Modelo de responsabilidad compartida, qué es tuyo y qué no

La documentación pública del modelo de responsabilidad compartida de los grandes proveedores lo resume en dos frases. El proveedor es responsable de la seguridad de la nube: las instalaciones, el hardware, la red y el software con el que se presta el servicio. El cliente es responsable de la seguridad en la nube: lo que él pone, configura y decide dentro de las cuentas que contrata.

Una herramienta de postura mide casi siempre la segunda mitad. Por eso un hallazgo de configuración, aunque sea de un servicio gestionado, suele tener como dueño a la empresa. La tabla capas de Chitaraque separa las capas de una cuenta.

Cuanto más abstracto es el servicio, más capas gestiona el proveedor. En una máquina virtual (IaaS) el cliente recibe un sistema operativo vacío y le toca mantenerlo: parches, servicios y cortafuegos del propio sistema. En una base de datos o un almacenamiento gestionados (PaaS) el proveedor se ocupa del sistema y de la plataforma, y el cliente conserva los accesos y los datos. En un servicio de software completo (SaaS) el cliente sigue siendo dueño de las identidades y de los datos que mete.

Para un analista de vulnerabilidades esto decide qué hallazgos de sistema operativo le competen. La tabla servicios dice, para cada servicio de Chitaraque, quién mantiene el sistema operativo.

Un modo práctico de usar el modelo es contar: de todas las capas de una cuenta, ¿cuántas dependen de la empresa? Esa cifra es el tamaño de lo que una herramienta de postura puede evidenciar y de lo que el equipo debe sostener.

Algunos controles se reparten entre las dos partes. La gestión de parches es el ejemplo clásico: el proveedor parchea la infraestructura que opera y el cliente parchea lo que instala y administra. La configuración funciona igual: el proveedor configura su infraestructura y el cliente configura los servicios que usa. Quien asume que «el proveedor lo cubre todo» deja sin dueño la parte que le toca.