Este documento presenta una introducción al concepto de Cloud Computing (CC). Explica los tres modelos de servicio principales del CC (SaaS, PaaS e IaaS), los modelos de despliegue público, privado y comunidad, y ofrece una breve biografía del ponente, Dr. Carlos Galán. El documento también incluye un índice de los temas que se abordarán, como las cautelas en la elección del proveedor de CC y los marcos jurídicos y tecnológicos relevantes.

1. 1st Cloud Day – 15/02/2011
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
Administración electrónica
y Cloud Computing:
Cautelas y exigencias
técnico-jurídicas
Dr. Carlos Galán (cgalan@atl.es)
Seguridad
Legal & Tecnológica

2. Contenido
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
• Marco de la arquitectura del CC.
• Modelos de Servicio: SaaS, PaaS y IaaS.
• Modelos de Despliegue: Público, Privado,
Comunidad.
• Esquema de Relaciones.
• Cautelas en la elección del Proveedor.
• Marco jurídico habilitante AE.
• Marco tecnológico.
• Seguridad: Normas de Conformidad.
• Ámbito de aplicación de los Planes de Adecuación
al ENI y al ENS.
• Conclusiones.
2

3. Consultor y Presidente de ATL Agencia de Tecnología Legal
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
Carlos Galán es Doctor en Informática, Abogado especialista en Derecho de las
Tecnologías de la Información, Certified Information Security Manager (CISM) por
ISACA y Consultor Homologado de la EOI.
Autor de una decena de libros relacionados con las Tecnologías de la Información, su
Derecho y sus aplicaciones, ha escrito asimismo una multiplicidad de artículos y
comentarios en prensa y publicaciones especializadas.
Vinculado desde 1985 al Grupo Telefónica, ha desarrollado parte de su carrera
profesional en esta compañía, ocupando diversos cargos y desarrollando importantes
proyectos nacionales e internacionales.
Semblanza Ha sido Vocal Asesor y Director de la Oficina de Modernización del Ministerio del
del ponente Interior, donde, entre otras actividades, dirigió el Plan de Modernización de las FF. Y
CC. de Seguridad del Estado y presidió la Comisión de Informática y Comunicaciones
de la Seguridad de los Juegos Olímpicos de Barcelona ’92.
Ha sido profesor de la Facultad de Informática de la Universidad Politécnica de Madrid,
de la Escuela Técnica Superior de Ingenieros Industriales de la UNED, de la licenciatura
de Administración y Dirección de Empresas de la Universidad Complutense de Madrid y
del Instituto de Postgrado de la Universidad Pontificia de Comillas.
Ha sido Director General de la Agencia de Certificación Electrónica ACE (primera
Autoridad de Certificación de España), Vicepresidente de la Asociación de Entidades de
Confianza Digital AECODI, Director General de Desarrollo y Tecnología de la Fundación
General de la Universidad de Málaga y Presidente del Comité de Nuevas Tecnologías de
Hispajuris, la mayor red de despachos de abogados de España.
En la actualidad, en su calidad de especialista en Administración Electrónica, Seguridad
y Firma Electrónica, es Profesor de Derecho de las TIC en el Grado de Derecho de la
Facultad de Ciencias Sociales y Jurídicas, en el Máster de Derecho de las
Telecomunicaciones y Tecnologías de la Información de la Universidad Carlos III de
Madrid, siendo profesor igualmente de Calidad, Seguridad y Protección de la
Información y Derecho Informático, de la Ingeniería de Informática y el Máster de
Ingeniería de Software, respectivamente, de la Universidad Pontificia de Salamanca,
actividades que compagina con la escritura de monografías y artículos y el dictado de
conferencias y cursos donde es ponente habitual en las materias relativas al Derecho
de las Tecnologías de la Información y las Comunicaciones, la Firma Electrónica,
Certificación Digital y Seguridad IT. 3

4. © ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
4
El Marco de la Arquitectura Cloud Computing

5. Modelos de Servicio
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
Se utilizan las aplicaciones del proveedor, que se
ejecutan en una infraestructura de nube.
Se despliegan en la infraestructura de nube
aplicaciones del consumidor/cliente (adquiridas
o creadas).
Servicios de procesamiento, almacenamiento, redes
y otros recursos computacionales de forma que el
consumidor pueda desplegar y ejecutar cualquier
software, que puede incluir sistemas operativos y
aplicaciones.
5

6. Modelos de Despliegue
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
La infraestructura de nube se pone a disposición del público en general
o de un gran grupo industrial y es propiedad de una organización que
vende los servicios en la nube.
La infraestructura de nube se gestiona únicamente para una
organización. Puede gestionarla la organización o un tercero y puede
existir tanto en las instalaciones como fuera de ellas.
La infraestructura de nube la comparten diversas organizaciones y
soporta una comunidad específica que tiene preocupaciones similares
(p.ej., misión, requisitos de seguridad, políticas y consideraciones sobre
6
cumplimiento normativo). Puede ser gestionada por las organizaciones
o un tercero y puede existir en las instalaciones y fuera de ellas.

