciones porque era "código propietario cerrado" que podía tener cualquier cosa, ¿Por qué ahora tenemos que ser menos desconfiados con Google que pone también código pero que además te dice claramente que va a escanear e indexar toda la información? ¿Por qué es Google más inocente que Microsoft? ¿Porque claramente lo cuenta y lo explica?





6 comentarios:

  1. El contexto de crisis favorece que se hable de "consolidación" de servicios. Desde estudios interesados, con cifras manipuladas y citas vagas de "expertos" anónimos (que no repetiré por no publicitar), hasta enfoques serios y razonados sobre la necesidad de "factorizar" los servicios IT públicos como paso previo a la consolidación (concepto muy interesante acuñado por Félix Serrano), el debate está servido.

    La nube pública es una vieja aspiración con nuevos ropajes, presente ya en algunas de la motivaciones de la "intranet administrativa" precursora de la red SARA. Con la evolución del "cloud computing" pocos dudan de que puede dar respuestas a muchas de las necesidades que la mera consolidación no puede resolver: hablamos de flexibilidad, de administración delegada, de servicios bajo demanda. De nuevas tipologías de contrato público, incluso.

    Al bajar a la "arena", vaya por delante que estoy bastante de acuerdo con las objeciones que planteas. Probablemente es deformación profesional (tras 15 años involucrados en seguridad de la información desde unos u otros ámbitos). Los servicios de GoogleApps han sido rechazados por organismos públicos en base a estas preocupaciones (ej policía de Los Angeles, y ahora el estado de Noruega). Otros están considerándolos. No es un problema trivial.

    Pero hagamos un ejercicio mental: si la empresa fuera española, y el servicio plenamente conforme a los requisitos de LOPD y ENS ¿estaríamos hablando ya de implantarlo? Claramente no. ¿Con quién? ¿Contratado cómo? ¿En qué se podría usar? ¿Cómo se supervisaría? Implantar otros servicios comunes, aun controlados por la Administración, ya ha dado y sigue dando quebraderos de cabeza. Y no solo pasa aquí: en Australia llegaron a aprobar un plan para unificar todo el correo electrónico administrativo. No pudieron ejecutarlo, y no fue problemas técnicos.

    Seamos realistas: si el único problema fuera el de seguridad, hay formas de gestionarlo. Como no lo es, y los otros problemas van a llevar un tiempo, tenemos algo de margen para ir pensando cómo. No vamos a tener un CIO de la AGE en un tiempo indefinido, no vamos a tener una estrategia TIC y de contratación común mañana. Este problema no es para ahora, es para dentro de unos años. Por eso precisamente es interesante plantearlo ahora, comenzar el debate, la educación, y la concienciación necesarias para hacer lo posible cuando se esté en condiciones de contratarlo.

    Intentando pensar en soluciones, si antes hice un ejercicio de cinismo, permitidme que ahora lo haga de ingenuidad:

    - ¿Ofrecería Google un servicio apto para un gobierno extranjero, digamos un "GoogleApps in a box", conforme a los requisitos de una hipotética carta unificada de servicios cloud para gobiernos europeos, y conformes a la futura regulación de protección de datos europea -que probablemente llegue antes que nuestra estrategia común-?

    - Si no, ¿lo ofrecería otra empresa, posiblemente utilizando recursos de computación ajenos bajo demanda (PAAS)?

    - Si un servicio está suficientemente distribuido, con recursos al menos parcialmente en suelo europeo, y su gestión es lo suficientemente líquida, separando por un lado las plataformas de computación y líneas de comunicaciones que es donde se produce mayor economía de escala, de manera que sean fáciles reemplazables, y por otro lado la gestión de los mismos… y utilizando cifrado local controlado por el gobierno en cuestión… ¿cuántos problemas se pueden resolver? El diablo está en los detalles, pero mecanismos hay…

    Creo que son cosas de las que hay que hablar, y hay pasos que deben darse. Incluso si nunca se dispone de una solución de máximos, los beneficios colaterales que se pueden derivar del camino recorrido pueden ser muy útiles:

    - estrategia de servicio, donde no la hay
    - catálogos de servicio (en el sentido ITILv3)
    - gestión del riesgo (de verdad)
    - y sí, factorización y consolidación, hasta donde sea razonable.

