Release Tracks de Google Apps

Continuando con el tema de un post anterior (ver 1) voy a profundizar  sobre las opciones que tiene un administrador de Google Apps para seleccionar la estrategia más agresiva o más conservadora de actualización funcional de sus aplicaciones. Las opciones son 2:

• Rapid Release (Liberación Rápida): las nuevas funciones se activan para el dominio tan pronto como Google realiza su puesta en producción. Las cuentas personales (gratuitas) se activan por este mecanismo.
• Scheduled Release (Liberación Programada): las nuevas funciones se comunican por mail previamente los días martes y, por lo menos, una semana después de haber sido liberadas para los usuarios de la opción rápida. La activación se realiza el martes de la semana siguiente.

Comparación de eventos de comunicación y actualización
para los 2 esquemas de liberación

Yo, como consultor, utilizo la Liberación Rápida para conocer y probar lo antes posible las nuevas funcionalidades. Para una empresa recomiendo utilizar la Liberación Progamada. De manera que los administradores de IT puedan recibir los avisos previos y preparar alguna comunicación interna, si es necesario.
Para las grandes empresas es conveniente contar con un dominio adicional (posiblemente asociado a una versión gratuita de Google Apps) asociado a la Liberación Rápida, para poder realizar pruebas de la nueva funcionalidad, en los casos que se crea conveniente, antes de la liberación a los usuarios.

Es importante aclarar que no es posible evitar la liberación de nueva funcionalidad, ya que esto asegura que todo el ecosistema de Google Apps está funcionando bajo las mismas versiones y todos podemos gozar de la misma alta disponibilidad y performance.

Referencias
1. Estrategia para priorizar estabilidad de usuarios pagos?
2. Google Apps release process

Gracias a Dante Otero por la fuente de información!
[Technorati code: JZ446QJGBCST]

Tecnologías emergentes Cloud Computing y Gestión de Riesgos

El martes pasado asistí a un evento organizado por Baitec (la Incubadora de empresas de Base Tecnológica del Gobierno de la Ciudad de Buenos Aires). Se habló de Cloud Computing y la gestión de sus riesgos asociados. Los expositores fueron Dante Otero, de Google, Ezequiel Glinsky de Microsoft y Carlos Mora, de Santa Mónica Consulting.

Realmente fue una buena combinación de temas, ya que siempre es positivo (diría necesario!) para un proyecto, gestionar sus riesgos asociados. Siempre los hay. No hacerlo es negarse a ver la realidad y quedar a la suerte del destino... y la implementación o desarrollo con cloud computing es, en este sentido, como cualquier otro proyecto.

Los oradores: Carlos Mora, Ezequiel Glinsky y Dante Otero

Primero Dante y Ezequiel expusieron, respectivamente, las propuestas de Google y Microsoft para cloud. Ezequiel explicó que Microsoft estará lanzando su plataforma de desarrollo Azure y la suite de aplicaciones online (Exchange, Office y Sharepoint), en Argentina, durante el año 2012.
Dante comentó que tanto Google App Engine como Google Apps están disponibles a nivel mundial.

Carlos hizo una muy buena presentación de la necesidad de realizar un adecuado manejo de riesgos para los proyectos y los procesos de tecnología y profundizó especialmente las consideraciones a tener en cuenta en una implementación de Cloud Computing.

Ezequiel Glinsky contó que la empresa desarrolladora de juegos online Three Mellons, fundada por argentinos y comprada posteriormente por Disney, utiliza Windows Azure (la plataforma de aplicaciones en la nube de Microsoft) y fue reconocida como una de las mejores del año por Microsoft. Three Melons reconoce que Azure le permitió implementar en tiempo record su famoso juego Bola, para Facebook.

Dante Otero destacó que, superando el SLA de 99,9%, ofrecido para el paquete Google Apps for Business, la disponibilidad real de la misma durante 2010 fue de casi 99,99%. Este paquete, que incluye 24 aplicaciones (entre las que se destacan Gmail, Gtalk, Google Docs y Google Sites) es ya utilizado por más de 4.000.000 de empresas en todo el mundo. Otro punto destacado por Dante para el año 2010 fue el promedio de 14 nuevas funciones incorporadas en cada mes. Y en 2011 el ritmo es aún mayor. La modalidad de mejorar de manera contínua las aplicaciones es uno de los puntos que las diferencia de Microsoft, que tiene un esquema de actualizaciones cada 2 ó 3 años. A mi entender esto es mucho más amigable para el usuario: ya que no hay que esperar mucho para recibir nuevas funcionalidades (que usualmente son las demandadas por los usuarios) y no existen grandes disrupciones en la experiencia del usuario (como sí se dan cuando Microsoft decide implementar una nueva interfaz con ribbon, por ejemplo).

