El CC es definido en su norma terminológica (ISO 17788, 2014) como “un paradigma para permitir el acceso en la red a un grupo escalable y flexible de recursos físicos o virtuales compartibles con aprovisionamiento de autoservicio y administración bajo demanda”10. Bajo el calificativo de “paradigma”, se confirma un “nuevo modo de hacer o de producir”, constatándose que la distribución virtual de cualquier recurso compartido que se provee a través de Internet (por el proveedor del servicio) delimita el concepto de servicio para el cliente (contratante del servicio).

Los modelos de servicio (o de autoservicio) se reconocen atendiendo a dos enfoques: el de los profesionales TI o el del cliente. Respecto a los primeros, se identifican -considerando la infraestructura de la nube- dos modelos básicos de nube: pública (utilizada por una cantidad desconocida entre sí de clientes y donde el usuario transfiere el control de sus datos, reduciéndose las garantías de calidad del servicio, en cierto modo) y privada (en la que el cliente compra el uso exclusivo de la infraestructura de la nube, bien para empleo remoto, bien en el sitio de la nube, siendo administrado por él o por un tercero). La combinación de ambos modelos genera un tercero: nube híbrida (tanto pública, privada como comunitaria, empleada por clientes con dos tipos de datos e informaciones, que requieran privacidad en gradientes diferentes). La nube pública supone menor coste que la privada, debido al tipo de garantías en la compra de servicios. La nube híbrida se presenta como una opción intermedia para clientes con requisitos divergentes y recursos heterogéneos en cuanto a su sensibilidad o privacidad requerida. Esta última, donde se mixturan opciones de nube pública y privada es la tendencia. Además, se reconoce, igualmente, el modelo de nube cuya infraestructura beneficia a una comunidad específica que comparte requisitos y relaciones con otra y donde las relaciones son contratadas por uno de los miembros de dicha comunidad (ISO 17788: community cloud). Esto es, todos comparten el mismo servicio, permitiendo a los clientes tener conocimiento sobre quién está usando la infraestructura compartida. Hecho que no se produce en la opción pura de nube pública, pero que implica beneficios de coste de nube pública.

Desde un enfoque de cliente, se distinguen tres tipos de servicio de acceso mediante demanda: la provisión de software, de plataformas o de infraestructura. Estas modalidades de servicio pueden adoptarse de modo independiente o adaptarse a las necesidades del cliente, de acuerdo a sus preferencias y usos (bajo demanda). Atendiendo al tipo de solicitud y uso se conforma el acuerdo de nivel de servicio y la consiguiente estructura de pago que debe hacerse por los mismos. En cada uno de los servicios principales se reconocen ventajas e inconvenientes. Brevemente se perfilan cada uno de estos tipos, definidos en la norma ISO 17788 (2014).

El modelo IaaS -Infrastructure as a Service (enunciado 3.2.24 de la citada norma), permite al contratante alquilar infraestructura mediante la provisión de acceso al hardware (discos duros, servidores, etc.). Por tanto, se facilita la provisión y uso de recursos de procesamiento, almacenamiento y alojamiento masivo en servicios remotos o red. Se trata de la tercerización de equipos usados como soporte de operaciones de negocios: servidores, máquinas virtuales, almacenamiento, componentes de red. En este modelo, el suscriptor no controla la infraestructura de la nube aunque sí tiene el control sobre sistemas, almacenamiento, aplicaciones desplegadas y algunos otros aspectos de cortafuegos, etc. Por tanto, el desarrollador gana control detallado del entorno y aumenta su responsabilidad en su construcción y gestión. Se reconoce un coste constante en el mantenimiento de operaciones. Las categorías que en la norma se vinculan de modo más inmediato a dicho modelo, son las de almacenamiento de datos (DSaaS- Data Storage as a Service) y las de disposición de mayor potencia de red (NaaS-Net Work as a Service).

