El modelo de responsabilidad compartida de AWS describe el reparto de responsabilidades entre AWS y sus clientes en lo que respecta a la seguridad y el cumplimiento normativo en la nube. AWS se encarga de la seguridad de la nube, lo que abarca desde la infraestructura hasta las instalaciones físicas, mientras que los clientes son responsables de proteger sus propios datos en la nube y de adoptar las medidas adecuadas para cumplir con los requisitos específicos de cumplimiento normativo. Este modelo permite un enfoque flexible de la seguridad que puede adaptarse a las necesidades específicas de cada cliente.
Comprender el modelo de responsabilidad compartida de AWS
El modelo de responsabilidad compartida de AWS es un marco que describe cómo se reparten las responsabilidades en materia de seguridad y cumplimiento normativo entre AWS y sus clientes. Es importante que las empresas comprendan este modelo, ya que determina qué controles de seguridad les corresponde implementar a ellas y cuáles son gestionados por AWS.
En este modelo, AWS se encarga de la seguridad de la nube, mientras que los clientes se encargan de la seguridad dentro de la nube. Esto significa que AWS se encarga de la infraestructura subyacente, como los centros de datos y las redes, así como de gestionar el control de acceso a dichos recursos. Por su parte, los clientes se encargan de proteger sus propias aplicaciones y datos dentro de su entorno de AWS.
Por ejemplo, imaginemos una empresa que utiliza instancias de Amazon EC2 para alojar su aplicación web. AWS se encarga de garantizar la seguridad de los servidores físicos en los que se ejecutan estas instancias, pero la empresa es responsable de configurar los cortafuegos y los grupos de seguridad para proteger sus propios datos.
Es importante señalar que las responsabilidades pueden compartirse en función de los servicios específicos que utilice cada cliente. El modelo de responsabilidad compartida de AWS ofrece directrices sobre qué responsabilidades deben tenerse en cuenta a la hora de implementar soluciones en un entorno de AWS.
Para ilustrar mejor este punto, pensemos en una empresa que utiliza tanto Amazon S3 como Amazon EC2. Aunque AWS gestiona la infraestructura física de ambos servicios, la responsabilidad de proteger los datos almacenados en S3 recae principalmente en el cliente, mientras que la protección de los datos en las instancias de EC2 es responsabilidad de este.
Algunos críticos sostienen que sigue habiendo confusión en torno a cuáles son los riesgos de seguridad que se comparten. Es importante que las empresas asuman la responsabilidad que les corresponde en la gestión de los riesgos de seguridad en la nube, para no depender exclusivamente de proveedores como AWS. No obstante, seguir las mejores prácticas recomendadas por los proveedores puede contribuir en gran medida a reducir los factores de riesgo en cualquier colaboración.
- El modelo de responsabilidad compartida de AWS describe cómo se reparten las responsabilidades en materia de seguridad y cumplimiento normativo entre AWS y sus clientes: AWS se encarga de la seguridad de su infraestructura física, mientras que los clientes son responsables de proteger sus propias aplicaciones y datos dentro del entorno de AWS. Es importante que las empresas comprendan este modelo para determinar qué controles de seguridad deben implementar. No obstante, las empresas también deben asumir su parte de responsabilidad en la gestión de los riesgos de seguridad en la nube y no depender exclusivamente de proveedores como AWS, aunque seguir las mejores prácticas proporcionadas por los proveedores puede reducir los factores de riesgo.
La seguridad de la nube frente a la seguridad en la nube
Uno de los conceptos clave que deben comprender los usuarios de la nube es la diferencia entre la seguridad de la nube y la seguridad en la nube. Como se ha señalado anteriormente, AWS se encarga de gestionar y proteger la infraestructura subyacente de su servicio en la nube. A esto se le denomina «seguridad de la nube», ya que implica proteger la infraestructura física.
