Auditoría de TI

¿Qué es la nube?

Podríamos definir la nube como un pay per use (Pago por uso) de servicios informáticos, aplicaciones, bases de datos, etcétera. Una solución de IT que sin duda aporta beneficios a las organizaciones pero que conlleva también riesgos.

En la parte positiva destacaría las siguientes ventajas de trabajar en la nube.

Agilidad. La nube posee la infraestructura y el ancho de banda necesarios para proporcionar el servicio a sus clientes independientemente del tamaño de estos.

Escalabilidad. A diferencia de los sistemas informáticos tradicionales, la nube aporta un elevado grado de flexibilidad. Así se adapta al cliente según sean sus necesidades en cada momento.

Reducción de costes. La escalabilidad se traduce también en ahorro de costes puesto que el sistema no está por encima de las necesidades del cliente. Por otro lado, la nube permite ahorrar en términos de inversión de adquisición y costes de mantenimiento.

Fiabilidad y robustez. La propia naturaleza de la nube junto con la necesidad de superar las percepciones de los clientes sobre su seguridad, han llevado a los proveedores a dedicar muchos de sus recursos y atención a estos dos factores fundamentales para la IT. Por ello los proveedores de la nube son especialistas en desarrollar o acceder a la última tecnología y seguridad, probada y resistente a caídas o interrupciones de servicio.

Hasta aquí las ventajas de trabajar en la nube, pero, ¿cuáles son los riesgos? En el campo de la auditoría el “pay per use” de la nube tiene riesgos similares a las tradicionales externalizaciones (servicios financieros, legales, etcétera).

Como en toda externalización, buena parte de estos riesgos se centran en aspectos como la reputación, los antecedentes y la sostenibilidad del proveedor de servicio. Contar con una buena información previa ayudará a evitarlos.

Uso de la información. Resulta fundamental que la responsabilidad, disponibilidad y confidencialidad de la información del cliente se especifique en el contrato con el proveedor de servicios.

Ubicación de la nube y planes de continuidad. Pese a su sugerente nombre, al final la nube reside en una ubicación física, los servidores. En caso de caída o interrupción de servicio es importante que estén establecidos en el contrato con el proveedor planes de continuidad que incluyan el objetivo de punto de recuperación (RPO, en sus siglas en inglés) y objetivo de tiempos de recuperación (RTO). El primero determina la frecuencia con la que se realizan las copias de seguridad  periódicas (y con ello la cantidad información que puede perderse en caso de fallo) mientras que el segundo marca el tiempo máximo que puede durar una caída del servicio sin que se produzcan graves consecuencias en el negocio.

En definitiva, gran parte de los riesgos potenciales de trabajar en la nube pueden evitarse o al menos minimizarse con una cuidadosa elección del proveedor basada en información fiable y con un contrato que especifique claramente los aspectos técnicos y empresariales de la relación entre las partes. De esta manera se conseguirán soluciones alineadas con el plan estratégico de IT del cliente, con las necesidades generales de su negocio y con las necesidades a nivel usuario de las aplicaciones consumidas.

Manel Ballester

Blog: https://www.grantthornton.com.co/en/insights/