Responsabilidad compartida y qué ve cada parte

Cuando una empresa contrata servicios en la nube, la seguridad se reparte. El proveedor responde por lo que él administra: los centros de datos, el equipo físico, la red física y, según el servicio, también el sistema operativo y la plataforma. El cliente responde por lo que él configura: sus datos, sus identidades y accesos, y la manera en que comparte las cosas. A ese reparto se le llama modelo de responsabilidad compartida.

La línea se mueve según el tipo de servicio. Si se alquila una máquina virtual (infraestructura como servicio), el cliente parchea su sistema operativo. Si se usa una plataforma para desplegar aplicaciones, el proveedor mantiene el sistema operativo y el cliente su código y su configuración. Si se usa un software terminado, como el correo, el proveedor mantiene casi todo. Lo que nunca pasa al proveedor son los datos, las cuentas ni los permisos que da el cliente.

Abre la consola y ejecuta SELECT * FROM servicios, SELECT * FROM matriz_responsabilidad y SELECT * FROM hallazgos. Para cada hallazgo, busca el modelo del servicio y la capa afectada, y decide en la matriz quién lo corrige.

El inventario dice el modelo de cada servicio; la matriz dice quién responde por cada capa en cada modelo. Cruzar las dos tablas es todo el trabajo.

El reparto de responsabilidad también reparte la vista. El proveedor ve sus propios registros internos; al cliente le entrega los registros de lo que el cliente hace en su inquilino: inicios de sesión, cambios en el directorio, actividad sobre los recursos. Algunos de esos registros vienen activados y otros hay que activarlos. Un registro que no está activado el día del incidente no se puede recuperar después.

Ejecuta SELECT * FROM registros_por_servicio. Busca el servicio en el que Neusa no podría saber quién leyó un archivo.

El hallazgo H-5 es un aviso del proveedor: corrigió un fallo en su servicio de directorio y dice que no hace falta ninguna acción del cliente. La corrección no le toca a Neusa, pero el aviso sí le dice algo: hubo un periodo en el que su directorio dependió de un fallo que ella no veía.