    Saludos!

    ResponderEliminar
  2. Reflexiones en la línea de las conclusiones: nuble pública propiedad de las AAPP y no delegar la responsabilidad de generar nuevos paradigmas a otros estados: http://jagglarian.blogspot.com/2012/01/cloud-o-no-cloud.html

    ResponderEliminar
  3. Hola,

    Antes era defensor de GApps en la administración pública. Pero después de leer tu post, he de decir que me has convertido en al menos "no defensor".

    he intentado preguntar en el blog de efuncionario, haciendo referencia a ti post. Pero la respuesta no me ha convencido nada, se cierra en banda, primero diciendo que servicios como el email o documentos corporativos no son "infraestructuras" estrategicas. Dice que el adoptar o no GApps en administración publica, no se trata de una cuestión estrategica sino de gestión de riesgo. Le iba hacer referencia a ley-reglamento de infraestructuras criticas pero creo que no lo ve asi.

    Te felicito por tu articulo, porque de manera razonada, directa y simple has expuesto tu punto de vista y al menos a mi, me has abierto los ojos y he pasado de ser un ultra defensor de GApps en administración publica a un exceptico.

    Felicidades por el blog en general también.

    Salu2

    ResponderEliminar
  4. Tan solo un comentario, con respecto al cambio de política de privacidad de Google es importante distinguir entre los servicios de Google para el consumidor final y Google Apps. El marco contractual es diferente y estoy convencido de que un cambio de calado en el mismo podría llevar a la rescisión del contrato.

    También opino que habría que diferenciar entre información más o menos pública e información más o menos sensible. A lo mejor esta última en ningún momento debería pasar por el correo electrónico. Podemos ver motas ajenas en vez de vigas propias.

    Por lo demás, muy buena entrada.

    Qué crees que ocurrirá cuando Google tenga datacenters en Europa y segregación de zonas como Amazon?

    Un saludo.

    ResponderEliminar
  5. Enhorabuena por tu artículo; soy funcionario jefe de sistemas informáticos de un red de un organismo público de unos 1500 PCs, 250 servidores virtuales corriendo sobre unos 50 físicos, y estoy de acuerdo contigo como creo que la mayoría de mis colegas funcionarios gestores TIC lo estarían.

    El futuro en estos tiempos de crisis económica que vivimos, efectivamente pasa por la reducción de costes y parece que para eso los servicios en nube pueden ser una solución. Pero a mi entender lo ideal sería que esa nube la monte y gestione la propia administración, así todos los ministerios y sus organismos tendrían sistemas centralizados de correo electrónico, agenda y movilidad, servidor de ficheros y servidores de aplicaciones. Incluso se podría pensar en estaciones de red thin-clients corriendo escritorios virtualizados en la nube.

    No sería tan complicado, el embrión de esta nube es la actual Intranet Administrativa SARA. Un poco más complicado sería unificar los sistemas de autenticación de acceso a las LAN de la administración central, sus ministerios y departamentos, pero sería solventable con una adecuada validación contra los sistemas de personal funcionario Nedaes y Badaral.

    Lo que sí es más complicado pero que supondría sin duda un GRAN ahorro es que las CCAA pudieran llegar a convenios con esta nube del Estatal para obtener de ella también esos servicios.

    Entonces, eso sí, lo crítico sería que Telefónica (que es la que mayoritariamente provee las líneas de datos) no cayese en manos del capital transnacional.

    Quizá habría que retomar el proyecto de Red RICO de tener también una infraestructura física propia de la administración, pero ese es otro cantar...

    ResponderEliminar
  6. Suecia prohíbe el uso de Google Apps en el sector http://computerhoy.com/noticias/apps/suecia-prohibe-uso-google-apps-sector-publico-4285

    ResponderEliminar