Dropbox: ¿Una solución para la ISO 27001 de Seguridad de la Información?

Muchas empresas se están planteando acreditarse conforme a la ISO 27001 no solo porque muchos de sus clientes se lo están exigiendo, sino porque conforme pasa el tiempo resulta más importante mantenerse al día en relación a la seguridad de la información. Y aquí aparece el problema: si la empresa no cuenta con un servidor potente, o las prioridades del negocio han ido por otros derroteros y no tenemos un equipo interno que nos ayude con la configuración, Dropbox aparece como una solución aparentemente adecuada para cumplir con muchos de los requisitos de la normal. Pero antes de elegir debemos preguntarnos: ¿es Dropbox una buena solución en este aspecto?

Como todas las alternativas existentes, Dropbox tiene sus puntos a favor y sus puntos en contra, pero no debemos cegarnos ni por sus comerciales ni por el hecho de que, a título particular, ya estamos acostumbrados a su uso. Porque es una decisión crítica y hay que informarse pormenorizadamente antes de tomarla. Además, es muy importante que a la hora de buscar una gestoría o consultoría que nos ayude con este tema sepamos hasta qué punto es cierto lo que nos comentan sobre cada posible solución, sobre todo si tenemos en cuenta que ellos mismos suelen estar interesados en que adoptemos una u otra.

Esta solución de guardado de archivos en la nube es una alternativa factible pero no completa a otras que pueden ser más caras (para ciertos volúmenes de trabajo) como una VPN con servidor propio, y más sencilla que otras como montar un servidor en servicios como el de Amazon (que, en realidad y en muchos aspectos, terminan saliendo mejor).

Puntos a favor del Dropbox para cumplir la 27001 de Seguridad de la Información

Dropbox nos ayuda a cumplir de manera rápida con varios aspectos de la norma 27001 de Seguridad de la Información (y, a decir verdad, de otras normas también), entre los que podemos nombrar:

• Copia de seguridad de los archivos. Dropbox realiza copias de seguridad de forma constante, por lo que es difícil que perdamos información. Además, de cada uno de ellos guarda decenas de versiones, por lo que podemos recuperar aquella del pasado (hasta 120 días en el caso de las cuentas Business) que más nos intereses. Esto es importante para que exista una potencial continuidad de la información en caso de que haya un problema.
• La propia empresa de Dropbox cumple con la 27001. En este sentido podemos incluirlo en el listado de nuestros proveedores que respetan los estándares en este sentido.
• Control de roles y accesos. Dropbox permite hacer distintos permisos y roles, lo cual es esencial para que haya un control sobre la información.
• Trazabilidad de los cambios. Dropbox tiene un completo sistema de control de cambios en función de fechas, usuarios, etc. Los logs e informes que se pueden extraer son muy útiles para que, periódicamente, se pueda evaluar la situación.
• Conexión segura. Este servicio de almacenamiento en la nube utiliza los estándares más avanzados de seguridad en la transmisión de la información, por lo que este aspecto de la norma queda cubierto.

Puntos en contra de Dropbox en relación a la 27001: no es oro todo lo que reluce

Dropbox tiene varios puntos en contra, muchos de ellos especialmente importantes para que no nos engañemos y no creamos que, contratando este ervicio, tendremos la vida solucionada. Nada más lejos de la realidad y, aunque no es tan traumático como lo pintan muchas consultorías y gestorías, sí que hay que conocer estos inconvenientes para no llevarnos un chasco. Y, por supuesto, no debemos confiar en los comerciales que nos llamen directamente desde dropbox porque, por lo menos desde nuestra experiencia, saben cómo ocultar unas carencias que se pueden tornar insalvables para ciertas empresas.

Entre ellos podemos nombrar los siguientes:

• No permite tener copias de seguridad de la configuración de acceso. Es decir, no podemos hacer copias de seguridad del sistema de roles y accesos que hay en nuestro sistema de archivos de la nube.
• Olvídate del soporte. Dropbox y el soporte NO son amigos, y es el problema más importante con el que nos hemos encontrado a la hora de implementar la 27001 utilizando este sistema. ¿Tienes un problema? ¡Busca en internet! Y si no encuentras la solución, sencillamente, desespérate. Desde nuestro punto de vista es imposible que, durante la implementación, no surjan problemas habituales de gestión, ejecución e implementación, lo cual solo será solventado si tenemos una empresa externa que nos ayude a solventarlos o, en su defecto, algún trabajador ‘proactivo’ y versado en las nuevas tecnologías. En caso contrario ni te acerques a este servicio de almacenamiento en la nube.
• No cumple con la LOPD, por lo menos de manera ‘automática. La información se almacena, en parte, fuera de la unión europea, lo cual debe tenerse en cuenta desde este punto de vista.
• Si tienes muchos archivos olvídate de que funcione correctamente. En nuestro caso, y a pesar de que en internet pone (porque, recordemos, no existe otro foro de soporte que internet) que es a partir de 300.000 archivos cuando empieza a no funcionar, nos comenzó a dar problemas desde los 200.000. En este sentido es importante recalcar que no importa lo que pesen, el problema de sincronización aparece aunque los 200.000 ocupen muy poco. Podemos utilizar la sincronización selectiva para solventarlo, pero si lo hacemos veremos cómo muchos trabajadores se quejan porque ‘no tienen acceso a toda la información’.
• No es recomendable su uso en equipos antiguos. Dropbox es MUY poco eficiente, haciendo un uso intensivo de los recursos del ordenador. Por tanto, si queremos instalarlo en un equipo que no sea nuevo o relativamente rápido (sobre todo en lo relacionado con la memoria ram y con la velocidad de lectura/escritura de disco) estaremos perdidos.
• Es caro. Aunque parezca lo contrario, si tenemos un mínimo de usuarios, y teniendo en cuenta el aumento de precio que han hecho durante el último año (algo que, creemos, le está sacando un poco de mercado), hace que nos permita valorar soluciones alternativas igualmente buenas.

Conclusión: Dropbox y la norma 27001 de seguridad de la información

Dropbox es una solución valorable para cumplir con muchos de los requisitos de la norma, pero tiene un grave problema de escalabilidad. Si llegamos a un punto en el que tenemos demasiados archivos (que, en nuestro caso, fue desde el principio) puede ser un problema la implementación. Incluso si utilizamos la sincronización selectiva.

Por otro lado es especialmente relevante el hecho de que el soporte prestado por esta empresa es francamente deficiente, algo que nos puede generar mucha incertidumbre y quebraderos de cabeza.

Con lo anterior ya podemos tener una visión general de la situación de este servicio no solo con la norma 27001 de seguridad de la información, sino como herramienta en general para las empresas. Además, es importante conocer todas sus ventajas e inconvenientes a la hora de buscar una buena gestoría y consultoras, ya que muchas no suelen ser completamente objetivas en este tipo de tecnologías.

Artículo escrito por Rodrigo Tovar.