Finalmente, Carlos Mora realizó una muy clara exposición. Explicó que los riesgos son incertezas que deben primero reconocerse (Análisis de riesgos) para luego gestionarlos (Gestión de riesgos) para reducir su probabilidad de ocurrencia y tomar contramedidas para mitigarlos, en caso de que sucedan.
Entre los beneficios destacados de la gestión de riesgos mencionó:

• Proteger la inversión.
• Preparar para enfrentar las amenazas.
• Incrementare la confianza en la gestión.
• Evitar la "gestión por crisis" (apagar incendios...).

Otro tema que mencionó es "cuanto se está dispuesto a pagar para minimizar ciertos riesgos". Ya que, a veces, el costo de mitigar un riesgo es mayor al que se incurriría si este se produce.

Referencias
1. Presentación Santa Mónica Consulting - Gestión de Riesgos

Un paquete del Marketplace para complementar Google Apps

Esta semana 3 desarrolladores que ofrecían sus productos para complementar Google Apps por separado hicieron un acuerdo y lanzaron un paquete de aplicaciones en conjunto. Es importante destacar que el precio es muy competitivo, ya que estos productos, por separado cuestan US$ 27 y en el paquete se pueden conseguir por US$ 9 por usuario por año.

Banner de promoción del paquete de seguridad

¿Qué es lo que ofrecen? Bueno, describo brevemente las funcionalidades de cada uno:

Backupify
Este producto permite configurar backups periódicos (diarios o semanales) de los datos del dominio en un storage montado sobre la plataforma de Amazon S3. Solucionando problemas de borrados accidentales o, inclusive, maliciosos.
Principales características:

• Configuración de copia de seguridad y gestión centralizada para todos los usuarios de Google Apps.
• Copia de seguridad automática de Google Docs, calendarios, contactos y sitios.
• Posibilidad de navegar por los archivos para localizar, ver, descargar y restaurar los datos.
• Restauración con un clic.

CloudLock
Este producto está orientado a asegurar Google Docs y tener control y visibilidad mediante la auditoría y gestión de los derechos de acceso. También implementar políticas de compliance y de retención de registros.
Principales características:

• Análisis de uso
• Reportes de exposición de datos
• Auditoría de documentos y usuarios
• Alertas de exposición
• Reportes detallados de cambios
• Reparación de documentos y Derechos de Acceso
• Pista de auditoría completa

Power Panel
Este es un conjunto de herramientas para simplificar la administración. Las principales características son:

• Administración de la Biblioteca Compartida de contactos.
• Delegación de funciones administrativas como reset de contraseñas.
• Macros para aplicar diversas políticas a grupos de usuarios.
• Monitoreo de emails.

Voy a probarlo y contar la experiencia.

Referencias

1. Secure Cloud Bundle
2. Backupify
3. Cloud Lock
4. Power Panel

Entrevista con el Dr. Horacio Granero, especialista en derecho informático

El Dr. Horacio Granero se ha especializado en el derecho de las nuevas tecnologías, asesorando a empresas nacionales y extranjeras en contratos de tecnología y protección de datos personales, entre otros. En el año 2000 fue designado miembro de la Comisión Redactora del Proyecto de Ley de Firma Digital. En 2008 asesoró a la Cámara de Diputados en la redacción de la ley de modificación del Código Penal en Delitos Informáticos. En 2009 fue designado Presidente de la Comisión de Derecho de la Alta Tecnología del Colegio de Abogados de la Ciudad de Buenos Aires. Es Presidente de Albremática S.A., empresa editora de elDial.com, en la que es Director del Suplemento de Derecho de la Alta Tecnología que se publica mensualmente.

Hablamos con él de las consideraciones legales a tener en cuenta al momento de evaluar la contratación de servicios brindados en Internet conocidos como “servicios en la nube”. En particular, repasamos algunos aspectos que se ven afectados por la Ley de Protección de Datos Personales (en este artículo mencionada a veces como “la ley”) y qué requisitos deben cumplirse en estos casos. También buscamos identificar y diferenciar muchos documentos que típicamente se manejan en las empresas y que no son considerados datos personales.

Especialmente recomienda asegurarse de que la empresa a la que se contratará un servicio de Cloud Computing pueda demostrar su idoneidad para manejar, con una protección adecuada, la información que se pondrá en su custodia. Es bueno evaluar el nivel de servicio al que se compromete (SLA) y hacer una revisión legal con un profesional del contrato que se firmará. En definitiva hacer prevención para evitar futuros inconvenientes.