El modelo SaaS -Software as a Service (apartado 3.2.36, de la norma), permite al contratante el acceso remoto a software alojado en la infraestructura del proveedor. No siempre precisa gestionar licencias y asumir la responsabilidad de actualizaciones. Facilita las transacciones, al estar el software disponible desde varios dispositivos localizados de modo remoto. Un notorio inconveniente es que el suscriptor no controla la infraestructura ni el software. De este modelo la norma determina categorías de servicio centradas en la comunicación, permitiendo la interacción a tiempo real (CaaS-Communication as a Service), en el almacenamiento de datos (Dsaas-Data Storage as a Service) o en facilitar la conectividad y la capacidad de red (NaaS-Net work as a Service).

El modelo Paas -Plataform as a Service (apartado 3.2.20 de la norma), permite la provisión de alojamiento por el proveedor de servicio en el que el contratante pueda construir su propio software o implementar y ejecutar aplicaciones del cliente. Por lo tanto, se ofertan hardware, SOs, capacidad de red, almacenamiento de datos, sistemas de búsqueda y de disposición geográfica de los datos, facilitando, de este modo que no se produzcan descargas ni se disponga de instalaciones, eliminado obligaciones por parte del contratante de compra, creación y mantenimiento de hardware. Se destaca como particularidad, que es definido por el servicio y para ello se precisa cierto conocimiento de lenguaje de programación o de un conjunto de herramientas específicas. El desarrollador no tiene tanta responsabilidad en el control detallado del entorno, pues no controla la infraestructura, aunque sí las aplicaciones desplegadas por él. Las categorías de servicio que son reguladas en la norma vinculadas a este modelo apoyan la comunicación (Caas- Communication as a Service), la provisión de recursos para ejecutar y visualizar software (ComaaS- Compute as a Service). También se vinculan el almacenamiento de datos como servicio (DSaaS- Data Storage as a Service.) y a la disposición de red (NaaS-Net Work as a Service).

La hibridación de tipos y categorías genera una variada oferta de servicio adecuada a las heterogéneas y mutantes necesidades del cliente. Se desconoce(n) el(los) perfil(les) de propuesta(s) contratada(s) por los archiveros, si bien algunos estudios enuncian comportamientos variados: Borglund (2015) especifica, para la realidad sueca, experiencia de SaaS combinado con IaaS, enfatizando la percepción de los entrevistados sobre la reducida veteranía aún en la aplicabilidad de los modelos para el archivo. Brown y Fryer (2014) reflejan un estudio de caso de nube híbrida (Parlamento de UK), con plataforma tecnológica e infraestructura para el almacenamiento con objetivos de preservación digital a largo plazo, por lo que en principio, parece un modelo IaaS con almacenamiento masivo. Los archivos de Estado del Land de Bade-Wurtemberg en Alemania, emplean un modelo SaaS (Sobczak, 2015). La combinación de Saas y Paas la hallamos en Archivemática, por ejemplo, en la experiencia seleccionada de almacenamiento de los fondos del Consejo de Bibliotecas Universitarias de las Prairies del Pacífico (Sprout y Jordan, 2015).

Las características señaladas para estos servicios son las siguientes: A) actuación bajo demanda, a modo de autoservicio a la carta. B) ancho de banda suficiente para facilitar un acceso rápido a la red, desde cualquier dispositivo con acceso a Internet. C) disposición de un conjunto de recursos compartidos por diferentes contratantes, con conectividad desde diversos terminales para múltiples usuarios al mismo tiempo. D) flexibilidad y capacidad de adaptación –incremento, disminución o modificación- de los servicios y disposición de los recursos de modo rápido atendiendo a las necesidades de los usuarios. Esto es, escalabilidad a la carta. E) Servicio medido y pagado de acuerdo a lo utilizado, esto es, capacidad para medir el uso que se hace en almacenamiento, procesamiento, ancho de banda, empleo de dispositivos y aplicaciones, etc., así como de notificar mediante informe el gasto derivado y parametrizado atendiendo a su utilización, actuando con transparencia en la optimización de los recursos y servicios empleados. (Radack 2012).