La seguridad en la nube se refiere a la protección de los datos dentro de las aplicaciones y los servidores de los clientes alojados en la nube. Esta responsabilidad recae en los clientes y no en AWS. Incluye la gestión del control de acceso de los usuarios, los ajustes y las configuraciones de red, así como el cifrado de los datos confidenciales.
Piensa en la seguridad en la nube como las cajas de seguridad de un hotel, donde se guardan los objetos físicos que uno tiene. Por el contrario, la seguridad en la nube es similar a las contraseñas que se necesitan para proteger las propias pertenencias de los intrusos mientras uno se encuentra en su habitación de hotel.
Es importante señalar que las empresas no deben descuidar sus responsabilidades en materia de seguridad en la nube solo porque AWS se encargue de la seguridad de la nube. Con este modelo de responsabilidad compartida, AWS ofrece buenas prácticas y directrices sobre cómo los clientes pueden garantizar su propia seguridad, además de lo que AWS ya proporciona.
Por ejemplo, las instancias de Amazon EC2 protegidas por un cortafuegos proporcionado por AWS cuentan con una configuración predeterminada estricta, aunque ofrecen la opción de personalizarla. El cliente debe configurar estos cortafuegos por su cuenta, de modo que pueda controlar quién puede acceder a los entornos de sus instancias, además de lo que ya ha establecido AWS.
Los críticos sostienen que basarse únicamente en la documentación sobre buenas prácticas puede dar lugar a una protección insuficiente frente a los ataques. Los usuarios de la nube deben ser rigurosos a la hora de configurar sus propios sistemas de acuerdo con las normas vigentes y adoptar medidas proactivas, como los sistemas de aplicación automática de parches que avisan a los administradores del sistema cuando hay parches disponibles.
Implementación del modelo de responsabilidad compartida de AWS
El modelo de responsabilidad compartida de AWS exige que tanto el cliente como AWS colaboren para garantizar la seguridad y el cumplimiento normativo de su sistema. AWS gestiona y controla la infraestructura física, mientras que los clientes son responsables de proteger sus aplicaciones y de gestionar el control de identidades y accesos (IAM). Por lo tanto, es fundamental que los clientes apliquen el modelo de forma eficaz para mitigar cualquier amenaza potencial y mantener la seguridad.
Un aspecto clave de la implementación del modelo es identificar y evaluar las necesidades de tratamiento de datos de tu organización. Esto incluye comprender tus datos, clasificar cada tipo de datos y asignar responsabilidades para garantizar el tratamiento y el almacenamiento seguros de todos los datos. Cualquier dato sensible o sujeto a normativa debe almacenarse en entornos controlados, con medidas estrictas de control de acceso.
Otro paso importante es seleccionar un diseño de arquitectura seguro que incorpore control de acceso, segmentación de la red, registro de actividades, supervisión, servicios de cifrado y prácticas de gestión de vulnerabilidades. El acceso solo debe concederse en función de las funciones y responsabilidades individuales de cada usuario, siguiendo las mejores prácticas de IAM. En cada fase de la implementación, debe ponerse en marcha un programa de formación en concienciación sobre ciberseguridad para todos los empleados, con el fin de garantizar que comprendan su papel a la hora de mantener unos altos niveles de seguridad.
Por ejemplo, supongamos que estás desarrollando una aplicación en AWS utilizando instancias de Amazon EC2. Según el modelo de responsabilidad compartida de AWS, mientras que AWS se encarga de la seguridad física y la disponibilidad de los recursos de hardware subyacentes a las instancias de Amazon EC2, así como de las redes asociadas a ellas, es tu responsabilidad gestionar los sistemas operativos invitados (incluidas las actualizaciones) y las configuraciones del cortafuegos aplicadas en estas máquinas.
