Qué preguntar antes de decidir dónde alojar

En la decisión de dónde alojar el sistema de tu empresa, el riesgo de elegir mal puede traducirse en interrupciones costosas, incumplimientos regulatorios y pérdida de datos. En este artículo encontrarás una guía práctica de las preguntas que debes hacer, los acuerdos que deben quedar por escrito, las señales de alarma y cómo comparar propuestas distintas.

Las preguntas que hay que hacer

• ¿Cuál es el modelo de infraestructura (nube pública, privada o híbrida) y por qué lo recomiendan para mi tipo de carga?

  • Respuesta esperada: El proveedor debe describir la arquitectura, indicar la ubicación de los datacenters (preferiblemente dentro de Perú o en países con acuerdos de transferencia de datos) y explicar cómo esa opción garantiza la latencia requerida para procesos críticos como facturación electrónica SUNAT.
  • Qué preocuparte: Respuestas vagas o que solo mencionen “alta disponibilidad” sin detallar la topología ni la ubicación.

• ¿Qué nivel de SLA (Service Level Agreement) ofrecen para disponibilidad, tiempo de respuesta y soporte?

  • Respuesta esperada: Un SLA concreto, por ejemplo 99.95% de disponibilidad mensual, tiempo máximo de respuesta del soporte (p.ej. 30 min para incidentes críticos) y penalizaciones claras si no se cumple.
  • Qué preocuparte: SLA genéricos o ausencia de penalizaciones.

• ¿Cómo manejan la seguridad de los datos, incluyendo cifrado en tránsito y en reposo, y cumplimiento de la Ley 29733?

  • Respuesta esperada: Detalle de protocolos TLS 1.3, cifrado AES‑256 para discos, auditorías independientes y evidencia de cumplimiento con la normativa peruana de protección de datos.
  • Qué preocuparte: Falta de pruebas de cumplimiento o de procesos de auditoría periódica.

• ¿Cuál es el proceso de backup y recuperación, y en qué tiempo garantizan la restauración?

  • Respuesta esperada: Copias diarias, retenidas al menos 30 días, pruebas de restauración trimestrales y objetivo de recuperación (RTO) de menos de 4 horas para datos críticos.
  • Qué preocuparte: Backup solo en la misma zona sin replicación geográfica.

• ¿Qué opciones de escalado existen y cómo se facturan?

  • Respuesta esperada: Escalado automático de CPU/RAM, con notificaciones previas y costos predefinidos por recurso adicional.
  • Qué preocuparte: Escalado “on‑demand” sin límites claros que pueda disparar costos inesperados.

• ¿Cuál es el proceso de migración y qué apoyo brindan durante la transición?

  • Respuesta esperada: Plan de proyecto con hitos (descubrimiento, pruebas, puesta en producción) y recursos dedicados (arquitecto, ingeniero de migración) durante al menos 6 semanas.
  • Qué preocuparte: Promesas de “migración sin tiempo de inactividad” sin plan detallado.

• ¿Cómo gestionan los accesos y la gestión de identidades?

  • Respuesta esperada: Integración con IAM corporativo, roles basados en el principio de menor privilegio y registro de auditoría de accesos.
  • Qué preocuparte: Accesos compartidos o contraseñas estáticas sin rotación.

Lo que tiene que estar por escrito

1. Alcance del proyecto – Descripción detallada de los componentes que se alojarán (aplicaciones, bases de datos, servicios de integración con SUNAT, etc.) y los límites de la solución.
2. Entregables – Listado de artefactos (documentación de arquitectura, diagramas de red, políticas de seguridad, scripts de automatización) que el proveedor debe entregar al finalizar la fase de implementación.
3. Plazos – Cronograma con hitos claros: descubrimiento (2 semanas), configuración de infraestructura (3 semanas), pruebas de carga (2 semanas), puesta en producción (1 semana). Cada hito debe incluir criterios de aceptación.
4. Soporte – Niveles de soporte (nivel 1, 2 y 3), horarios (24 × 7 para incidentes críticos), canales (ticket, teléfono, chat) y tiempos de respuesta.
5. Propiedad del código y de los datos – Cláusula que establezca que el código fuente, configuraciones y datos pertenecen a tu empresa, con derecho a exportarlos en cualquier formato al término del contrato.
6. Penalizaciones y garantías – Multas por incumplimiento de SLA, compensaciones por pérdida de datos y cláusulas de salida que permitan migrar a otro proveedor sin cargos excesivos.

Señales de alarma

• El proveedor evita detallar la ubicación exacta de los datacenters. Sin esa información no puedes validar la transferencia internacional de datos y podrías incumplir la Ley 29733.
• Promete “cero downtime” sin presentar pruebas de resiliencia. La alta disponibilidad siempre implica un riesgo residual; la ausencia de pruebas de failover es un punto rojo.
• No ofrece auditorías externas o certificaciones (ISO 27001, SOC 2). Sin evidencia externa la seguridad queda en la confianza del vendedor.
• El contrato carece de cláusulas de propiedad del código. Podrías perder el control de tu propia solución al terminar la relación.
• Los SLA están en porcentajes redondeados y sin penalizaciones. Indica que el proveedor no está comprometido a cumplirlos.

Cómo comparar dos propuestas distintas

1. Normaliza la información – Crea una tabla con columnas: Alcance, Plazos (semanas), SLA, Backup/RTO, Soporte, Propiedad del código, Penalizaciones. Llena los datos de cada proveedor.
2. Identifica los gaps – Marca en rojo los ítems donde falta información o la respuesta es insuficiente.
3. Evalúa el costo de riesgo – Asigna un peso a cada criterio según su impacto (por ejemplo, cumplimiento legal 30%, disponibilidad 25%, tiempo de migración 15%, etc.). Multiplica el peso por la puntuación (0‑5) de cada propuesta.
4. Revisa la consistencia – Si una propuesta ofrece precios muy bajos pero omite cláusulas de backup o propiedad del código, descarta esa opción aunque el puntaje parezca alto.
5. Realiza una prueba piloto – Cuando sea posible, solicita un entorno de prueba de 2 semanas para validar la velocidad de despliegue, la latencia y el proceso de soporte.

Conclusión

Al leer este artículo sabes exactamente qué preguntar, qué exigir por escrito y cuáles son las banderas rojas que deben hacerte descartar a un proveedor. Normalizar la información, asignar pesos a los criterios críticos y, si es posible, validar con una prueba piloto, te permitirá tomar una decisión basada en hechos y no en promesas. Así, tu empresa protege sus datos, cumple con la Ley 29733 y garantiza la continuidad operativa sin sorpresas inesperadas.