Responsabilidad compartida, servicio por servicio

El proveedor responde de la nube: los edificios, la energía, el hardware, la red física y el software de los servicios que él opera. El cliente responde de lo que pone dentro y de cómo lo configura: sus datos, quién accede, qué se abre a internet y qué se registra. La línea entre las dos mitades se mueve con el tipo de servicio. En una máquina virtual el cliente parchea el sistema operativo; en un servicio gestionado lo parchea el proveedor.

Lo que nunca se mueve es la parte del cliente que no es técnica: los datos y los permisos. Un servicio gestionado reduce el trabajo del cliente, no su responsabilidad. Por eso «gestionado» no significa «seguro»: significa que alguien más hace una parte del mantenimiento.

El inventario de Plataforma lista cada servicio con su modelo. La columna que más cambia entre filas es quién parchea el sistema operativo: donde el proveedor opera la capa, la parte del cliente se reduce a configuración y datos; donde el cliente recibe una máquina, recibe también el mantenimiento.

Un arquitecto lee el inventario buscando las filas donde el cliente conserva trabajo técnico que quizá nadie esté haciendo. Esas filas son las que piden un dueño.

La matriz de responsabilidades asigna cada tarea de seguridad a alguien. Una matriz sin huecos parece un trámite, pero el valor está en lo contrario: encontrar la fila donde dice «nadie». Esa tarea no es de baja prioridad; es la que se hará solo cuando haya un incidente, porque nadie la tiene en su lista.

Los huecos suelen estar en las tareas que cruzan equipos: quien crea el almacenamiento no es quien revisa los permisos, y quien revisa los permisos no es quien crea el almacenamiento.

En un servicio entregado como producto terminado, el proveedor opera casi todo: el cliente no parchea ni configura infraestructura. Pero conserva lo que define quién entra y qué hace: las cuentas de los usuarios, el segundo factor, las reglas para compartir y los datos que se guardan.

Esto es lo que más se olvida. El proveedor del correo no decide por ti si el segundo factor es obligatorio; ofrece la opción, y su valor por defecto lo escoge el producto, no tu política.

Un informe de aseguramiento del proveedor dice qué servicios, qué regiones y qué período se evaluaron, y qué queda excluido. Es evidencia valiosa de la parte del proveedor, y nada más: no habla de cómo el cliente configuró sus cuentas.

Antes de apoyarse en el informe hay que comprobar que lo que usa Faro Austral cae dentro de su alcance. Se cruzan dos documentos: el alcance del informe y las regiones donde corren los servicios.