Para una adecuada valoración de los servicios a convenir, considerando aquellos que se ofertan, sería recomendable conocer marcos de referencia común en los que se delinean elementos integrantes, así como el marco normativo surgido en la regulación del CC, además de aquellos aspectos vinculados a la seguridad, portabilidad y riesgos asociados. Cuanto mayor sea la comprensión de los mismos y sus potenciales interacciones, en mejor posición se dispondrá el archivero para asesorar sobre estos entornos.

El CC está regulado por un ecosistema de normas orientadas a caracterizar y perfilar una terminología básica (ISO/IEC 17788, 2014), a definir su arquitectura de referencia (ISO/IEC 17789, 2014), a facilitar detalles de los acuerdos de servicio (Serie ISO/IEC 19086-1/4), a mejorar su interoperabilidad y portabilidad (ISO/IEC 19831, 2015 y la futura ISO/IEC 1994111), a garantizar los procesos de su seguridad y confidencialidad de la información general y sus controles (ISO/IEC 27018, 2014; ISO/IEC 27017, 2015; ISO/IEC 27036 1/3)), así como a favorecer la apreciación de posibles riesgos de seguridad en la nube (ISO/IEC 27036-4, 2016). Este grupo de normas regulan aspectos del CC considerando múltiples enfoques, tales como el del proveedor del servicio, el del bróker de este tipo de servicios, el del desarrollador y el del cliente. Enfoques que el archivero debe optimizar en su beneficio.

La norma ISO/IEC 17788 (2014) incluye una terminología básica en la que, además de los conceptos clave, se definen términos sobradamente conocidos por los gestores de documentación, tales como los de disponibilidad, confidencialidad, seguridad, integridad interoperabilidad, capacidad de portabilidad, reversibilidad, auditoría, almacenamiento de datos, entre otros.

La serie ISO 19086 proporciona a clientes y proveedores las herramientas necesarias para elaborar un marco eficiente de servicio (acuerdo de servicio Cloud –CSA) centrado en la concreción de sus niveles de servicio (SLAs), mediante la construcción de acuerdos, la fijación de niveles, la formulación de objetivos, la regulación de requisitos principales a considerar sobre la conformidad de objetivos y calidad del SLA (parte 3); regula, asimismo, el modelo métrico que permite la medición de los objetivos de calidad (parte 2), incluido un acuerdo de nivel considerando los requisitos y objetivos de calidad en el área de la seguridad y la privacidad (parte 4). Para tal fin, ha sido estructurada en 4 partes, siendo la primera la única editada (ISO 19086-1, 2016), mientras que las partes restantes se hallan en estadios intermedios de concreción, para su publicación12. La primera parte explica la interconexión de las restantes. Define contenidos principales de un SLA (servicios cubiertos, conceptos o definiciones, controles, así como roles y responsabilidades) y sus áreas de contenido (figura 2 de la norma), todas ellas relevantes para la gestión de la información y los documentos como se apreciará en el enunciado cuatro.

La norma ISO/IEC 27036-1/3: regula la seguridad de la información y otros aspectos vinculados a protección de datos personales y privacidad, requeridos al proveedor. Estructurada en tres partes, éstas se dirigen a casuísticas y situaciones en las que se pueden especificar arreglos de seguridad. En ella, no se trabajaron factores de continuidad de negocio, dado que estos se incluyen en la norma ISO/IEC 27031 (2011)13. La cuarta parte (ISO/IEC 27036-4 (2016), versa sobre riesgos de adquisición y provisión de los servicios vinculados a la Seguridad de la Información (SI) en entornos de CC. Esta última parte posibilita su visibilidad para servicios en nube pública, privada e híbrida, si bien no es una guía pensada para su apreciación y mitigación, únicamente, describe directrices que apoya la gestión de la SI en estos entornos.

