La necesidad de auditar la Nube de tu empresa

Hoy, la Nube (Cloud) es una tendencia tecnológica que debe ser considerada como una estrategia del negocio, más que una estrategia del área de Tecnología de Información (TI).

De acuerdo con los resultados obtenidos por la encuesta KPMG International Global Cloud Survey Report, el 49%* de los ejecutivos de TI y ejecutivos de negocio encuestados adoptaron el Cloud con la finalidad de reducir el costo; el 42%* por la facilidad de adoptar la fuerza de trabajo móvil; el 37%* lo hicieron para mejorar la alineación con los clientes y socios de negocio; el 35%* para mejorar la obtención de datos; el 32%* adoptaron esta tecnología como una vía de desarrollo de nuevos productos; el 30%* lo hicieron para desarrollar nuevos modelos de negocio; el 28%* para adoptar el modelo global de servicios compartidos; y un 28%* con la finalidad de acelerar el tiempo de comercialización.

Sin importar cuál sea el detonante que se considere para adoptar el Cloud, siempre surgirán interrogantes en torno a la seguridad en la información y la necesidad imperante de evolucionar para soportar los nuevos modelos de negocio.

Para minimizar dichas preguntas, y asegurar que estamos adoptando un buen modelo de gobierno para el Cloud, es necesario establecer una estrategia y lineamientos claros en su administración. Con base en lo anterior, el monitoreo, análisis y evaluaciones periódicas son relevantes para asegurar que la arquitectura implementada cumpla con las capacidades requeridas en la gestión de la información, la entrega de soluciones, la alineación estratégica, el gobierno de las TI, así como los servicios de gestión y operación de TI.

Como parte del análisis al Cloud, se debe de considerar al menos lo siguiente:

1. Las habilidades y experiencia del personal de TI.

2. La selección de la tecnología, su agilidad y flexibilidad, la configuración de la infraestructura y la administración de la capacidad.

3. La toma de decisiones en la inversión y la rendición de cuentas.

4. La administración, implementación y calidad de los proyectos, y la administración del cambio.

5. El cumplimiento legal y regulatorio, la privacidad y seguridad de la información.

6. La administración de errores operacionales y el malware.

7. La administración de terceros, el cumplimiento contractual y la estrategia de salida.

Las empresas que deciden adoptar el modelo de Cloud requieren analizar a profundidad cuáles son los servicios que se implementarán con este esquema, considerando los riesgos asociados a la gestión de estos servicios. Estos riesgos deben ser evaluados considerando la criticidad, confidencialidad e integridad de la información.

Por otra parte, aunque se establecen acuerdos contractuales, niveles de servicio y certificaciones que buscan dar confianza a los clientes en la implementación de este modelo, existen brechas en la gestión y seguridad de la información por su nivel de madurez. Por esta razón, es importante que los clientes consideren implementar auditorías periódicas para confirmar y asegurar que la información tenga el resguardo y protección requerido por el negocio.

La finalidad de implementar un marco de gobierno al Cloud y auditarlo periódicamente nos permitirá administrar las seis principales dimensiones del riesgo: tecnológico, financiero, operacional, administración de proveedores, datos, regulación y cumplimiento. Es importante destacar que cuanto más cohesivo sea el proceso de administración del riesgo mayor será la posibilidad de que el negocio aproveche las oportunidades y pueda anticiparse a las amenazas asociadas.

Con base a lo anterior podemos concluir que algunos de los beneficios inmediatos que pueden obtener las empresas que adoptan un marco de gobierno y auditorías periódicas para su Cloud son:

1. Obtener una visión integral de los riesgos relacionados con la contratación de los proveedores de servicios Cloud.

2. Alinear las actividades de administración de riesgos del proveedor con los programas de administración de riesgos de la empresa.

3. Incrementar la agilidad y flexibilidad para producir resultados confiables a un costo reducido.

4. Lograr una rápida respuesta a las necesidades cambiantes del mercado.

Socia de Tecnologías de la Información y Director de Tecnologías de la Información de KPMG en México

Correo: asesoria@kpmg.com.mx