– ¿Qué pide la Ley de Protección de Datos Personales?
– Para las bases de datos personales alcanzadas por esta ley, las empresas deben cumplir el requisitos de su inscripción en el Registro Nacional de Bases de Datos. También deben asegurarse de resguardar la información adecuadamente para evitar que sea utilizada para un fin distinto de aquellos que motivaron su obtención.

– ¿Qué sucede con la información que manejan las empresas y que no está alcanzada por esta ley, hay algún requisito legal que cumplir?
– El resto de la información es considerada de uso interno de las empresas y no hay requisitos que cumplir con esta ley. No obstante, por sentido común, cualquier empresa estará interesada en resguardar esa información del acceso indebido y asegurar que el proveedor que contratan puede dar una protección adecuada.

– ¿El correo electrónico (de los usuarios) está alcanzado por esta ley?
– El tema es discutible y hay distintas opiniones al respecto. Yo entiendo que sí.

– ¿Los documentos comerciales (propuestas, presupuestos, presentaciones de producto, etc.) que se intercambian con empresas proveedores y clientes están alcanzados?
– No, esto es considerado información de uso interno de la empresa y no está alcanzado.

– ¿En general, los documentos tipo Word están alcanzados?
– No. Son considerados documentos de uso interno.

– ¿Los documentos tipo Excel están alcanzados?
Dependerá del contenido. Si es, por ejemplo, información de clientes para uso de marketing, sí. Otros documentos de uso interno, no.

– ¿En qué influye si un provedor de almacenamiento encripta la información?
Esto va a dar mayor seguridad sobre el nivel de protección que se le está dando a los datos.

– ¿Es necesario que un proveedor de almacenamiento “en la nube” indique el domicilio físico donde se encuentran los servidores de almacenamiento?
No específicamente. Debería poder asegurar que, si se realizan auditorías por ejemplo, podrá demostrar el almacenamiento seguro de la información.

– ¿Qué sucede si información alcanzada por la ley se dividen en partes, almacenando cada parte en un lugar físico distinto?
En el contrato tiene que haber un domicilio, una jurisdicción fijada, donde atender cualquier solicitud legal.

– Si el proveedor es del exterior, ¿debe tomarse algún recaudo especial?
Se debería analizar el contrato y las condiciones de seguridad, respaldo de la información, SLA y que no infrinja ninguna ley Argentina. Esto también es recomendable en todos los casos.

¿Estrategia para priorizar estabilidad de usuarios pagos?

Esto que voy a contar no está en ninguna documentación oficial de Google pero es mi opinión, basada en mi experiencia personal. He notado que, para evolucionar las aplicaciones, Google primero actualiza las cuentas personales (por ejemplo el clásico GMail gratuito), después las de Google Apps gratis y por último las pagas (Google Apps forma Business). Entre una categoría y otra puede pasar un par de semanas.
Mi razonamiento es que, con esto, en el caso de que alguna actualización pudiera traer algún problema, se minimice la posibilidad de afectar a los usuarios que pagan por el servicio.
Es decir que los usuarios que reciben el servicio "gratis" están brindando a cambio un control de calidad final.

¿Será así?

Infraestructura de Google Apps (II)

Google administra lo que considera un sistema de almacenamiento de escala planetaria. Los números son algo difíciles de comprender, pero, para tener una idea, un ingeniero de Google dijo el año pasado en una presentación: "Te das cuenta de que manejás un storage realmente grande cuando te llega un alerta a la 1 AM porque sólo quedan algunos Petabytes disponibles". (1 Petabyte = 1000 Terabytes).

Lo que pude investigar y recopilar (Google es muy celoso de algunos de los aspectos de su infraestructura) es lo siguiente:

• Está formada por una inmensa red de datacenters, cuya ubicación exacta Google no comparte pero se estima que existen al menos 15 en EE UU y 7 en Europa. También en Australia y en Brasil (ver 1 y 2).
• Están compuestos por servidores, storages y switches que Google arma por sí mismo (3 y 4). Esta es una gran ventaja estratégica ya que todo está optimizado pensando en la seguridad y la performance para el uso específico que tienen. Google es el cuarto fabricante mundial de hardware. Y el primero para uso propio.
• Cada servidor tiene su propia UPS incorporada a la fuente de alimentación. Que es, básicamente, el agregado de una batería. Pero es mucho más que eso, según se desprende de los documentos de patentamiento (5).