7. Antes de “irse a la nube” hay que pensar en…
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
• Aspectos tecnológicos.
• Aspectos económicos y de financiación.
• Impacto en los servicios y en nuestra institución.
• Aspectos relativos al nuevo modelo de gestión.
• Aspectos jurídicos.
7

8. Esquema de Relaciones
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
Proveedor
Control
de Servicios
Gestión
Consumidor
8

9. Esquema de Relaciones
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
Proveedor
Control
Convenio
de Servicios
(ANS)
Gestión
Consumidor
9

10. Esquema de Relaciones
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
-Externo
Proveedor
-AA.PP.
Control
Convenio
de Servicios
(ANS)
Gestión
Consumidor -AA.PP.
10

11. Esquema de Relaciones
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
-Externo
Proveedor N2 -AA.PP.
Convenio 2
(ANS) Control de
Gestión Servicios
-Externo
Proveedor N1 -AA.PP.
Convenio 1
(ANS) Delegación Servicios
Consumidor -AA.PP.
11

12. Cautelas en la elección del Proveedor
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
1. Observancia de la normativa legal aplicable.
LAECSP
- Procedimiento Administrativo: RDLAECSP
- Genérica.
ENS ENI
- Específica, sobre la materia concreta.
- Administración Electrónica. LOPD
- Genérica.
RDLOPD
- Específica:
• Por razón de competencias. LSSICE
• Por razón de especialidad.
PUBLICA
2. Observancia de garantías adicionales:
PLIEGOS
- ¿Servicio adecuado a los fines perseguidos? OFERTAS
- ¿Cubre todas las etapas de la e-contratación? EVALUA
- ¿Garantiza la seguridad? ADJUDICA
- ¿Garantiza la interoperabilidad? PEDIDO
- ¿Atención al cliente?, ¿Reputación?,
FACTURA
¿experiencia?, ¿certificaciones?, ¿futuro?...
PAGO 12

13. Para muestra… una LOPD
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
• El Proveedor del Servicio Cloud como Encargado
del Tratamiento.
• Ojo a las transferencias internacionales de datos.
• Garantía de los derechos ARCO.
• Implantación de las medidas de seguridad.
• Auditorías.
• Análisis de riesgos.
• Subcontrataciones.
• Ubicaciones.
• Certificación del Sw.
• Conservación, destrucción y bloqueo de datos.
• Etc.
13

14. Marco Jurídico Habilitante AE
Ley 11/2007 Acceso Electrónico
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
de los Ciudadanos a los Ley 30/1992 LRJAPPAC
Servicios Públicos
RD 1671/2009 Rgto. Desarrollo
Ley 6/1997 LOFAGE
LAECSP
RD 3/2010 RD 4/2010
Ley 7/1985 LrBRL
ENS ENI
Planes Directores
RD 2568/1986 RDLrBRL
(Acuerdo Consejo Gobierno)
Ordenanzas Reguladoras del Uso de los Medios Electrónicos

15. Marco Tecnológico
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
1. Exigencias de Interoperabilidad:
• Infraestructuras y Servicios Comunes (ENI, 12 – ENS, 28)
• Nodos de Interoperabilidad (ENI, 13-15)
• Interoperabilidad de documentos y formatos (ENI, 22-23)
• Control de la interoperabilidad (ENI, 25-28)
• Normas Técnicas de Interoperabilidad (D.A. 1ª)
2. Exigencias de Seguridad:
• Principios básicos de seguridad (ENS, 4)
• Requisitos mínimos de seguridad (ENS, 11 y ss.)
15

16. Seguridad: Normas de Conformidad
(ENS, 38-41)
38-
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
El ENS se aplicará Las especificaciones de
obligatoriamente a… seguridad se incluirán en…
Sedes,
Ciclo de vida
Registros y
de Servicios y
Acceso
Sistemas
Electrónicos
Cada órgano Las AA.PP.
de las AA.PP. publicarán
establecerá declaraciones
mecanismos de conform.,
de control distintivos, etc.
16

17. Ámbito de aplicación del
Plan de Adecuación a ENS/ENI
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
• Sedes electrónicas.
• Registros electrónicos.
• SI accesibles electrónicamente
Cualquiera que
por los ciudadanos. sea la forma de
• SI para el ejercicio de derechos. prestación del
servicio
• SI para el cumplimiento de deberes.
• SI para recabar información y estado
del procedimiento administrativo.
• …
17

18. Conclusiones:
© ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
- Puede usarse el modelo de Cloud Computing en el
ambiente de la Administración Electrónica.
- A los proveedores de servicios “en la nube “ les es
exigible todo lo que es exigible a las AA.PP.
- Por tanto, conviene que los Proveedores de Servicios:
- Posean las acreditaciones precisas/convenientes.
- Superen las Auditorías pertinentes (en
Interoperabilidad y en Seguridad, especialmente).
- Se formalicen adecuadamente los contratos de
prestación de los servicios “en la nube”.
- La formación/concienciación de las AA.PP. Es
fundamental para llevar todo ello adelante.
18

19. © ATL, 2003 - 2011 - www.atl.es – Seguridad Legal y Tecnológica
Muchas gracias.
ATL – Agencia de Tecnología Legal cgalan@atl.es
c/ Arzobispo Morcillo, 34 – 5C Tel. +34 91 735 07 55
28029 Madrid – España (Spain) www.atl.es
19