Para reforzar aún más este aspecto relativo al control de acceso de los usuarios, puedes utilizar las herramientas de AWS Identity and Access Management (IAM) para conceder permisos en función de lo que cada usuario necesite hacer; por ejemplo, conceder únicamente permisos de lectura para los registros o las consultas a la base de datos. IAM también permite la integración con otros servicios, como las bases de datos, de modo que los usuarios no necesiten conexiones remotas, sino que puedan conectarse directamente desde tu red privada, lo que minimiza los puntos de exposición.
Un debate interesante que surge es si es mejor adoptar un enfoque proactivo o reactivo en materia de seguridad. La primera opción aboga por planificar con antelación y anticiparse a posibles amenazas, mientras que la segunda consiste en buscar soluciones una vez que ya se ha producido una brecha de seguridad. Como ocurre con la mayoría de los debates, ambos enfoques tienen sus pros y sus contras; sin embargo, en lo que respecta a la aplicación del Modelo de responsabilidad compartida de AWS, ser proactivo es sin duda la mejor opción. Esto incluye realizar análisis periódicos de vulnerabilidades y pruebas de penetración, revisar los registros con regularidad para identificar actividades anómalas y mantener un plan de recuperación ante desastres actualizado y listo para actuar en caso de emergencia.
- Según una encuesta de IDC de 2020, el 64 % de los profesionales de TI están aplicando el principio de la seguridad como responsabilidad compartida con los proveedores de servicios en la nube, como AWS, para mantener un entorno en la nube seguro.
- Un informe de McAfee de 2019 reveló que las organizaciones que utilizaban AWS sufrían una media de más de 2.700 amenazas de seguridad al mes, lo que pone de relieve la importancia de cumplir con el modelo de responsabilidad compartida para mejorar la protección.
- Un informe de Gartner de 2018 estima que, para 2025, el 99 % de las fallas de seguridad en la nube serán culpa del cliente, lo que pone de relieve la importancia de comprender y gestionar las responsabilidades del cliente dentro del modelo de responsabilidad compartida.
Prácticas de control de acceso de los usuarios y de gestión de datos
Un ámbito en el que los clientes tienen una responsabilidad considerable en el marco del modelo de responsabilidad compartida es el del control de acceso de los usuarios y las prácticas de gestión de datos. Cuando se trata de datos críticos, es necesario auditar periódicamente los permisos de los clientes como parte de las buenas prácticas de gestión de identidades y accesos (IAM). De este modo, se garantiza que cada usuario solo tenga acceso a lo que necesita y nada más.
Las mejores prácticas en materia de gestión de datos exigen que se apliquen controles estrictos sobre la forma en que se almacenan, procesan, transmiten, consultan y eliminan los datos a lo largo de todo su ciclo de vida. Los entornos con datos sensibles deben protegerse mediante mecanismos de control de acceso basados en roles, así como mediante soluciones de cifrado como el protocolo de seguridad de la capa de transporte (TLS), que protegen contra las escuchas ilegales y los ataques de «hombre en el medio».
Imagina que tienes un equipo de desarrolladores que trabaja en aplicaciones críticas de tu infraestructura. Al utilizar las políticas de AWS IAM junto con Amazon CloudWatch Logs Insights, puedes realizar un seguimiento de la actividad de los usuarios para averiguar quién ha accedido a qué partes de tu sistema y cuándo. Con estos datos, puedes determinar si hay patrones inusuales o errores en sus intentos de inicio de sesión que puedan indicar una posible brecha de seguridad.
Además, al integrar diversos servicios de AWS, puedes crear un entorno seguro en el que se impida que los usuarios filtren información confidencial fuera de tu organización. Un ejemplo sería utilizar Amazon Macie junto con AWS KMS para gestionar las claves de cifrado, de modo que los datos valiosos almacenados en S3 se cifren automáticamente al escribirlos y se descifren al leerlos. De esta forma, se evita el acceso no autorizado a la información confidencial, incluso si tus buckets quedan expuestos accidentalmente.
