Seguridad en la nube: qué corresponde al proveedor y qué a la empresa

En la nube, la seguridad se reparte entre dos partes. El proveedor protege la infraestructura que opera: centros de datos, hardware, red física y, según el servicio, el sistema operativo o la aplicación. La empresa cliente sigue siendo responsable de sus datos, de quién accede a ellos y de cómo configura los servicios que contrata. Ese reparto se conoce como modelo de responsabilidad compartida, y entenderlo con precisión es la base de cualquier programa de seguridad en la nube.

Para un gerente de ciberseguridad o de sistemas, la pregunta práctica es dónde termina exactamente la responsabilidad del proveedor en cada servicio contratado, y qué controles, evidencias y personas necesita la empresa para cubrir su parte.

El tipo de servicio define la frontera

La frontera cambia según el modelo de servicio. En infraestructura como servicio (IaaS), el proveedor entrega servidores virtuales, almacenamiento y red, y la empresa administra sistemas operativos, parches, aplicaciones, identidades y datos. En plataforma como servicio (PaaS), el proveedor gestiona además el sistema operativo y el entorno de ejecución, y la empresa se ocupa de su código, sus configuraciones y sus datos. En software como servicio (SaaS), el proveedor opera casi todo el entorno, y la empresa conserva la gestión de usuarios, permisos, configuración de la cuenta y la información que deposita.

La hoja informativa de la NSA Uphold the Cloud Shared Responsibility Model (marzo de 2024) describe este reparto para cada modelo de servicio y recomienda documentar las responsabilidades de cada parte antes de desplegar cargas de trabajo. Forma parte de un conjunto de diez estrategias de mitigación para la nube que la NSA publicó ese mes, seis de ellas junto con CISA.

Identidades, configuraciones y datos quedan a cargo de la empresa en todos los modelos

Hay tres áreas que permanecen del lado del cliente en cualquier modelo. La primera es la gestión de identidades: quién puede entrar a la consola, con qué permisos y con qué autenticación. Una cuenta administrativa sin segundo factor expone toda la suscripción, sin importar cuán segura sea la infraestructura del proveedor.

La segunda son las configuraciones. Un almacenamiento público por error, un puerto administrativo abierto a internet o registros desactivados son decisiones de la empresa, y el proveedor solo ejecuta lo que se configuró. La tercera son los datos: su clasificación, cifrado, gestión de llaves, retención y respaldo. Muchos servicios incluyen cifrado y copias, y la empresa decide sus parámetros, quién gestiona las llaves y cómo comprueba que funcionan.

La guía del NIST sobre seguridad y privacidad en la nube pública (SP 800-144, 2011), aunque anterior a muchos servicios actuales, conserva una idea central: trasladar datos y aplicaciones a un tercero mantiene la responsabilidad de la organización sobre ellos. Por eso recomienda revisar contratos, ubicación de los datos, mecanismos de auditoría y condiciones de salida antes de contratar.

El contrato y la documentación del proveedor completan el mapa

Cada proveedor publica su propia matriz de responsabilidades, y conviene leerla servicio por servicio, porque dentro de una misma plataforma conviven servicios IaaS, PaaS y SaaS con fronteras distintas. El contrato debe precisar la ubicación de los datos, la notificación de incidentes, el acceso a registros, la disponibilidad comprometida y el procedimiento para recuperar la información al terminar la relación.

Los informes de auditoría de terceros, como los de cumplimiento con estándares reconocidos, aportan evidencia sobre la parte del proveedor. La parte de la empresa necesita evidencia propia: revisiones de permisos, alertas de configuración y pruebas de restauración.

Una matriz de responsabilidades para cada servicio

Una forma práctica de convertir el modelo en operación es construir una matriz por cada servicio contratado. Para cada uno, la matriz identifica el modelo de servicio, el responsable interno de identidades y permisos, las configuraciones críticas y quién las revisa, y los datos alojados con su clasificación y cifrado. Recoge también los registros activados, con su retención y el responsable de analizarlos, junto con el respaldo, la prueba de restauración y el plan de salida. Un documento así deja a la vista, de inmediato, las responsabilidades que no tienen dueño.

La matriz también aclara qué parte corresponde a un tercero cuando la empresa contrata a un integrador o a un proveedor de servicios gestionados para administrar su nube. En ese caso el reparto se vuelve triple, y cada responsabilidad debe tener un nombre.

La nube puede elevar el nivel de seguridad de una empresa si cada parte cumple su función. Para el gerente de seguridad, el modelo de responsabilidad compartida es la herramienta que convierte esa promesa en tareas asignadas, revisadas y demostrables.