El apagón en la nube que tu cláusula de fuerza mayor ya te ha dicho que no cubre
El fallo simultáneo en varias regiones con más capacidad de dejar tu negocio a oscuras es un ataque hostil deliberado. Es también, exactamente, el escenario que el contrato de tu proveedor, su SLA y tu póliza de interrupción de negocio están diseñados para rechazar. Esa brecha no está asegurada, no está valorada y está sobre tu balance.
Abre el contrato marco de tu proveedor de nube y busca la cláusula de fuerza mayor. El Acuerdo de Cliente de AWS sitúa los eventos fuera de su control razonable al margen de sus obligaciones, y menciona expresamente la guerra y el terrorismo entre ellos. Esa única frase decide, en silencio, quién paga cuando todo se rompe a la vez, y la respuesta no es el proveedor. El apagón con más capacidad de tumbar varias regiones en la misma hora, la acción hostil deliberada, es precisamente la categoría que el contrato deja fuera. Lee tu propia letra pequeña; la convención es prácticamente universal en el sector. Así que el fallo con mayor impacto correlacionado es aquel para el que tu proveedor ya te ha avisado que no va a responder.
El acuerdo de nivel de servicio no cierra esa brecha, y sus propias cifras lo confirman. El SLA de Compute de AWS paga un crédito de servicio del 10% cuando la disponibilidad mensual cae por debajo del 99,99%, del 25% por debajo del 99%, y solo del 100% si cae por debajo del 95%, y cada tramo es un crédito contra la factura de ese servicio, no efectivo por negocio perdido. Haz la cuenta. Sobre un gasto mensual de seis cifras, el pago máximo por un apagón catastrófico de varios días es un crédito de seis cifras que solo puedes gastar con el proveedor que acaba de fallarte. El SLA nunca fue cobertura de continuidad. Es un reembolso por calidad de servicio, y tratarlo como red financiera es el primer error de cálculo.
Queda el seguro, y aquí la brecha se ensancha en lugar de cerrarse. Las pólizas de interrupción de negocio y de ciberriesgo llevan de serie exclusiones por guerra y acción hostil, y las aseguradoras recurren a ellas cuando la pérdida es grande. NotPetya, el malware de 2017 que dejó fuera de servicio a una multinacional farmacéutica y le costó bien entrados los diez dígitos en dólares, se convirtió en el caso de referencia: la reclamación fue rechazada invocando una exclusión por acción bélica u hostil, y el litigio se prolongó durante años. La respuesta del mercado desde entonces ha sido endurecer, no relajar: Lloyd's exige ya que las pólizas de ciberseguro autónomas excluyan directamente los ataques respaldados por Estados. Así que los tres instrumentos que un consejo de administración asume que absorberán un apagón correlacionado, el contrato del proveedor, el SLA y el seguro, están cada uno diseñados para apartarse precisamente del escenario de acción hostil que provoca uno. Aquí describo la convención general del mercado, no interpreto tu póliza concreta, y deberías leer la tuya. Pero si el apagón correlacionado es el apagón no asegurado, la exposición no desaparece. Simplemente recae, en silencio, sobre ti.
¿Cuánto cuesta realmente un apagón multirregión no asegurado?
Toma una empresa que factura 60 millones de euros al año. Eso son, aproximadamente, 164.000 euros de facturación por cada día normal de actividad. Supón que un evento correlacionado tumba las regiones europeas de su proveedor principal durante tres días, y supón, como permite la letra anterior, que tanto el SLA como la cobertura de interrupción tratan la causa como excluida. El ingreso directo en juego ronda medio millón de euros, antes de contar penalizaciones contractuales, antes de la reputación, antes de los clientes que en silencio prueban a la competencia mientras tú estás a oscuras. Estas cifras son orientativas, pon las tuyas, pero la estructura se mantiene: la pérdida no tiene techo y recae íntegramente sobre tu balance, porque los instrumentos que dabas por hecho que la absorberían se han apartado todos a la vez.
¿Por qué la redundancia que pagaste no elimina este riesgo?
Porque la redundancia está calculada para accidentes, y un ataque dirigido no es un accidente. La arquitectura multirregión descansa en una sola hipótesis: que los fallos son independientes. La probabilidad de que dos regiones caigan en la misma ventana temporal es, aproximadamente, el producto de dos números pequeños, lo que da un número mucho más pequeño todavía, así que repartir la carga hace que un apagón total sea prácticamente improbable. Frente a fallos de hardware, cortes de energía, errores de configuración o meteorología, esa cuenta funciona. Un adversario la rompe de un solo movimiento, eligiendo tu región de Fráncfort y tu región de Dublín en la misma hora porque ha leído el mismo diagrama de arquitectura que dibujaste tú. En cuanto el fallo se elige en lugar de sortearse, la independencia deja de existir, y con ella se va la manta de seguridad del cálculo de probabilidad compuesta. La información que un cliente usa para diseñar su conmutación por error es, a grandes rasgos, la misma que usa un atacante para derrotarla, y los proveedores publican esa arquitectura general por diseño, precisamente para que puedas construir sobre ella.
¿Por qué el riesgo de concentración en la nube es ahora un problema de continuidad de negocio?