Para el análisis y gestión del riesgo resultan de mayor utilidad la norma ISO/IEC 27002 (2013) y la norma ISO/IEC 27017(2015). Esta última, regula la seguridad en los servicios en la nube (enunciados 5 al 18) basándose en los controles de ISO 27002 (2013)14. En ella, se especifican, tanto desde el enfoque del cliente del servicio CC como desde el proveedor, políticas, organización, recursos humanos, gestión, control del acceso, criptografía, seguridad del entorno y seguridad física, de las operaciones, de la comunicación, del desarrollo y mantenimiento sobre la seguridad de la información en un entorno CC. Incorpora apartados sobre gestión de incidencias en SI, aspectos de SI y de la gestión de la continuidad de negocios, así como sobre el cumplimiento con la regulación contractual y del entorno legal. La norma dispone de dos anexos. A destacar, el primero, Anexo A, en el que se aporta un set de controles de SI en el servicio de CC.

En esta línea, la ISO/IEC 27018 (2014), regula la seguridad en protección de datos considerando los contratos de proveedores de servicios y clientes como base para el cumplimiento de los requisitos establecidos por la legislación sobre la información personal identificable (PII). Se entiende que dichos requisitos variarán atendiendo a la jurisdicción legal. Por ello, es importante conocer -y valorar en el momento de firmar los acuerdos- si los proveedores de servicios se auxiliarán de subcontratas o de opciones de internacionalización en sus servicios. En estos casos, el marco legal sobre protección de datos varía (Park, 2015).

En España, la guía sobre utilización de servicios en la nube (Ministerio de Presidencia, 2014) unifica requisitos de seguridad, requisitos vinculados a datos personales y contratación, detallando interrogantes para los datos personales y explicaciones para cada parte constitutiva del contrato (desde el enfoque de seguridad). Así mismo, la Comisión Europea (2014) ha editado una Guía de referencia para la contratación de niveles de servicio, donde se incluyen recomendaciones de objetivos de servicio para seguridad, gestión de datos y protección de datos personales, así como objetivos de calidad, claramente orientativos.

La gestión de la información de archivo electrónico es regulada en la norma UNE-ISO 14641-1 (2015), donde se incluyen elementos definitorios y caracterizadores de la preservación de la información y sistemas de información de Archivo Electrónico a largo plazo. Se sistematiza la búsqueda de información, accesibilidad y usabilidad de la misma, así como el concepto de “tercera parte de confianza” prestadora de servicios de archivo. Además, se regula el contenido de contratos de externalización y las características aplicables a un caso de subcontratación. Esta norma se dirige tanto a organizaciones que se encuentran implementando un sistema de información, como a aquellas otras que ofrecen tecnologías de la información y se configuren como editores de programas que busquen desarrollar sistemas, así como a aquellas que ofrezcan servicios de archivo de documentos de terceros (y donde el entorno CC puede operar). Si bien, se centra en datos de documentos capturados que no pueden alterarse (ni borrarse, ni cambiarse por otros nuevos). Algunas de sus recomendaciones son fundamentales, como la de revisar elementos técnicos contratados; perfiles de los sistemas de archivado para aquellas personas que van a acceder a la información e interactuar con ella; procedimientos operacionales,15 ante la restitución de ficheros, la eliminación, el establecimiento de contratos, las actuaciones previas -ante la contratación de servicios de archivo por terceras partes de confianza-, o incluso, la evaluación, entre otros elementos.

De igual modo, la norma UNE-ISO 14721 (2015) apoya un diseño de repositorios de ficheros en acceso abierto, cuya confiabilidad puede evaluarse mediante la norma ISO 16363:2012. Esta norma puede emplearse para perfilar criterios en el almacenamiento y funcionalidad de las entidades de captura, de gestión de los datos, de planificación de la conservación, del almacenamiento y administración del mismo. A su vez, la norma ISO 17068:2012 aporta metodología para verificar por tercera parte (contratante u otro) la confianza en repositorios digitales (del proveedor del servicio). Por ende, es de utilidad para que el cliente que ha contratado un servicio obtenga ciertas garantías sobre cómo se realiza dicha gestión (sobre servicios de almacenamiento contratados, personas y sistemas que se encargan de asegurar los recursos digitales). De este modo, la parte contratante puede verificar un grado de seguridad sobre su proveedor.