A la hora de gestionar los controles de acceso de los usuarios, no existe un enfoque único válido para todos los casos; por el contrario, cada organización tiene sus propios requisitos y, por lo tanto, debe implementar la solución que mejor se adapte a su caso concreto. No obstante, para aplicar de manera eficaz el modelo de responsabilidad compartida de AWS, los clientes deben realizar un esfuerzo real por mantener un entorno seguro y que cumpla con los estándares del sector.
Ventajas del modelo de responsabilidad compartida de AWS
El modelo de responsabilidad compartida de AWS ofrece numerosas ventajas a las empresas que desean proteger su infraestructura de TI sin renunciar a la flexibilidad en la implementación. Una ventaja clara es que el modelo permite a las organizaciones centrarse en sus competencias principales, en lugar de dedicar tiempo y recursos a la seguridad informática. Al confiar a AWS la responsabilidad de la «seguridad en la nube», las organizaciones pueden centrarse en la gestión de sus datos, aplicaciones y otras funciones empresariales críticas.
Otra ventaja es que AWS gestiona toda la infraestructura física y de red, lo que reduce los riesgos de acceso no autorizado, fugas de datos o interrupciones del servicio. Gracias a su red global de centros de datos, AWS ofrece servicios de alojamiento fiables y de alto rendimiento las 24 horas del día. Este nivel de soporte permite a las empresas ampliar o reducir su capacidad fácilmente según sea necesario, sin tener que gestionar por sí mismas las actualizaciones de hardware ni las implementaciones de red.
Además, tanto AWS como sus clientes comparten el control sobre las prácticas de gestión de datos, lo que significa que los clientes pueden elegir las mejores herramientas y tecnologías para gestionar sus datos de forma que se ajusten a sus propios requisitos de cumplimiento normativo. Esto también significa que los clientes pueden aprovechar los controles de seguridad y las certificaciones de cumplimiento normativo líderes en el sector de AWS para demostrar que cumplen con los marcos normativos.
Por ejemplo, un proveedor de asistencia sanitaria que utilice un sistema de historias clínicas electrónicas podría recurrir a Amazon RDS para alojar su base de datos e implementar al mismo tiempo el cifrado en reposo, con el fin de cumplir los requisitos de la HIPAA. Al aprovechar la experiencia de AWS en materia de seguridad y controles de cumplimiento normativo, la empresa puede evitar muchos de los retos que supone gestionar su propia infraestructura de TI sin dejar de cumplir las principales normas reglamentarias.
Otra ventaja es que las empresas pueden aprovechar la escalabilidad y la agilidad que ofrecen las plataformas de computación en la nube, como AWS. Gracias a la capacidad de aprovisionar recursos bajo demanda y ampliar o reducir la capacidad rápidamente según sea necesario, las empresas pueden responder con mayor rapidez a las condiciones cambiantes del mercado, evitando al mismo tiempo costes innecesarios.
En general, el modelo de responsabilidad compartida ofrece un enfoque flexible y, al mismo tiempo, sólido en materia de seguridad informática, adaptado a las necesidades específicas de cada organización. Al aprovechar la amplia gama de herramientas y tecnologías de AWS en materia de seguridad y cumplimiento normativo, las empresas pueden aplicar las mejores prácticas en la gestión de datos y la seguridad de las aplicaciones, al tiempo que se centran en sus competencias principales.
Mayor seguridad y flexibilidad en materia de cumplimiento normativo
La seguridad y el cumplimiento normativo son componentes fundamentales de cualquier infraestructura de TI, especialmente para las empresas que gestionan datos confidenciales o sujetos a normativa. El modelo de responsabilidad compartida de AWS ofrece una mayor flexibilidad en materia de seguridad y cumplimiento normativo, ya que permite a las organizaciones utilizar una amplia gama de herramientas y tecnologías para satisfacer sus necesidades específicas.
Una ventaja clave es que AWS ofrece múltiples niveles de controles de seguridad que pueden combinarse de diversas formas para satisfacer necesidades específicas. Por ejemplo, los clientes pueden utilizar Amazon Inspector para evaluar las vulnerabilidades de seguridad de sus aplicaciones, al tiempo que aprovechan Features como AWS Identity and Access Management (IAM) para controlar el acceso de los usuarios.
