Responsabilidad compartida

AWS y usted comparten la responsabilidad con respecto a la seguridad y el cumplimiento. Este modelo compartido alivia parte de su carga operativa, ya que AWS opera, administra y controla tanto los componentes del sistema operativo host y la capa de virtualización como la seguridad física de las instalaciones en las que funciona el servicio.

Usted es responsable de administrar los sistemas operativos invitados (incluidas las actualizaciones y las revisiones de seguridad) y el software de aplicaciones, así como de configurar los controles de seguridad proporcionados por AWS, tales como los grupos de seguridad, las listas de control de acceso a la red y la administración de identidades y accesos. Debe considerar detenidamente los servicios que va a utilizar, ya que sus responsabilidades variarán en función de los servicios que elija, la integración de estos en su entorno de TI y las leyes y normativas aplicables. La ilustración 2 muestra una representación típica del modelo de responsabilidad compartida aplicado a los servicios de infraestructura, como Amazon Elastic Compute Cloud (Amazon EC2). Este divide la mayoría de las responsabilidades en dos categorías: seguridad de la nube (administrada por AWS) y seguridad en la nube (administrada por el cliente). Las responsabilidades pueden cambiar en función de los servicios que utilice. En el caso de los servicios abstractos, como Amazon S3 y Amazon DynamoDB, AWS opera la capa de infraestructura, el sistema operativo y las plataformas, mientras que los clientes acceden a los puntos de conexión para almacenar y recuperar los datos. Los clientes son responsables de administrar sus datos (incluidas las opciones de cifrado), clasificar sus recursos y usar las herramientas de IAM para aplicar los permisos adecuados.

Sin embargo, el modelo de responsabilidad compartida cambia al añadir contenedores y otros servicios que trasladan el modelo de operaciones al proveedor de servicios. Según nos desplazamos hacia la izquierda del modelo operativo (lejos de IaaS y centros de datos hacia PaaS), aumenta la responsabilidad del proveedor de servicios. Un cliente tiene menos responsabilidades en la nube y opera con más facilidad cuando usa la migración a la izquierda del gráfico. Tenga en cuenta las ilustraciones siguientes y las diferencias en la capacidad de operar en la nube. A medida que cambia su responsabilidad compartida en la nube, también cambian sus opciones de respuesta ante incidentes o análisis forense. Como cliente, al planificar la respuesta ante incidentes, deberá asegurarse también de realizar una planificación según las capacidades que tiene en su modelo operativo y de planear las posibles interacciones antes de que se produzcan en el modelo que haya elegido. Planificar y comprender estos compromisos y adaptarlos a sus necesidades de gobernanza es un paso crucial en la respuesta ante incidentes.

Ilustración 1: Modelo de responsabilidad compartida

Ilustración 2: Amazon Elastic Container Service (Amazon ECS) con el modelo de responsabilidad compartida de AWS Fargate

Además de la relación directa que tiene con AWS, puede haber otras entidades que tengan responsabilidades en su modelo de responsabilidad particular. Por ejemplo, puede tener unidades organizativas internas que asuman la responsabilidad de algunos aspectos de sus operaciones. También puede contar con socios o terceros que desarrollen, operen o administren parte de su tecnología en la nube.

Es muy importante crear un runbook de respuesta ante incidentes y análisis forense adecuado que coincida con su modelo operativo. Su éxito depende de que entienda los tipos de herramientas que debe crear o las herramientas que necesita comprar para el modelo operativo que ha seleccionado. Cuanto mejor comprenda su organización las herramientas disponibles, mejor preparado estará para satisfacer las necesidades del modelo de gobernanza, riesgo y cumplimiento (GRC) de su empresa.