Imagen de un servidor publicada por Google en 2008

• Los servers corren una versión disminuída de Linux, para minimizar los riesgos de seguridad y aumentar la eficiencia.
• En cuanto a los datos, se sabe que cada unidad de información no está almacenada en un sólo server ni en un único datacenter. Los datos son fraccionados y distribuidos en distintos servidores y en distintos datacenters (6). Esto permite  obtener una alta performance y resistencia a fallas.
• En un datacenter puede haber varios bloques de alrededor de 10000 servidores para almacenamiento de información con 6 discos de 1TB c/u, interconectados por redes de 10Gb. También están investigando los discos de estado sólido (SSD) pero aún no son utilizados masivamente por su relativa baja disponibilidad (para los requirimientos de este monstruo, claro), el alto costo y la duración de largo plazo aún no comprobada (6).
• Para que todo esto funcione hay diversas tecnologías (software) propias, desarrolladas a lo largo de varios años (7, 8, 9 y 10). Serán tema un post futuro pero las principales, relacionadas con Google Apps son: 
• Como sistema de archivos: Google File System y su sucesor Colossus.
• Almacenamiento estructurado: Bigtable, BlobStore y Spanner.
• Procesamiento distribuido: MapReduce.

Realmente es difícil imaginarse muchas de estas cosas por la escala casi astronómica que representan pero es evidente que consiguen almacenar y procesar enormes cantidades de información de una manera rápida y efectiva.

Referencias:

1. http://www.nytimes.com/2006/06/14/technology/14search.html
2. http://www.datacenterknowledge.com/archives/2008/03/27/google-data-center-faq/
3. http://arstechnica.com/hardware/news/2009/04/the-beast-unveiled-inside-a-google-server.ars
4. http://gigaom.com/2007/11/18/google-making-its-own-10gig-switches/
5. http://www.datacenterknowledge.com/archives/2008/02/15/google-files-patent-on-ups-architecture/
6. http://static.googleusercontent.com/external_content/untrusted_dlcp/research.google.com/es//university/relations/facultysummit2010/storage_architecture_and_challenges.pdf
7. http://labs.google.com/papers/mapreduce.html
8. http://labs.google.com/papers/chubby.html
9. http://labs.google.com/papers/gfs.html
10. http://labs.google.com/papers/bigtable.html

Infraestructura de Google Apps - Seguridad

El último jueves estuve en una charla que dio Dante Otero, Gerente de Preventa de Google Apps for Business, en Info Security. Dio detalles sobre la infraestructura que está detrás de Google Apps y las medidas de seguridad que se toman para preservar los datos de sus clientes.Explicó que, respecto de la seguridad, se trabaja en tres aspectos: la gente, los procesos y la tecnología.



Dante Otero en Info Security


La gente: Para comenzar, sólo un grupo reducido de personas tiene acceso a los centros de datos. También cuenta con un importante equipo formado por algunos de los más reconocidos expertos de la industria y la academia, que trabaja los aspectos de seguridad de la información, las aplicaciones y las redes.

Los procesos: porque la seguridad es parte del DNA de Google. Las aplicaciones son desarrolladas desde el inicio pensando en la seguridad como prioridad. Google recibe, como parte del programa SAS 70 II, auditorías externas a sus sistemas cada 3 meses. Cuenta también con la certificación FISMA, otorgada por el gobierno de los EE UU.

La tecnología: Este tema tema es tan extenso que merece un post aparte. Como introducción: hay un completo control automatizado de todo el stack de software y hardware. Los servidores corren una versión disminuída de Linux, para minimizar los riesgos de seguridad y aumentar la eficiencia.
De la infraestructura, explicó que los datos de sus clientes se encuentran distribuidos entre múltiples datacenters, como muestra el siguiente esquema:

Esto permite aumentar la seguridad, mejorar la performance en el acceso a los datos. Además, por ser la información redundante, da una importante protección ante fallas. ¿Cómo es esto? La arquitectura de las aplicaciones y las redes están diseñadas para dar una máxima confiabilidad. Asumiendo que habrá hardware que fallará, el sofware debe ser capaz de manejar estas situaciones de manera habitual.

Es suficiente? Nunca es suficiente cuando el tema es seguridad. Siempre hay que seguir trabajando. Pero parece que Google está haciendo mucho para asegurar los datos propios y de sus clientes. Creo que bastante más que lo que la mayoría de las empresas y gobiernos pueden hacer por si solos.

Referencias:
White paper: Google Apps Security