Además, AWS ofrece capacidades de cifrado de nivel empresarial que permiten a los clientes proteger sus datos tanto en reposo como en tránsito. Esto incluye compatibilidad con Secure Sockets Layer (SSL)/Transport Layer Security (TLS) para el tráfico web, el Servicio de Gestión de Claves (KMS) para la gestión de claves criptográficas y los módulos de seguridad de hardware (HSM) para una mayor seguridad. Al poner a disposición estas tecnologías, AWS permite a los clientes crear arquitecturas de alta seguridad dentro de su entorno en la nube.
Otra forma en la que el modelo de responsabilidad compartida contribuye a mejorar la seguridad y la flexibilidad en materia de cumplimiento normativo es permitiendo a las organizaciones mantener el control sobre aspectos clave de su infraestructura de TI. Por ejemplo, el uso de servicios de AWS como Amazon EC2 Dedicated Hosts permite a los clientes alojar instancias en hardware dedicado exclusivamente a su uso, lo que les proporciona un mayor control sobre su entorno informático y reduce los riesgos de acceso no autorizado u otros problemas de seguridad.
Una organización que gestione información clasificada puede necesitar controles más estrictos que los que ofrece por defecto la arquitectura de alojamiento compartido. En tales casos, el uso de una solución de alojamiento dedicado a través de AWS garantizaría un entorno informático más seguro sin comprometer la flexibilidad ni el rendimiento.
Por último, AWS ofrece una serie de certificaciones de cumplimiento que pueden ayudar a las organizaciones a cumplir los requisitos normativos o específicos del sector. Entre las certificaciones de cumplimiento aplicables a diferentes sectores se incluyen la ISO 27001, la PCI DSS, la SOC 1/2/3 y la HIPAA, entre otras. Al aprovechar estas certificaciones y otras herramientas de seguridad, en combinación con el modelo de responsabilidad compartida, las organizaciones pueden crear infraestructuras de TI seguras y conformes que satisfagan sus necesidades específicas.
En la siguiente sección, analizaremos algunos de los retos a los que pueden enfrentarse las organizaciones a la hora de aplicar el modelo de responsabilidad compartida de AWS.
Abordar los posibles retos del modelo de responsabilidad compartida
Aunque el modelo de responsabilidad compartida de AWS ofrece un marco claro para el reparto de responsabilidades entre clientes y proveedores de servicios, pueden surgir algunos retos. Entre ellos se encuentran determinar quién es responsable de determinados aspectos de la seguridad, gestionar los controles de acceso de los usuarios y garantizar el cumplimiento normativo. En esta sección, analizaremos algunos de los retos más habituales a los que se enfrentan las organizaciones a la hora de aplicar el modelo de responsabilidad compartida y ofreceremos sugerencias para abordarlos.
Un reto habitual al que se enfrentan las organizaciones es determinar cuáles son sus responsabilidades y cuáles corresponden a AWS en materia de cumplimiento normativo. Dependiendo de los servicios de AWS utilizados y de la integración con el entorno informático, las distintas áreas de responsabilidad pueden recaer en diferentes partes. Por ejemplo, una organización puede tener dudas sobre qué normativas son aplicables a su uso de los servicios de AWS o sobre cómo configurarlos correctamente. Un enfoque útil en este caso sería consultar la documentación de AWS o a expertos en la materia para aclarar cualquier aspecto que genere incertidumbre.