Conviene recordar que en gestión de documentos se dispone de una norma sobre apreciación del riesgo para los documentos (UNE-ISO/TR 18128, 2014) en la que se reconocen áreas de incertidumbre que afectan al entorno tecnológico, a las amenazas de seguridad externa, a las mudanzas acaecidas en la organización, a la sostenibilidad y continuidad, entre otras, con aspectos tales como cambios: a) ante la adopción de nuevas tecnologías de modo transversal en la organización y la sociedad; b) en la propiedad, transferencia y traslado de los documentos en la organización, c) en la propiedad como resultado de migraciones forzosas, acuerdos de acceso, transferencia y migración; d) en los términos en los contratos de servicios con terceros, que afecten a la interoperabilidad entre sistemas, sobre las compatibilidades con plataformas y aplicaciones, etc. Por otro lado, la norma ISO 15489-1:2016, al definir un documento autorizado, perfila implícitamente posibles amenazas, ante su incumplimiento. De momento, no existe una norma específica que desde los intereses del gestor documental se regule la gestión, almacenamiento y preservación de ficheros, si bien existe un Grupo de trabajo (ISO/TC 46-SC11/WG17 Records in the cloud) que se encuentra desarrollando junto con el ISO/TC 154/WG6 de Aplicaciones de gestión de documentos para Procesos, elementos de datos y documentos en el comercio, la industria y la administración, un proyecto específico (Information and Documentation. Records management in cloud: Issues and concerns) cuya confirmación contribuiría a facilitar la tarea del gestor en este campo.

Algunos autores (Oliver y Knight, 2015; Beagrie y otros, 2014) adelantan las siguientes estrategias de preservación que se deben respetar:

El enfoque de una preservación sostenible debe prevalecer en entornos de incertidumbre. Este es el caso de los entornos CC. El cambio en la práctica archivística en estos entornos ha sido analizado por Stancic y otros (2013) destacando cuatro escenarios clave:

Desconocemos cuantitativamente el grado de inmersión de estos escenarios en la práctica de las organizaciones. Goh y Sengsavang (2016), subrayan en su estudio como la mitad de las organizaciones que contrataron dichos servicios carecían de una política para la externalización de transferencia y gestión de documentos transferidos, recayendo las decisiones sobre la contratación de estos servicios en los Departamentos de informática (76%), frente a un 10% de participación de archiveros. Lógicamente, de este escenario, pueden derivarse riesgos de gestión y de continuidad digital, en la medida en que el proveedor desconozca requisitos de gestión del documento electrónico (GDE) o no esté interesado económicamente en aportar “a priori” niveles de servicio a costes elevados.

El segundo escenario (intervención de control de la organización contratante), precisa de asesoría especializada en GDE, dado que es necesaria para identificar los requisitos a normalizar y para avanzar en la mitigación de posibles riesgos.19

En el tercer escenario (de servicio normalizado), confluyen oferta de servicio normalizado y potenciales riesgos en GDE para la organización contratante del servicio, por lo que la asesoría y el control resultan imprescindibles. Estudios sobre experiencias demuestran actuaciones dispares. Goh y Sengsavang (2016) especifican como un 26.19% negocia niveles de servicio y no acepta el contrato ofertado por el proveedor, un 16.67% no lo negocia y un 28.57% lo desconoce, por lo que se deduce su ausencia en dicha negociación.20.

El cuarto escenario debe estimarse ideal, donde el archivero se adelanta sensibilizando a la organización sobre la necesidad de efectuar acuerdos de nivel de servicio (SLAs) provechosos y respetuosos con la gestión de sus datos; por tanto, actuando de modo activo en la mejora de un marco común de servicios para el que previamente ha analizado los requisitos mínimos de servicio en un contexto CC.

