Dueño de los datos: qué exigir a un proveedor de software

Los datos de una organización, y las licencias que sostienen sus sistemas, le pertenecen a ella. Parece evidente, pero en la práctica muchas organizaciones descubren que no es así justo cuando quieren cambiar de proveedor. Este artículo propone criterios de gobierno de TI para evitarlo.

• Licencias, cuentas y datos deben estar a nombre del cliente desde el primer día.
• Toda solución se prueba en una copia antes de comprarla o ponerla en producción.
• Una buena relación con un proveedor incluye desde el inicio la posibilidad de salir sin dependencia.

Dónde nace la dependencia

La dependencia de un proveedor rara vez se pacta de forma explícita. Se acumula en detalles: una cuenta de administración creada a nombre del proveedor, una licencia comprada con sus datos, un servidor al que solo él tiene acceso, una configuración que nadie más conoce. Cada decisión parece razonable por separado; juntas, hacen que cambiar de proveedor sea costoso o directamente inviable.

El gobierno de TI consiste, en buena medida, en evitar esa acumulación a tiempo.

Licencias y datos a nombre del cliente

El criterio más simple es el más efectivo: todo lo que se compra, se registra y se almacena para la organización queda a su nombre. Las licencias de software, los dominios, las cuentas en plataformas en la nube y las bases de datos tienen como titular a la organización, y el proveedor opera con permisos delegados que pueden retirarse.

Esto tiene una consecuencia práctica importante: si la relación termina, la organización conserva todo lo necesario para continuar, sin negociar la entrega de lo que ya era suyo.

Probar en copia antes de comprar

Antes de adquirir una licencia o cambiar un sistema en uso, conviene probar en una copia. Una copia permite comprobar que la solución hace lo que se espera, con datos de ejemplo y sin riesgo para la operación. También revela temprano cuánto depende la solución de elementos propios del proveedor. Una prueba bien hecha evita compromisos prematuros y aclara qué se está contratando realmente. Para el cuidado de los datos en estas pruebas, véase Datos de prueba sintéticos.

Ambientes separados

Cuando un proveedor atiende a varios clientes, cada uno debería operar en un ambiente propio. La separación evita que un error o un incidente en un cliente alcance a otro, y simplifica la entrega: sacar a un cliente de su ambiente no afecta a los demás. Es un criterio válido tanto para sistemas pequeños como para portales con información sensible, como el descrito en Sala de datos virtual para inversionistas.

Contraparte con los mismos accesos

Un esquema sano incluye una persona de la organización cliente con los mismos accesos que el proveedor, capaz de intervenir en una emergencia sin esperar. No se trata de desconfianza: es una forma de continuidad. Si el proveedor no está disponible, o simplemente se necesita una segunda mirada, la organización puede actuar. En IT Lab operamos con este principio, y lo consideramos parte de un servicio transparente.

Documentar para poder salir

La salida sin dependencia depende de dos cosas: que todo esté a nombre del cliente, y que lo esencial esté documentado. Un buen proveedor entrega, además del sistema, la descripción de cómo funciona, dónde está cada componente y cómo se restaura. Los respaldos juegan un papel central: una copia que se ha restaurado con éxito es la mejor prueba de que los datos pueden moverse. Sobre este punto, véase Respaldo 3-2-1.

Lista práctica

• Revisar a nombre de quién están las licencias, dominios y cuentas de administración.
• Pedir que los datos y su titularidad queden por escrito a nombre de la organización.
• Probar toda solución nueva en una copia antes de comprar.
• Exigir ambientes separados por cliente cuando el proveedor atienda a varios.
• Designar una contraparte interna con los mismos accesos que el proveedor.
• Solicitar documentación de arquitectura y de restauración.
• Ensayar la recuperación de un respaldo al menos una vez.

Preguntas frecuentes

¿Cambiar de proveedor implica siempre una migración difícil? Depende de cuánto se haya acumulado. Con licencias, datos y documentación en poder del cliente, la migración es un proyecto acotado y no una negociación.

¿Por qué el cliente debería tener los mismos accesos que el proveedor? Para poder actuar en una emergencia y para ejercer control real. Es compatible con una relación de confianza.

¿Esto aplica a sistemas pequeños? Sí. Un sitio web, un correo corporativo o un CRM pueden tener titulares equivocados con la misma facilidad.

¿Quién define los permisos del proveedor? La organización cliente, que los otorga y puede retirarlos.

Orientación general; los contratos y su alcance legal deben revisarse con asesoría jurídica.

En IT Lab nos preocupamos por los datos de nuestros clientes tanto como ellos, y por eso trabajamos con licencias y datos a nombre del cliente, pruebas en copia y una salida siempre disponible. Para un caso donde estos criterios se aplican con exigencias de otro país, véase Proveedor de TI en Chile para clientes en Estados Unidos.

Si desea revisar sus propios acuerdos con proveedores, Conversemos.