Otro posible reto es garantizar que los usuarios dispongan de controles de acceso adecuados sin dejar de mantener un nivel de seguridad adecuado. El modelo de responsabilidad compartida exige que los clientes gestionen sus propias identidades y políticas de control de acceso dentro de su propio entorno utilizando las herramientas de IAM proporcionadas por AWS. Esto significa que los clientes deben asegurarse de que los usuarios estén autorizados a acceder únicamente a lo que necesitan para desempeñar sus funciones. Además, los clientes deben asegurarse de que los roles y los permisos se asignen adecuadamente en función del puesto de trabajo, el nivel jerárquico, etc., al tiempo que limitan el acceso cuando no sea necesario. No abordar adecuadamente estas cuestiones puede acarrear graves consecuencias, como la pérdida de datos o el compromiso de la seguridad de los sistemas.
Para abordar estos problemas, algunas organizaciones optan por implementar soluciones de gestión de identidades independientes fuera de AWS. Aunque esto puede simplificar la administración y proporcionar un mayor control sobre las políticas de acceso de los usuarios, también añade complejidad adicional a entornos que ya de por sí son complejos. Además, muchos proveedores externos carecen de integraciones maduras con los servicios de AWS o pueden requerir esfuerzos de desarrollo a medida.
Una posible solución es que las organizaciones utilicen el servicio de Gestión de Identidades y Accesos (IAM) de AWS. IAM ofrece una amplia gama de herramientas y servicios que permiten a las organizaciones definir, gestionar y aplicar políticas de control de acceso en todo su entorno de AWS. Además, los clientes pueden aprovechar los roles de IAM para proporcionar credenciales temporales a usuarios externos o utilizar opciones de inicio de sesión federado para habilitar la función de inicio de sesión único (SSO).
Otro reto que puede surgir en el marco del modelo de responsabilidad compartida es garantizar que se mantengan niveles suficientes de seguridad en todo momento. Si bien AWS gestiona la seguridad de su capa de infraestructura y de los servicios de plataforma abstraídos, los clientes son responsables de implementar sistemas operativos invitados, aplicaciones y configuraciones de datos seguras. Una analogía útil en este sentido es pensar en la construcción de una casa: al igual que los contratistas deben asegurarse de que los cimientos sean estables antes de añadir nuevas capas de construcción, las organizaciones deben implementar protocolos de seguridad básicos adecuados antes de confiar más datos o cargas de trabajo a AWS.
En conclusión, aunque el modelo de responsabilidad compartida de AWS ofrece un marco excelente para repartir las responsabilidades entre proveedores y clientes, pueden surgir dificultades a la hora de aplicarlo en la práctica. Entre estas dificultades suelen figurar cuestiones relacionadas con el cumplimiento normativo, los controles de acceso de los usuarios y la aplicación de políticas de seguridad adecuadas. Al aprovechar las herramientas existentes de AWS, como la Gestión de Identidades y Accesos (IAM), definir cuidadosamente las áreas de responsabilidad y seguir las mejores prácticas en materia de gestión de la configuración de seguridad, las organizaciones pueden abordar mejor estos retos y aprovechar las ventajas de este modelo con el tiempo.
Preguntas frecuentes
¿Cuáles son las responsabilidades del cliente en el modelo de responsabilidad compartida de AWS?
En el modelo de responsabilidad compartida de AWS, los clientes son responsables de proteger sus propios datos y aplicaciones hasta el nivel del sistema operativo. Esto incluye configurar los ajustes de seguridad, gestionar los controles de acceso y realizar evaluaciones de seguridad periódicas.
Según un estudio realizado por Gartner, «hasta 2025, el 99 % de las fallas de seguridad en la nube serán culpa del cliente» (Gartner, 2018). Esto pone de relieve la importancia de comprender y cumplir con las responsabilidades del cliente en el modelo de responsabilidad compartida.
AWS ofrece una amplia variedad de herramientas y recursos para ayudar a los clientes a cumplir con sus responsabilidades. Entre ellos se incluyen funciones de seguridad, como la Gestión de identidades y accesos (IAM), y servicios como AWS Config, que permite la supervisión continua y las comprobaciones de cumplimiento normativo.
En definitiva, es fundamental que los clientes comprendan y asuman sus responsabilidades para proteger sus datos y aplicaciones en la plataforma de AWS.