La realidad desde la óptica de gestión documental, ha sido reflejada por Stancic y otros (2013) en el análisis de un proveedor de servicios operativo en cincuenta y ocho países, (alcance global) en el que se destaca la existencia de información sensible, como: documentación sobre personal, datos confidenciales de clientes, información confidencial o secreta vinculada a productos, textos y otros formatos con derechos de autor. Se manifiesta la cesión que realizan las organizaciones a empresas desconocidas de documentación sujeta al cumplimiento de un estricto marco legal. Sitúan en riesgo su imagen, su nivel de competitividad, su reputación comercial, su gobernanza, etc.

A la luz de estas situaciones, los autores recomiendan actuaciones comprometidas, intermediarias entre proveedores y clientes, mediante asesoría calificada como Archivando 2.0 y que McKemmish (2013) adjetiva de Archivos 3.0. Estas, pueden ejercerse atendiendo a la secuencia del ciclo de vida de adopción de un servicio, considerando sus principales etapas que dan respuesta a dónde, cuándo, cómo y con qué actuar. Esto es, a la identificación de localizaciones, tiempos, métodos e instrumentos específicos y que se resumen en el ciclo como:

La fase previa de identificación de requisitos debería, además de trabajar aquellos requisitos funcionales y técnicos de GDE, contrastar cuáles de ellos no se hallan reflejados en el acuerdo estándar o, si estuvieran, su grado de compatibilidad respecto a los exigidos en cuanto a existencia y cumplimiento del marco legal del contratante del servicio. Exige, por tanto, la creación de un listado de requisitos a cumplir por la entidad, sobre el que se verificarán amenazas, valorando ofertas y legalidad de los proveedores de servicios. La labor asesora se sustenta en el análisis del conjunto de ofertas que mejor respondan a los requisitos de la organización y, además, conlleven costes más aceptables en caso de incremento de las prestaciones, sin olvidar los requisitos preceptivos ante la rescisión del servicio.

Lógicamente, todo esfuerzo por sistematizar requisitos alcanza notable valor. Algunos Archivos contribuyen a esta tarea (Archivos de UK, por ejemplo), tabulando un conjunto de ellos, para contrastar requisitos de tipo legal y contractual. Sobre los primeros, cita los vinculados a la custodia de los datos (de mantenimiento y gestión, de seguridad, de cumplimiento), al acceso (derechos), a la transferencia y disposición de los datos (destrucción y transferencia), a los derechos de propiedad intelectual (derechos del depositante, del proveedor y de terceras partes) y finalmente, a la protección de datos personales (jurisdicciones, derechos de los individuos, acceso para uso de datos exentos, infracciones).

A menudo, hallamos orientaciones en normas que pueden servirnos de guía. Tal es el caso de la norma UNE-ISO 14641-1 (2015), donde se especifican actuaciones previas a la contratación del servicio de archivos (permanentes) de una tercera parte de confianza, recomendando verificar si el proveedor del servicio es capaz de cumplir tres aspectos clave, entre otros, que son: capacidad de cumplimiento de requisitos mínimos de archivo (integridad, disponibilidad, fiabilidad, autenticidad, etc.), compatibilidad de las políticas de gestión y de los procedimientos de seguridad con los acordados por la organización.

Por otro lado, en la fase intermedia de un ciclo de servicio sería aconsejable que el archivero –ante su rol asesor- verificase la conformidad del cumplimiento de las estipulaciones convenidas (siempre desde la óptica del cumplimiento de los requisitos de funcionalidad, técnicos, de seguridad, confidencialidad, portabilidad, continuidad etc. de los datos e informaciones) vinculadas a los objetivos de servicio, atendiendo a las modificaciones acaecidas o sobrevenidas, esencialmente en cuanto a accesibilidad, usabilidad, portabilidad, etc. Los elementos de un acuerdo de nivel de servicio son estipulados en diversas fuentes: norma ISO 19086-1 (2016); Guía de la Comisión Europea para normalizar los SLA (2014); directrices del PRO of Victoria (2013); Guía de Seguridad en CC (España. Ministerio de Presidencia: 2014).

