Dónde acaba el proveedor y empiezas tú

El modelo de responsabilidad compartida reparte la seguridad en dos columnas. El proveedor responde de la seguridad de la nube: los centros de datos, las máquinas físicas, la red que las une y el software que hace correr el servicio. El cliente responde de la seguridad en la nube: las identidades y sus permisos, la configuración de red que abre o cierra, el cifrado de sus datos, y qué queda registrado. La línea se mueve según el tipo de servicio —en uno gestionado el proveedor cubre más—, pero nunca cubre tu configuración. Casi todo incidente de nube que sale en las noticias cae del lado del cliente.

Saber de qué lado cae cada control es lo que evita dar por protegido algo que nadie configuró.

En el inventario de Cobalto, la fila del cifrado de los objetos guardados en el almacenamiento aparece marcada como responsabilidad del proveedor. Es cierto que el proveedor ofrece el cifrado en reposo y hasta puede activarlo por defecto — pero decidir que esté activado, con qué clave, y comprobar que ningún dato queda sin cifrar, es del cliente. Marcarlo como del proveedor significa que nadie de Cobalto vigila si un almacenamiento nuevo salió sin cifrar. La fila está en la columna equivocada, y el hueco es que un control del cliente quedó sin dueño.

Una responsabilidad puesta en la columna del proveedor es una responsabilidad de la que en tu equipo no se ocupa nadie.

No todo lo del inventario está mal repartido. La sustitución de un disco físico que falla en el centro de datos, el parcheo del hipervisor que aísla las máquinas virtuales entre clientes, y la seguridad física del edificio sí son del proveedor: no tienes acceso a nada de eso ni forma de configurarlo. Confundirse en el otro sentido —creer que tienes que parchear el hipervisor— hace perder tiempo en algo que no controlas y que ya está cubierto. La regla práctica es simple: si puedes configurarlo desde la consola o la API, es tuyo; si no lo ves siquiera, es del proveedor.

Distinguir lo que no puedes tocar de lo que sí evita gastar esfuerzo donde no hace falta y descuidar donde sí.

Corregir el inventario de Cobalto no es tachar la fila: es moverla a la columna del cliente y ponerle dueño, para que alguien verifique de verdad que el cifrado está activado en cada almacenamiento. El arreglo cierra el hueco en origen —el control pasa a tener responsable— en vez de esperar a que una auditoría externa lo descubra. Es el mismo criterio que se repite en toda la ruta: el fallo casi nunca es del proveedor; es una responsabilidad del cliente que nadie asumió porque se creía cubierta.

Devolver cada control del cliente a su columna, con dueño, es el primer paso para que la postura de la cuenta se pueda sostener con evidencia.

Abre el laboratorio del inventario de Cobalto. Recorre la tabla de responsabilidad, localiza la fila marcada para revisar —el control del cliente que quedó en la columna del proveedor— y lee el informe de la revisión, que cierra con el código del hallazgo.