¿Cuáles son las responsabilidades del proveedor de AWS en el modelo de responsabilidad compartida?
En el modelo de responsabilidad compartida de AWS, las responsabilidades del proveedor incluyen la seguridad y la gestión de la infraestructura subyacente que sustenta la nube. Esto abarca la seguridad física de los centros de datos, la configuración de la red y del cortafuegos, así como la seguridad operativa, como la supervisión y la respuesta ante incidentes.
Según un informe de Gartner de 2022, «AWS sigue siendo reconocida como líder en IaaS de nube pública gracias a su amplia oferta de servicios y a su experiencia en la gestión de infraestructuras a gran escala». El informe también destaca la sólida posición de AWS en materia de seguridad y cumplimiento normativo.
Además, AWS ofrece numerosas funciones de seguridad para los clientes, entre las que se incluyen la gestión de identidades y accesos, opciones de cifrado, herramientas de seguridad de red y certificaciones de cumplimiento normativo. Estas funciones están diseñadas para ayudar a los clientes a cumplir con sus propias obligaciones en materia de responsabilidad compartida.
No obstante, es importante señalar que, aunque AWS ofrece una infraestructura segura, los clientes siguen siendo responsables de proteger sus aplicaciones, datos y demás activos en la nube. Esto incluye configurar adecuadamente los controles de acceso, aplicar parches a los sistemas operativos y a las aplicaciones, y supervisar la presencia de posibles amenazas o vulnerabilidades.
En general, comprender el modelo de responsabilidad compartida es fundamental para cualquier organización que utilice servicios en la nube. Al colaborar con su proveedor (en este caso, AWS), los clientes pueden garantizar que sus datos y activos estén debidamente protegidos en la nube.
¿En qué se diferencia el modelo de responsabilidad compartida de AWS de los modelos de otros proveedores de servicios en la nube?
El modelo de responsabilidad compartida de AWS se distingue del de otros proveedores de servicios en la nube al definir claramente las responsabilidades en materia de seguridad tanto del cliente como de AWS. Esto significa que los clientes tienen un mayor control sobre sus datos y su infraestructura, al tiempo que siguen beneficiándose de las medidas de seguridad que ofrece AWS.
A diferencia de otros proveedores de servicios en la nube, AWS se hace responsable de la seguridad física de sus centros de datos, así como de la seguridad de su infraestructura en la nube. Esto incluye la seguridad del hardware, la capa de virtualización, la ubicación del almacenamiento y la infraestructura de red.
Por otra parte, los clientes son responsables de proteger sus aplicaciones y datos dentro de la plataforma de AWS. Esto incluye configurar los controles de acceso, gestionar las identidades y los permisos de los usuarios, cifrar los datos en tránsito y en reposo, y garantizar el cumplimiento normativo.
Según un informe publicado por Gartner en 2020, el modelo de responsabilidad compartida de AWS desempeñó un papel importante a la hora de ayudar a los clientes a mejorar su nivel general de seguridad. De hecho, Gartner afirmó que «para 2023, el 99 % de los fallos de seguridad en la nube serán culpa del cliente».
En resumen, al definir claramente las responsabilidades en materia de seguridad de ambas partes implicadas, el modelo de responsabilidad compartida de AWS ofrece a los clientes un mayor control sobre su propia seguridad, al tiempo que les permite seguir beneficiándose de la seguridad de primera clase que ofrece la infraestructura en la nube de AWS.
¿Existen ideas erróneas comunes sobre el modelo de responsabilidad compartida de AWS?
Sí, existen ideas erróneas muy extendidas sobre el modelo de responsabilidad compartida de AWS. Una de las más comunes es que los clientes tienden a creer que, una vez que se pasan a la nube, todas las responsabilidades en materia de seguridad recaen íntegramente en AWS. Sin embargo, esto no es cierto, y es importante que las empresas comprendan cómo se reparte la responsabilidad al utilizar AWS.