Dos cambios han hecho que esto pase de riesgo remoto a horizonte de planificación. El mapa se ha estrechado: los datos públicos de Synergy Research Group muestran que los tres mayores proveedores acumulan en torno a dos tercios de los ingresos mundiales de infraestructura en la nube, así que la mayor parte de la capacidad empresarial reside ya dentro de un puñado de estructuras de proveedor, que es justo lo que convierte un solo acto hostil en un evento correlacionado y multiempresa. El marco político ha cambiado con él: la actual Administración estadounidense presenta su Plan de Acción de IA como una estrategia para mantener el dominio tecnológico de Estados Unidos, lo que recategoriza los centros de datos comerciales como activos estratégicos a ojos de cualquiera enfrentado a ese gobierno. En la Unión Europea, además, el Reglamento DORA obliga ya a las entidades financieras a documentar y gestionar el riesgo de concentración en proveedores TIC críticos, lo que confirma que reguladores serios tratan esto como problema de resiliencia operativa y no como hipótesis remota. No necesitas un incidente con nombre propio para valorar esto; la concentración y la lógica del objetivo bastan por sí solas. Los incidentes solo lo hacen tangible, y ya ha habido afirmaciones, que conviene tratar con el escepticismo que merece una bravata de guerra, sobre infraestructura de datos comercial señalada como objetivo: la Guardia Revolucionaria iraní, por ejemplo, reivindicó un ataque contra infraestructura de datos de Amazon en Baréin, una declaración de una parte del conflicto sin respuesta confirmada por la otra. Incluso sin probar, indica que alguien considera ya un centro de datos comercial como objetivo militar legítimo. Los edificios no han cambiado. Su vallado, sus contratos y su seguro tampoco. Solo ha cambiado la lista de objetivos.
¿Se puede planificar el apagón que no se puede asegurar?
No puedes comprar este riesgo dentro de una sola nube, y no puedes asegurar la parte que realmente importa, así que la mitigación tiene que ser operativa. Deja de preguntarte si tu proveedor es resiliente. Esa respuesta depende de la seguridad física de otro y de las intenciones de un tercero. Pregúntate lo que sí controlas: ¿qué puede seguir entregando este negocio al 90%, al 50% y al 10% de su capacidad, durante cuánto tiempo, y a qué coste para clientes y reputación? La mayoría de los planes de continuidad son binarios. Arriba o abajo. «Conmutar a otra región» es una hipótesis disfrazada de plan. La degradación por niveles es barata de especificar, se puede poner a prueba, y sobrevive al contacto con un fallo correlacionado que ningún cheque puede impedir.
Decidir de antemano qué servicios se sacrifican primero, cuáles se sostienen cueste lo que cueste, y qué significa en la práctica «funcionar al 10%» para la entrada de pedidos o la seguridad, es la misma disciplina que diseñar sistemas que siguen siendo controlables bajo presión, y debe formar parte de tu estrategia técnica, no quedar enterrado en un anexo que nadie ensaya. La multinube se gana su coste para el puñado de cargas que no pueden fallar, porque elimina la correlación de una sola nube que explota un atacante, pero también compra complejidad real. Trátala como seguro dirigido para lo que tiene que sobrevivir, no como una reconstrucción general.
La nube no es el problema, y los proveedores han construido máquinas genuinamente buenas para los modos de fallo que se les pidió resolver. La brecha está en tu propio plan: la cláusula que nunca leíste hasta el final, el SLA que confundiste con cobertura, y la exposición que nunca valoraste. Averigua qué excluyen exactamente la letra de tu fuerza mayor y tu póliza de interrupción, y luego decide qué puedes seguir operando cuando ocurra lo excluido. Ese es trabajo para hacer antes de la próxima construcción, no después del próximo titular.
Preguntas frecuentes
¿Me pagará el SLA o el seguro de interrupción de negocio tras un ataque deliberado a un centro de datos?
A menudo no. Las cláusulas de fuerza mayor de los proveedores cloud enumeran la guerra y el terrorismo como eventos fuera de su obligación, y las pólizas de ciberseguro e interrupción de negocio llevan exclusiones por acción hostil que las aseguradoras invocan en pérdidas grandes, como demostró el litigio de NotPetya. Los créditos de servicio del SLA solo reembolsan un porcentaje limitado de tu factura del servicio afectado, nunca el negocio perdido. Lee la letra concreta de tu proveedor y tu póliza en lugar de asumir que el escenario que más duele está cubierto.
¿Cómo calculo mi exposición no asegurada por concentración en la nube?
Empieza por la facturación diaria que depende de los sistemas afectados, multiplícala por una duración realista de apagón para un evento correlacionado, y añade penalizaciones contractuales más una estimación razonada de fuga de clientes y coste reputacional. Resta solo lo que tu póliza y tu SLA pagarían realmente bajo una causa excluida, que con frecuencia es casi nada. El resto es la cifra que hoy está sin valorar sobre tu balance.
¿Cómo se construye un plan de degradación por niveles frente a apagones en la nube?
Define qué entrega el negocio al 90%, al 50% y al 10% de su capacidad, decide qué servicios se sacrifican y cuáles se sostienen cueste lo que cueste, y calcula el coste para clientes y reputación de cada nivel. Después, ensáyalo. El objetivo es convertir una hipótesis binaria de arriba o abajo en decisiones probadas que puedas ejecutar bajo presión, porque esta es la mitigación que sí controlas cuando el seguro y el SLA se apartan.
Relacionado
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Ya no se ve la cámara: la política de gafas inteligentes que su empresa necesita reescribir
- La seguridad de la IA no es un freno, es un foso
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.