El riesgo de la nube: cómo escapan los países de la UE de la dependencia de Microsoft

Alemania, Francia, Italia: directrices y especificaciones para una mayor seguridad en la nube

La arquitectura de seguridad europea está amenazada desde hace tiempo por algo más que la guerra actual en Ucrania. Desde hace algunos años, los expertos en seguridad geopolítica hablan de una guerra híbrida de las grandes autocracias, en particular Rusia y China, contra los Estados del mundo occidental. Un objetivo primordial en este caso es la infraestructura digital de las instituciones estatales y los organismos públicos, así como las empresas de infraestructuras críticas como las finanzas, la sanidad, el suministro energético y el transporte.

En este sentido, el avance de la digitalización es más una maldición que una bendición. Porque cuanto más digitalizada está nuestra sociedad, más vulnerable es a una amplia variedad de escenarios de ataque en cuanto a su arquitectura de hardware y software. El saboteo de cables submarinos en el mar Báltico, ciberataques contra administraciones públicas y hospitales o filtraciones de datos importantes de la nube en empresas, como ocurrió recientemente en Microsoft, son sólo algunos ejemplos de los últimos meses. 

Normativa europea y nacional para una mayor seguridad en la computación en nube

En la Unión Europea, las empresas e instituciones públicas están sujetas a diversos requisitos normativos cuando utilizan servicios en la nube. Deben observarse siempre las disposiciones del Reglamento General de Protección de Datos (RGPD) de la UE. Además, las leyes nacionales de protección de datos, las normas de seguridad y las normativas específicas del sector varían de un país a otro. En muchos casos, se endurecieron aún más tras la sentencia Schrems II del Tribunal de Justicia de la Comunidad Europea en julio de 2020, que anuló el Escudo de la privacidad UE-EE.UU., la base para la transferencia de datos entre Europa y EE.UU. Es lógico, sobre todo cuando se trata de proteger datos sensibles, porque desde entonces es responsabilidad del exportador de datos comprobar si los derechos de los interesados en el tercer país gozan de un nivel de protección equivalente al de la UE antes de transferir los datos a un gran proveedor de la nube, por ejemplo.

Teniendo esto en cuenta, echamos un vistazo a los tres países más grandes de la UE -Alemania, Francia e Italia- para ver qué normativas y requisitos se aplican específicamente a las autoridades, organismos públicos y empresas de infraestructuras críticas y tienen como objetivo garantizar una mayor seguridad y soberanía de los datos en la computación en nube. También mostramos en la práctica por qué la Unión de Municipios de Romagna Forlivese (UCRF), en el norte de Italia, optó por licencias de segunda mano de Microsoft en local en lugar de hacerlo en la nube.

Ejemplo de país 1: Alemania

En Alemania no se prohíbe el uso de servicios en la nube, pero existen claros requisitos legales y reglamentarios. Sin embargo, los riesgos existentes siguen subestimándose incluso en las instituciones estatales. Según la Gesellschaft für Informatik (GI), al menos seis estados federados planean actualmente introducir en su administración el sistema de videoconferencia Teams o el paquete completo en la nube de Microsoft 365. Según los expertos informáticos, esto pone en peligro la soberanía de datos de Alemania y la protección de datos de millones de ciudadanos y empresas al aumentar la dependencia de la nube de Microsoft. Los principales riesgos se refieren a la seguridad y a la incalculable evolución de los costes de las licencias.

Por lo tanto, las empresas del sector de las infraestructuras críticas en particular, pero también las instituciones estatales y las administraciones públicas, deben asegurarse de que:

• Sus datos se procesan de forma segura.
• De que el proveedor de la nube cumple con el GDPR.
• Se tienen en cuenta los requisitos específicos de la industria.
• Cumple los requisitos corporativos de conformidad.
• Siempre que sea posible, debe utilizar proveedores nacionales o europeos como IONOS, T-Systems o Nextcloud.

Sector financiero: La Autoridad Federal de Supervisión Financiera alemana (BaFin) ha definido requisitos especiales para el uso de servicios en la nube para bancos y aseguradoras en sus normativas MaRisk y BAIT (requisitos de supervisión bancaria para TI).

Sanidad: Además de las disposiciones del RGPD y de la Ley Federal de Protección de Datos (BDSG), el uso de servicios en la nube también está sujeto a la Ley de Protección de Datos del Paciente (PDSG). Entre otras cosas, los actores deben garantizar que los datos altamente sensibles se almacenan y procesan en Alemania o en la UE.

Ejemplo de país 2: Francia

La normativa en Francia es bastante similar a la alemana. Los requisitos del RGPD también se aplican en el segundo país más poblado de la UE. También se complementan con leyes de seguridad nacional y protección de datos y una fuerte promoción de la soberanía digital. Los aspectos más importantes son:

En Francia, además del RGPD, se aplica la normativa nacional de protección de datos de la Loi Informatique et Libertés, supervisada por la autoridad de protección de datos CNIL (Commission Nationale de l'Informatique et des Libertés). También en este caso se trata de garantizar la máxima seguridad en el almacenamiento y tratamiento de los datos personales y su localización. Las industrias sensibles, como las infraestructuras críticas, las autoridades públicas y las instituciones gubernamentales, a menudo sólo pueden utilizar proveedores de nube certificados como SecNumCloud. En general, Francia promueve el uso de proveedores nacionales o europeos y favorece las soluciones soberanas. El gobierno francés ha establecido asociaciones con proveedores de nube como Orange y Capgemini para crear una alternativa soberana a los proveedores estadounidenses como Microsoft, AWS y Google.

