Activos de terceros: nube, hospedaje y proveedores

En un hospedaje compartido, el sitio del cliente es una carpeta dentro de un servidor donde viven los sitios de muchas otras empresas. El cliente controla el contenido de su carpeta; el servidor, su sistema operativo, su red y sus vecinos son del proveedor. Un escaneo contra la dirección de ese servidor no toca solo al cliente: toca a todos los que comparten la máquina, y ninguno de ellos ha firmado nada.

Por eso, aunque el cliente firme la carta con su dominio dentro, la dirección del servidor compartido no queda autorizada: el cliente no puede dar permiso sobre lo que no le pertenece.

En una nube pública el reparto es parecido, pero más claro: lo que el cliente despliega y configura (sus máquinas virtuales, su sistema operativo, su aplicación, sus reglas de red, la configuración de su cuenta) es suyo; la plataforma que lo sostiene (los servidores físicos, el hipervisor, los servicios de control del proveedor) es del proveedor. Los grandes proveedores publican reglas para quien quiere hacer pruebas sobre sus propios recursos: qué se permite sin aviso, qué está prohibido siempre y qué necesita permiso. Esas reglas cambian, así que se leen el día que se prepara el encargo, no se recuerdan.

Abre el laboratorio, cruza el inventario con las reglas publicadas y con los permisos que hay en la carpeta.

Hay servicios donde la respuesta del proveedor es no, sin más: no aceptan pruebas sobre su plataforma, ni con aviso ni con permiso. Lo que el cliente sí puede pedir que se revise es su parte: cómo integra ese servicio, qué guarda, cómo valida lo que vuelve. Y eso, en el entorno que el proveedor ofrece para pruebas, no en el de producción.

El correo de la empresa vive en el servicio de Nubaria. El cliente quiere que revises «el correo». Leída la regla del proveedor, la prueba se puede plantear, pero no como el cliente la imagina.