El modelo de referencia común ofertado por el proveedor debería describir (siguiendo las indicaciones de la norma ISO 19086-1) el acuerdo de servicio en la nube para facilitar una comprensión común de las partes y el SLA, así como para determinar el nivel del servicio contratado. Su consulta contribuirá a conocer el tipo de tramitaciones a realizar, atributos que caracterizan el SLA, objetivos de nivel de servicio que se ofertan y se aceptan, directrices y mejores prácticas. Lo idóneo, sería poder consultar el acuerdo de servicio marco en el site del proveedor. El SLA, suele formar parte del mismo por lo que favorece su localización.

Un acuerdo de servicio es definido como un acuerdo documentado sobre el servicio establecido entre dos partes (proveedor y contratante del servicio) que como se ha detallado, puede constar de uno o más documentos, sobre los servicios establecidos (ISO 19086-1:2016). Suele disponer de documentos definitorios de términos empleados en todos los servicios, explicativos de obligaciones y descriptivos sobre la finalización del servicio. Acompañan otros adicionales para el acuerdo específico, SLA. No siempre los proveedores aportan esta documentación diferenciada, tal y como McLelland y otros (2014) muestran en el análisis de contratos. Resulta esencial conocer el contenido regulado en la norma sobre las partes de los acuerdos (SLA) para trabajar la apreciación de riesgos. Es una oportunidad para su mitigación, dado que en ellos se incluyen tanto objetivos fijados (cuantitativos y medibles mediante rangos), como elementos cualitativos (lista enumerada de aspectos constatables mediante interpretación humana o sobre su existencia o no existencia) de los servicios acordados: apoyos, niveles de rendimiento, recuperación de desastres, propiedades y acceso a los datos, etc.

De hecho, en dicha norma se especifican áreas de contenido de los SLA que, tanto proveedores como contratantes de servicios, deberían conformar, consultar y acordar respectivamente. Su enumeración es suficientemente aclaratoria de su relevancia: seguridad de la información, disponibilidad, accesibilidad, apoyo al servicio Cloud, terminación del servicio, gobernanza, cambios de servicio, fiabilidad del servicio, rendimiento del servicio, certificaciones, gestión de datos y protección de datos personales. Con frecuencia, los contratos, cambian muy rápidamente por lo que debe quedar definido el modo de comunicación por parte del proveedor y sus actuaciones.

Analizados de modo general (Baset,2012; Gulia y Sood,2013; Pan y Mitchell, 2015) y, desde un enfoque documental (McLelland y otros, 2014; Bushey, Demoulin y McLelland, 2015) los contenidos de un SLA, se percibe coincidencia, -tal y como se señala en la norma- sobre la necesidad de incluir en el acuerdo (o de consultar en la propuesta de acuerdo) detalles sobre el rendimiento del servicio contratado (garantías, duración, granularidad, exclusiones, control de incumplimiento, informes y acreditaciones). Se incide además en la observancia de la terminología, de las limitaciones y responsabilidades de proveedores y contratantes. Resulta aconsejable demarcar contenidos mínimos, así como valorar o incorporar soluciones ante situaciones de pérdida, desastre o incumplimiento. De igual forma, deberían regularse contenidos sobre la notificación de informes y sobre actuaciones ante la finalización o actualización del acuerdo ante devoluciones de datos, modificación de los servicios y responsabilidades derivadas. La ETSI (2012) propone en su informe técnico para evaluar requisitos de calidad de los SLAs los siguientes: rapidez, precisión complementada por fidelidad, disponibilidad, confiabilidad, seguridad, simplicidad, flexibilidad, capacidad y usabilidad.