Sector financiero: La autoridad francesa de supervisión bancaria, Autorité de Contrôle Prudentiel et de Résolution (ACPR) tiene requisitos especiales para las instituciones financieras en relación con el uso de servicios en la nube, similares a los de BaFin en Alemania.

Sanidad: El almacenamiento de datos sanitarios está sujeto a normativas especialmente estrictas, como la Hébergeur de Données de Santé (HDS). Los proveedores de la nube que quieran almacenar o procesar datos sanitarios necesitan la certificación HDS. Como resultado, los hospitales y las compañías de seguros, por ejemplo, prefieren almacenar y procesar sus datos sanitarios en su propio centro de datos en local y prescinden en gran medida de las soluciones en la nube.

Ejemplo de país 3: Italia

En Italia, se aplican las siguientes normativas y restricciones al uso de servicios en la nube:

• Además del RGPD, la ley nacional de protección de datos Codice della Privacy establece elevados requisitos para el tratamiento de datos personales.
• Las instituciones gubernamentales, las autoridades y las administraciones públicas deben dar prioridad al uso de proveedores de nube nacionales o europeos.
• Normas de seguridad informática: los servicios en la nube para infraestructuras críticas están sujetos a estrictos requisitos de seguridad.
• Italia apoya el uso de servicios soberanos europeos en la nube, como la nube nacional Polo Strategico Nazionale (PSN).
  

Italia ha desarrollado su propia estrategia con tres categorías específicas para el uso de los servicios en la nube en las instituciones estatales y la administración pública:

1. El uso de la nube nacional PSN, en la que deben almacenarse los datos críticos y altamente sensibles de las organizaciones públicas, es una prioridad clara.
2. También pueden utilizarse servicios en la nube de proveedores europeos, siempre que cumplan la RGPD y otras normas de seguridad nacionales.
3. Los proveedores internacionales de servicios en nube están autorizados para los datos menos sensibles, pero sólo sobre la base de estrictos requisitos nacionales de seguridad y protección de datos, que no cumplen en la mayoría de los casos.

Sector financiero: El banco central italiano Banca d'Italia y la autoridad supervisora CONSOB han definido requisitos específicos para los bancos y los proveedores de servicios financieros, relacionados en particular con la localización de datos y las normas de seguridad de los servicios en la nube.

Sanidad: Al igual que Francia o Alemania, Italia cuenta con normativas estrictas para los datos sanitarios altamente sensibles, como el almacenamiento y procesamiento de datos dentro de la UE.

Ejemplo en Italia: La administración municipal confía en el software de segunda mano en lugar de en una solución en la nube.

La Unión de Municipios de Romagna Forlivese (UCRF) buscaba una solución para cubrir sus necesidades de licencias de software para un clúster VMWare y planificar las necesidades futuras sin exceder su limitado presupuesto. La UCRF optó por la compra legal y a prueba de auditorías de licencias de software de segunda mano de PREO, que ofrecen importantes ventajas financieras, así como el cumplimiento y la flexibilidad deseados.

Particularmente importante: Al adquirir el software de segunda mano para su funcionamiento en local, fue posible ahorrar alrededor del 50 % de los costes de licencia en comparación con la versión nueva correspondiente, lo que tuvo una importancia crucial, como confirma el Dr. Riccardo Raffaelli, responsable de TI: «Como en cualquier administración pública, el aspecto económico es de crucial importancia, ya que implica la correcta y cuidadosa gestión de los fondos públicos. La solución de reducir de forma sostenible los costes de las licencias mediante la compra de software de segunda mano es una opción excelente, especialmente para las administraciones públicas.» Puede leer el caso de cliente completo aquí. 

La Unión de Municipios de Romagna Forlivese (UCRF) se creó en 2014 mediante la fusión de las tres asociaciones Unione Montana Acquacheta - Romagna Toscana, Comunità Montana dell'Appennino Forlivese y Associazione di Comuni della Pianura Forlivese. Hoy en día, la asociación comprende un total de 14 municipios con más de 67.000 habitantes.

Con PREO, puede confiar en un proveedor B2B experimentado y reputado

PREO ofrece a las empresas, organizaciones y administraciones públicas una amplia gama de licencias de uso para su explotación en local o su integración en soluciones híbridas en la nube en cualquier momento. En particular, esto incluye las versiones de programas actuales y anteriores de software estándar ampliamente utilizado de fabricantes líderes del mercado como Microsoft o Adobe. Sea cual sea la necesidad, con PREO los clientes tienen todas las ventajas de su lado y se benefician de:

• Ahorros en costes de licencia continuos de hasta el 70 % en comparación con la nueva versión respectivamente.
     
  
• Adquisición de licencias 100 % seguras y a prueba de auditorías, con la máxima transparencia en todos los pasos del proceso, incluida la documentación completa en el portal de licencias PREO «Easy Compliance».
  
  
• Asesoramiento personalizado en todas las cuestiones relacionadas con las transacciones de licencias o la integración de licencias de software de segunda mano en estructuras de red clásicas o modelos de nube híbrida.
  
  
• Capacidades existentes para la gestión de licencias de software en grandes proyectos de infraestructuras informáticas con miles de puestos de trabajo y ubicaciones transfronterizas.
  
  
• Más sostenibilidad en el sector de las TI promoviendo una economía circular activa y reduciendo la huella de carbono de la empresa.
  
  
• Hablando de sostenibilidad: PREO es el único distribuidor de software de segunda mano que figura en la lista actualizada con una Scorecard de EcoVadis, el mayor proveedor mundial de calificaciones de sostenibilidad.
  
  
• La experiencia adquirida en numerosos proyectos de referencia que PREO ya ha realizado con éxito para conocidas empresas de diversas industrias y sectores.

Infórmese ahora gratuitamente