Qué es el modelo de responsabilidad compartida en la nube

El modelo de responsabilidad compartida (Shared Responsibility Model) es el concepto de dividir la seguridad del entorno de nube entre el proveedor de nube y el usuario. El proveedor es responsable de la "seguridad de la nube" (infraestructura física, hipervisor, base de red), y el usuario es responsable de la "seguridad en la nube" (datos, control de acceso, configuración de aplicaciones).

Si no se comprende correctamente este límite, surge el malentendido de que "al migrar a la nube, el proveedor garantiza la seguridad", lo que puede derivar en incidentes por errores de configuración del lado del usuario (permisos excesivos de IAM, exposición pública de almacenamiento, falta de configuración de cifrado, etc.).

Alcance de responsabilidad por modelo de servicio

El límite de responsabilidad difiere según el modelo de servicio de la nube.

IaaS (EC2, Azure VM, etc.): El proveedor gestiona hasta la infraestructura física y el hipervisor. El usuario es responsable de todo: aplicación de parches del SO, configuración de middleware, seguridad de aplicaciones, cifrado de datos y configuración de red. El alcance de responsabilidad del usuario es el más amplio
PaaS (Lambda, App Service, etc.): El proveedor gestiona hasta el SO y el runtime. El usuario es responsable del código de aplicación, datos y configuración de IAM. En entornos serverless, la responsabilidad de parches del SO pasa al proveedor, pero la configuración de permisos de funciones y la validación de fuentes de eventos son responsabilidad del usuario
SaaS (Microsoft 365, Salesforce, etc.): El proveedor gestiona hasta la aplicación. El usuario es responsable de la gestión de datos, el control de acceso de usuarios y la optimización de configuración. El alcance de responsabilidad es el más estrecho, pero el riesgo de filtración de datos por errores de configuración sigue existiendo

Áreas de responsabilidad que los usuarios suelen pasar por alto

Estas son áreas de responsabilidad del usuario en el modelo de responsabilidad compartida que pueden pasarse por alto.

Configuración de acceso del almacenamiento en la nube: La configuración de acceso público de buckets S3 o Azure Blob Storage es responsabilidad del usuario. No verificar la configuración por defecto puede provocar la exposición involuntaria de datos
Habilitación y almacenamiento de registros: La habilitación de CloudTrail, VPC Flow Logs, registros de acceso, etc. la realiza el usuario. El proveedor proporciona la infraestructura de registros, pero la habilitación y configuración del período de retención son decisión del usuario
Respaldo y recuperación: El proveedor asegura la redundancia de la infraestructura, pero el respaldo de los datos del usuario es responsabilidad del usuario. Incluso en bases de datos gestionadas, la configuración de recuperación point-in-time y respaldo cross-region las configura el usuario
Seguridad de imágenes de contenedores: El plano de control de ECS o EKS lo gestiona el proveedor, pero las vulnerabilidades dentro de las imágenes de contenedores y la configuración de aplicaciones son responsabilidad del usuario

Cómo establecer el modelo de responsabilidad compartida en la organización

Para operar correctamente el modelo de responsabilidad compartida, se necesitan no solo medidas técnicas sino también esfuerzos organizacionales.

Documentación de los puntos de demarcación de responsabilidad: Documentar claramente el alcance de responsabilidad del proveedor y del usuario para cada servicio utilizado. Especialmente en PaaS y SaaS, organizar a nivel de elementos de configuración específicos
Establecimiento de línea base de seguridad: Definir la línea base de seguridad de la organización referenciando CIS Benchmarks o el pilar de seguridad del AWS Well-Architected Framework
Implementación de auditoría automática: Detectar automáticamente desviaciones de configuración de seguridad con servicios como AWS Config, Azure Policy y Google Cloud Security Command Center
Revisión periódica: Revisar el alcance de responsabilidad según la adición de nuevas funciones o cambios en la configuración por defecto

Para obtener más información sobre este tema, consulte Seguridad del almacenamiento en la nube - Cómo mantener tus datos seguros.

Conceptos erróneos comunes

Si migras a la nube, el proveedor garantiza toda la seguridad: El proveedor es responsable desde la infraestructura física hasta el alcance que define el modelo de servicio. La protección de datos, el control de acceso, la configuración de aplicaciones y la habilitación del cifrado son responsabilidad del usuario, requiriendo una conciencia de seguridad igual o mayor que en entornos locales.
Si usas servicios gestionados, la responsabilidad de seguridad del usuario prácticamente desaparece: Los servicios gestionados reducen la carga de gestión del SO y middleware, pero la configuración de IAM, el control de acceso de red, el cifrado de datos y la habilitación de registros siguen siendo responsabilidad del usuario. El alcance de responsabilidad se reduce pero no desaparece.

Modelo de responsabilidad compartida en la nube