¿Qué es el modelo de responsabilidad compartida en la seguridad en la nube?
El modelo de responsabilidad compartida (Shared Responsibility Model) es un concepto básico de la seguridad en la nube que debe entender cualquiera que utilice servicios como Amazon Web Services (AWS), Microsoft Azure o Google Cloud. Delimita claramente las responsabilidades del proveedor de la nube y las de sus clientes, para que todos sepan quién responde de qué si algo falla o se produce una filtración de datos.
Vamos a explicarlo de forma sencilla. El proveedor de servicios en la nube se ocupa de la infraestructura física: servidores, almacenamiento de datos, red, virtualización y seguridad básica a nivel de software, como el cifrado de los datos en los discos duros, la actualización de los equipos y la protección de sus centros de datos frente a incendios, ladrones y lluvias torrenciales. El cliente, que alquila al proveedor capacidad de procesamiento o espacio en un servidor, responde de su parte: la seguridad de sus aplicaciones, el control del acceso a los datos, la configuración de seguridad, la gestión de las cuentas de usuario, la actualización de sus aplicaciones y muchas cosas más.
Es decir, si un intruso se cuela en un centro de datos y se lleva un servidor a cuestas, responde el proveedor. Si alguien de la plantilla publica por accidente datos secretos o se olvida de cambiar la contraseña predeterminada, la culpa es del cliente. Este modelo hace transparentes los límites de responsabilidad, reduce los malentendidos entre las partes, ayuda a rebajar los riesgos y a limitar las pérdidas derivadas de los incidentes.
Pero aquí aparece un matiz importante: en la práctica, los límites suelen ser difusos. Algunos servicios, como la plataforma como servicio (PaaS) y el software como servicio (SaaS), desdibujan las fronteras; parte de las obligaciones se comparte o queda en una «zona de nadie». Por eso, antes de poner en marcha un servicio en la nube, es importante no solo leer el contrato, sino también entender dónde termina tu margen de actuación y dónde empieza la responsabilidad del proveedor.
PEREC.RU
Frotémonos las gafas: a los servicios en la nube les encanta cantar las alabanzas de su fiabilidad, pero en cuanto estalla un escándalo se acuerdan del modelo de responsabilidad compartida. Ese modelo es la bandera que enarbola el proveedor: nosotros protegemos la infraestructura física; vosotros, todo lo demás. Si el cliente le da a Vasya la contraseña del panel de administración y este publica todo el proyecto, la culpa es suya. El proveedor pondrá unos cuantos candados para la foto y hablará de certificados, pero nadie arreglará el agujero de verdad. A todo el mundo le encanta hablar de «límites claros de responsabilidad», pero luego esos límites se difuminan como el precio de un servicio informático tras una llamada de contabilidad. El modelo salva a los proveedores de las demandas y de las quejas de los clientes: quién arderá ya se sabe de antemano.
El cliente confía en que «la nube» lo resuelva todo, pero esta se limita a cambiar los papeles de sitio. Cada nuevo servicio añade más tonos de gris a esa línea borrosa que separa a «quién demonios tiene la culpa de la filtración». Lo importante es vigilar la configuración y no dejarse seducir por la magia del marketing; si no, el responsable de tus datos serás tú, no la tabla comparativa del folleto. A las empresas rusas esto les suena: llevas el servidor al sótano de otro y te quedas esperando sorpresas, solo que ahora vienen con salsa de alta tecnología. Solo podrá protegerse quien entienda cuál es su responsabilidad y se lea el contrato hasta el final. Todo lo demás es un bonito envoltorio para los errores ajenos.