Según una encuesta realizada por LogicMonitor en 2019, el 66 % de los profesionales de TI consideraba que los proveedores de servicios en la nube eran los únicos responsables de garantizar la seguridad de los datos de sus clientes. Además, el 70 % de los encuestados opinaba que su responsabilidad en materia de seguridad era menor en un entorno en la nube que en las infraestructuras de TI tradicionales instaladas en sus propias instalaciones. Estas estadísticas sugieren que sigue existiendo un malentendido en torno a la seguridad y la responsabilidad en la nube.
Es fundamental tener en cuenta que, si bien AWS se encarga de la seguridad física y del cumplimiento normativo de su infraestructura, los clientes son responsables de gestionar los controles de seguridad dentro de sus propias cuentas. Los clientes deben garantizar la configuración adecuada de sus aplicaciones e infraestructura e implementar medidas de protección como cortafuegos, gestión de identidades y accesos (IAM), cifrado de datos, gestión de parches y otras.
Cito una afirmación del documento técnico «Modelo de responsabilidad compartida» de AWS:
«Los clientes mantienen el control sobre las medidas de seguridad que deciden implementar para proteger sus contenidos, su plataforma, sus aplicaciones, sus sistemas y sus redes, exactamente igual que lo harían en un centro de datos físico».
En conclusión, comprender el modelo de responsabilidad compartida de AWS es fundamental para las empresas que utilizan AWS o que tienen previsto migrar a la nube. Es esencial tener en cuenta que, aunque AWS ofrece excelentes medidas de seguridad, los clientes deben asumir la responsabilidad de los controles de seguridad en sus propias infraestructuras.
¿Cómo afecta el modelo de responsabilidad compartida a la seguridad y al cumplimiento normativo en AWS?
El modelo de responsabilidad compartida es un concepto clave en AWS que establece las diferentes responsabilidades en materia de seguridad entre el proveedor de servicios en la nube y sus clientes. Este modelo permite a los usuarios tener un mayor control sobre sus datos, al tiempo que permite a AWS mantener los estándares de seguridad necesarios.
Desde el punto de vista de la seguridad, los clientes son responsables de proteger sus aplicaciones, datos y credenciales, así como de gestionar los requisitos de cumplimiento normativo, mientras que AWS se encarga de la seguridad de su infraestructura. Amazon afirma que su infraestructura está diseñada para ser altamente segura y que ha implementado controles exhaustivos para mantener este nivel de seguridad, tales como controles físicos y ambientales, controles de red y perimetrales, y controles de acceso. Además, AWS ofrece medidas de seguridad integradas, como el cifrado, herramientas de supervisión y servicios de gestión de identidades y accesos.
En lo que respecta al cumplimiento normativo, AWS cumple con diversas normas del sector, como la HIPAA para las organizaciones sanitarias y la PCI DSS para las empresas de procesamiento de tarjetas de pago. No obstante, son los clientes quienes, en última instancia, deben garantizar el cumplimiento de la normativa pertinente para su sector o región.
Según un informe de McAfee de 2020, los servicios de almacenamiento en la nube mal configurados fueron la causa principal de que quedaran expuestos 1.500 millones de registros solo durante el primer semestre de ese año. Esto pone de relieve la importancia de comprender las responsabilidades de cada uno en un entorno de AWS. Seguir las mejores prácticas, como utilizar la autenticación multifactorial (MFA) para el acceso de los usuarios y mantener cifrados los datos confidenciales, puede reducir en gran medida el riesgo de filtraciones de datos.
En definitiva, comprender el modelo de responsabilidad compartida es fundamental para garantizar la seguridad y el cumplimiento normativo adecuados en AWS. Al aprovechar las capacidades de la infraestructura de AWS y, al mismo tiempo, aplicar prácticas de seguridad eficaces por su parte, las empresas pueden garantizar un entorno en la nube seguro.
