Blog de Gabriel Paradelo

martes, 14 de junio de 2011

Entrevista con el Dr. Horacio Granero, especialista en derecho informático

El Dr. Horacio Granero se ha especializado en el derecho de las nuevas tecnologías, asesorando a empresas nacionales y extranjeras en contratos de tecnología y protección de datos personales, entre otros. En el año 2000 fue designado miembro de la Comisión Redactora del Proyecto de Ley de Firma Digital. En 2008 asesoró a la Cámara de Diputados en la redacción de la ley de modificación del Código Penal en Delitos Informáticos. En 2009 fue designado Presidente de la Comisión de Derecho de la Alta Tecnología del Colegio de Abogados de la Ciudad de Buenos Aires. Es Presidente de Albremática S.A., empresa editora de elDial.com, en la que es Director del Suplemento de Derecho de la Alta Tecnología que se publica mensualmente.

Hablamos con él de las consideraciones legales a tener en cuenta al momento de evaluar la contratación de servicios brindados en Internet conocidos como “servicios en la nube”. En particular, repasamos algunos aspectos que se ven afectados por la Ley de Protección de Datos Personales (en este artículo mencionada a veces como “la ley”) y qué requisitos deben cumplirse en estos casos. También buscamos identificar y diferenciar muchos documentos que típicamente se manejan en las empresas y que no son considerados datos personales.

Especialmente recomienda asegurarse de que la empresa a la que se contratará un servicio de Cloud Computing pueda demostrar su idoneidad para manejar, con una protección adecuada, la información que se pondrá en su custodia. Es bueno evaluar el nivel de servicio al que se compromete (SLA) y hacer una revisión legal con un profesional del contrato que se firmará. En definitiva hacer prevención para evitar futuros inconvenientes.

– ¿Qué pide la Ley de Protección de Datos Personales?
– Para las bases de datos personales alcanzadas por esta ley, las empresas deben cumplir el requisitos de su inscripción en el Registro Nacional de Bases de Datos. También deben asegurarse de resguardar la información adecuadamente para evitar que sea utilizada para un fin distinto de aquellos que motivaron su obtención.

– ¿Qué sucede con la información que manejan las empresas y que no está alcanzada por esta ley, hay algún requisito legal que cumplir?
– El resto de la información es considerada de uso interno de las empresas y no hay requisitos que cumplir con esta ley. No obstante, por sentido común, cualquier empresa estará interesada en resguardar esa información del acceso indebido y asegurar que el proveedor que contratan puede dar una protección adecuada.

– ¿El correo electrónico (de los usuarios) está alcanzado por esta ley?
– El tema es discutible y hay distintas opiniones al respecto. Yo entiendo que sí.

– ¿Los documentos comerciales (propuestas, presupuestos, presentaciones de producto, etc.) que se intercambian con empresas proveedores y clientes están alcanzados?
– No, esto es considerado información de uso interno de la empresa y no está alcanzado.

– ¿En general, los documentos tipo Word están alcanzados?
– No. Son considerados documentos de uso interno.

– ¿Los documentos tipo Excel están alcanzados?
Dependerá del contenido. Si es, por ejemplo, información de clientes para uso de marketing, sí. Otros documentos de uso interno, no.

– ¿En qué influye si un provedor de almacenamiento encripta la información?
Esto va a dar mayor seguridad sobre el nivel de protección que se le está dando a los datos.

– ¿Es necesario que un proveedor de almacenamiento “en la nube” indique el domicilio físico donde se encuentran los servidores de almacenamiento?
No específicamente. Debería poder asegurar que, si se realizan auditorías por ejemplo, podrá demostrar el almacenamiento seguro de la información.

– ¿Qué sucede si información alcanzada por la ley se dividen en partes, almacenando cada parte en un lugar físico distinto?
En el contrato tiene que haber un domicilio, una jurisdicción fijada, donde atender cualquier solicitud legal.

– Si el proveedor es del exterior, ¿debe tomarse algún recaudo especial?
Se debería analizar el contrato y las condiciones de seguridad, respaldo de la información, SLA y que no infrinja ninguna ley Argentina. Esto también es recomendable en todos los casos.

miércoles, 8 de junio de 2011

¿Estrategia para priorizar estabilidad de usuarios pagos?

Esto que voy a contar no está en ninguna documentación oficial de Google pero es mi opinión, basada en mi experiencia personal. He notado que, para evolucionar las aplicaciones, Google primero actualiza las cuentas personales (por ejemplo el clásico GMail gratuito), después las de Google Apps gratis y por último las pagas (Google Apps forma Business). Entre una categoría y otra puede pasar un par de semanas.
Mi razonamiento es que, con esto, en el caso de que alguna actualización pudiera traer algún problema, se minimice la posibilidad de afectar a los usuarios que pagan por el servicio.
Es decir que los usuarios que reciben el servicio "gratis" están brindando a cambio un control de calidad final.

¿Será así?

domingo, 5 de junio de 2011

Infraestructura de Google Apps (II)

Google administra lo que considera un sistema de almacenamiento de escala planetaria. Los números son algo difíciles de comprender, pero, para tener una idea, un ingeniero de Google dijo el año pasado en una presentación: "Te das cuenta de que manejás un storage realmente grande cuando te llega un alerta a la 1 AM porque sólo quedan algunos Petabytes disponibles". (1 Petabyte = 1000 Terabytes).

Lo que pude investigar y recopilar (Google es muy celoso de algunos de los aspectos de su infraestructura) es lo siguiente:

Está formada por una inmensa red de datacenters, cuya ubicación exacta Google no comparte pero se estima que existen al menos 15 en EE UU y 7 en Europa. También en Australia y en Brasil (ver 1 y 2).
Están compuestos por servidores, storages y switches que Google arma por sí mismo (3 y 4). Esta es una gran ventaja estratégica ya que todo está optimizado pensando en la seguridad y la performance para el uso específico que tienen. Google es el cuarto fabricante mundial de hardware. Y el primero para uso propio.
Cada servidor tiene su propia UPS incorporada a la fuente de alimentación. Que es, básicamente, el agregado de una batería. Pero es mucho más que eso, según se desprende de los documentos de patentamiento (5).

Imagen de un servidor publicada por Google en 2008

Los servers corren una versión disminuída de Linux, para minimizar los riesgos de seguridad y aumentar la eficiencia.
En cuanto a los datos, se sabe que cada unidad de información no está almacenada en un sólo server ni en un único datacenter. Los datos son fraccionados y distribuidos en distintos servidores y en distintos datacenters (6). Esto permite obtener una alta performance y resistencia a fallas.
En un datacenter puede haber varios bloques de alrededor de 10000 servidores para almacenamiento de información con 6 discos de 1TB c/u, interconectados por redes de 10Gb. También están investigando los discos de estado sólido (SSD) pero aún no son utilizados masivamente por su relativa baja disponibilidad (para los requirimientos de este monstruo, claro), el alto costo y la duración de largo plazo aún no comprobada (6).
Para que todo esto funcione hay diversas tecnologías (software) propias, desarrolladas a lo largo de varios años (7, 8, 9 y 10). Serán tema un post futuro pero las principales, relacionadas con Google Apps son:

Como sistema de archivos: Google File System y su sucesor Colossus.
Almacenamiento estructurado: Bigtable, BlobStore y Spanner.
Procesamiento distribuido: MapReduce.

Realmente es difícil imaginarse muchas de estas cosas por la escala casi astronómica que representan pero es evidente que consiguen almacenar y procesar enormes cantidades de información de una manera rápida y efectiva.

Referencias: