Responsabilidad compartida por IaaS, PaaS y SaaS

Contratar un servicio de nube no traslada toda la responsabilidad: la reparte. El proveedor responde de lo que está por debajo de la línea de servicio que vende y el cliente responde de lo que pone encima. Esa línea se mueve según el tipo de servicio.

En IaaS el proveedor entrega infraestructura (servidores virtuales, redes, almacenamiento) y el cliente se queda con casi todo lo que corre encima, incluido el sistema operativo. En PaaS el proveedor también opera el sistema operativo y el motor de la plataforma, y el cliente se queda con sus datos, sus aplicaciones y sus accesos. En SaaS el proveedor opera casi toda la aplicación, y aun así el cliente conserva lo que es propio de su organización: sus usuarios, sus permisos y sus datos.

Hay un hilo común: nada de lo que concierne a quién eres tú y qué información es tuya viaja al proveedor, ni siquiera en el servicio más completo.

Antes de usar una matriz hay que saber en qué columna cae cada servicio. Un servicio no es IaaS, PaaS o SaaS por su nombre comercial sino por lo que entrega: infraestructura que tú configuras, plataforma que otro opera o aplicación terminada que solo usas.

Abre servicios y matriz_de_responsabilidad. Lee en la matriz quién aplica los parches del sistema operativo en cada tipo y busca qué servicio de Mimbre cae en el tipo donde esa tarea es de la empresa.

Hay una idea muy extendida: «si es SaaS, el proveedor se encarga de todo». La matriz sirve justamente para desmontarla con cifras: cuántos controles siguen siendo del cliente aunque el servicio sea una aplicación terminada. Ese número es el trabajo mínimo que la organización tiene que dejar presupuestado y con responsable.

Cuenta en la columna SaaS de la matriz las filas cuyo responsable es el cliente.

Un plan de migración se revisa contra la matriz fila por fila: para cada servicio y cada control, ¿quién dice el plan que lo hará y quién dice la matriz que debe hacerlo? Cuando el plan asigna al proveedor un control que la matriz deja al cliente, nadie lo hará, porque el proveedor no lo tiene en su contrato. Es el fallo clásico de una migración: el control desaparece del radar sin que nadie lo decida.

Cruza plan_de_migracion con matriz_de_responsabilidad según el tipo de cada servicio. Solo una de las seis filas del plan se contradice con la matriz.