En la Guía de los Archivos Nacionales de Reino Unido (Beagrie y otros, 2014), se ha sistematizado la siguiente relación de elementos a valorar: disponibilidad, rendimiento, funcionabilidad, externalización, protección de datos, seguridad, control y auditoría, propiedad de los datos y de los metadatos, localización geográfica, disposición de los datos, portabilidad, gestión del cambio, cambios en los términos y condiciones de servicio, identificación y resolución de problemas, infracciones, recuperación ante desastres, mediación ante disputas, terminación del contrato, cambios producidos en el estatus del proveedor o mediador del servicio, renovaciones del contrato, costes y legislación. Bushey y otros (2016), han elaborado una lista de verificación para contratos de servicios CC, en la que proponen 68 interrogantes (agrupados en 8 apartados), dotados de una escala21, en la que se consideran los siguientes aspectos: convenio; propiedad de la información; disponibilidad, recuperación y uso; almacenamiento de datos y preservación; retención y disposición de datos; seguridad, confidencialidad y privacidad; ubicación de los datos y flujo de datos transfronterizos; y, finalmente, terminación del contrato. Dicha guía es altamente aconsejable.

Además del acuerdo de servicio marco y el SLA, el servicio ofertado/aceptado puede conformarse de una base documental amplia que refleja acuerdos de suscripción, acuerdo de procesador, acuerdo de nivel de privacidad e incluir determinadas políticas adoptadas en torno a la privacidad, uso, seguridad, continuidad de negocio y el plan de recuperación de desastres.

La tercera fase del ciclo debería enfocarse, bien a la continuidad digital de la información, bien al aseguramiento de la preservación de los datos, ante la actualización del acuerdo o ante la finalización del mismo (formatos compatibles, migraciones, devolución de datos, borrado en la nube, reversibilidad, tal y como se concretó, metadatos recuperables, comprensibles, etc.). La portabilidad de los ficheros (capacidad de migración de una nube a otra) tendría que estar negociada con anterioridad a la firma del SLA, tanto para fases intermedias –caso de subcontratación de servicios por el prestador- así como para la etapa final. Igualmente, se deberían perfilar las condiciones de renovación del servicio, verificando -en el momento de la rescisión- el cumplimiento de lo acordado en la contratación del servicio y mejorando, en su caso, las clausulas y contenidos del nuevo acuerdo, resultado del estudio de resiliencia. Todas las actuaciones derivadas de la segunda y tercera fase deben de quedar reflejadas en la documentación resultante de los acuerdos o estar sujetas a revisión.

La importancia de participar en la negociación del contrato es tal que confirmamos con Bushey, Demoulin y McLelland (2015) la necesidad de actuar de modo proactivo para alcanzar habilidades y negociaciones que mejoren el rendimiento en estos entornos, dado que tal como señalan dichos autores, la firma de un SLA debe entenderse como “un eslabón en la cadena del proceso de gestión de calidad. Para obtener una alta calidad de servicio se requiere diligencia en la selección del servicio, negociando un contrato equilibrado y otros procedimientos”22. Esto es, centrándose en las relaciones establecidas de confianza entre proveedor y cliente, tanto en el momento de decidir el contrato como en su implementación, determinación y actuación del ciclo de vida. McLelland y otros (2014) analizan el empleo de modelos económicos para la toma de decisiones, ante la firma de un contrato de servicio en la nube.

Numerosos son los archiveros que destacan el potencial rol asesor del archivero en la compra de servicios CC (Askhoj y otros, 2011; McKemmist, 2013; Stancic y otros, 2013), incorporándolo al ejercicio profesional desde un enfoque positivo y subrayando la necesidad de ser formados en esta temática. Con esta finalidad, Oliver y Knight (2015), proponen la adquisición de habilidades y competencias sobre estos entornos. Al respecto, Borglund (2015) enfatiza la prioridad de ahondar en competencias sobre tecnologías de la información, -tanto para los entornos Web como para la seguridad de la información-, así como en la preservación a largo plazo. Igualmente, redunda en la necesidad de adquirir la competencia para el diseño de acuerdos de servicios.

Para finalizar, señalar que Guo y otros (2015) observan estos entornos, como una oportunidad para el archivero, al conferirle el rol de garante de la autenticidad e integridad del documento, percibiéndolo como mediador del servicio de almacenamiento comercial entre los recursos de datos producidos desde el sector privado y almacenados en el sector público (o en el privado), dadas las competencias destacadas y demostradas del archivero en el logro de documentos auténticos.