¿Qué es el modelo de responsabilidad compartida de AWS?

Los proveedores de servicios en la nube, como AWSgestiona una parte importante de la seguridad de la infraestructura, pero eso no significa que los clientes no tengan ninguna responsabilidad. El modelo de responsabilidad compartida de Amazon define exactamente dónde termina la responsabilidad del proveedor y dónde comienza la del cliente.

Este artículo explica los componentes principales del modelo de responsabilidad compartida y ofrece un desglose práctico de cómo varía la responsabilidad en función del tipo de servicio de AWS que se utilice.

Nota: Muchos de estos conceptos también son aplicables a otros proveedores de servicios en la nube.

El modelo de responsabilidad compartida de Amazon divide las responsabilidades en dos categorías: la seguridad de la nube y la seguridad en la nube. AWS se encarga de la infraestructura física, incluidos los centros de datos, los servidores y las redes. Los clientes gestionan lo que se ejecuta dentro de la nube, incluidos los datos, los controles de acceso, la configuración de las aplicaciones y el cifrado.

Con la infraestructura como servicio (IaaS), como Amazon EC2, los clientes se encargan del sistema operativo, la configuración del cortafuegos y la aplicación de parches de software. Por el contrario, con los servicios sin servidor o gestionados, como AWS Lambda o Amazon S3, AWS se encarga de la plataforma y del entorno de ejecución, mientras que los clientes siguen siendo responsables de los permisos de acceso y la integridad de los datos.

Para cumplir con su parte del modelo, los clientes deben contar con procesos claros para gestionar las configuraciones, aplicar parches y proteger las identidades. AWS puede proporcionar la infraestructura, pero los clientes son responsables de proteger lo que construyen sobre ella.

Una interpretación errónea del modelo de responsabilidad compartida puede dar lugar a brechas de seguridad en AWS. Cuando los equipos dan por sentado que AWS se encarga de más de lo que realmente hace, pueden omitirse tareas clave como el control de acceso o el cifrado de datos, lo que aumenta el riesgo de exposición o de problemas de cumplimiento normativo.

Asignar funciones claras ayuda a reducir la confusión y a evitar que se pasen por alto pasos importantes. Los equipos de seguridad deben definir quién se encarga de qué en las capas de red, configuración y aplicaciones. Esto incluye decidir quién establece las políticas de cortafuegos, quién gestiona la aplicación de parches y quién supervisa la actividad del sistema.

1. Hacer un inventario de los servicios de AWS en uso: Identificar qué servicios se utilizan y clasificarlos por tipo de servicio (IaaS, PaaS, SaaS), ya que las responsabilidades varían en función del modelo.

2. Define claramente las responsabilidades: utiliza la documentación de AWS para diferenciar lo que gestiona AWS de lo que deben gestionar tus equipos.

3. Asignar la responsabilidad mediante controles: documenta qué equipo o persona es responsable de cada tarea, especialmente en el caso de los controles gestionados por el cliente, como el cifrado o las políticas de acceso.

4. Automatizar las comprobaciones de configuración: Utiliza herramientas como AWS Config para supervisar el cumplimiento de tus normas de seguridad internas.

5. Revisar periódicamente los permisos: Revisar las políticas de IAM para limitar el acceso en función de los puestos de trabajo y eliminar las credenciales que ya no se utilicen.

6. Diseña teniendo en cuenta los peores escenarios posibles: utiliza la inmutabilidad, la indelebilidad y el aislamiento físico para que, si se produce un evento catastrófico o se cuela un atacante, el daño se reduzca al mínimo y siempre haya un punto de recuperación disponible.

Commvault hace posible este nivel de aislamiento proactivo e inmutabilidad gracias a:

• Copias de datos fácilmente configurables en cuentas aisladas con Commvault AirGap.
• Copias de seguridad aisladas físicamente y entre cuentas de forma predeterminada conCommvault | Cloud RewindyClumio.

7. Probar los procesos de respuesta: Realizar simulaciones para comprobar que las medidas de detección y Recovery funcionan según lo previsto y que se asignan a los equipos adecuados.

Commvault puede ayudar a automatizar las pruebas y la validación de los procesos de recuperación gracias a su solución Cleanroom Recovery, pionera en el sector, o mediante las capacidades de recuperación entre regiones y cuentas que ofrecen Cloud Rewind y Clumio.

8. Actualiza la documentación periódicamente: a medida que cambie el uso del servicio, revisa las correspondencias de tu modelo de responsabilidad compartida para que reflejen la arquitectura y los controles actuales.

Esta tabla pone de relieve cómo la responsabilidad pasa de recaer en un único responsable a un modelo compartido. Malinterpretar estos cambios puede dar lugar a lagunas en la protección, especialmente en áreas como el control de acceso y el registro de auditoría. Saber qué equipo es responsable de cada control ayuda a reducir ese riesgo.

• Gestión simplificada: Commvault se integra ampliamente con los servicios de AWS —así como con otras tecnologías locales y en la nube— para automatizar la protección basada en políticas desde un único panel de control.
• Mayor seguridad: Commvault ofrece una mayor protección frente al ransomware y otras ciberamenazas gracias a un Threat Scan basado en la inteligencia artificial, además de proporcionar copias de seguridad aisladas físicamente, inmutables e indelebles para mejorar la capacidad de recuperación.
• Menor coste total de propiedad (TCO): Además de las ventajas económicas que supone ayudar a mitigar el riesgo y reducir el impacto de posibles amenazas, Commvault también ayuda a las organizaciones a controlar los costes relacionados con la protección de datos en la nube mediante la optimización de la forma en que se recopilan y almacenan los datos. Con Commvault, las organizaciones pueden conservar menos instantáneas completas y almacenar los datos deduplicados y comprimidos sin comprometer los objetivos de punto de recuperación, lo que les permite lograr un ahorro significativo de costes.

El Grupo Sony, el gigante mundial del entretenimiento y la electrónica, se enfrentaba a importantes retos a la hora de unificar la ciberresiliencia en su complejo entorno multicloud. Con amplias implementaciones de AWS y Azure, su equipo de Servicios de Centros de Datos necesitaba una solución que pudiera conectar sus cargas de trabajo locales, en la nube y SaaS, al tiempo que cumpliera con estrictos requisitos de seguridad.

«Nuestra estrategia consiste en conectarnos a nivel mundial desde nuestros centros de datos a nuestra solución en la nube», explica Cassandra Cinar, directora sénior de Servicios de Centros de Datos de Sony. «Para lograrlo, necesitamos una plataforma unificada que permita la recuperación de cargas de trabajo en la nube, en las instalaciones y de software como servicio».
Los requisitos de seguridad de Sony eran especialmente exigentes. La empresa necesitaba una solución capaz de proteger los datos de prácticamente todos los usuarios de AWS a nivel mundial, al tiempo que fuera compatible con su entorno diverso y con múltiples arquitecturas. Además, la solución debía ayudar a Sony a cumplir con los sistemas financieros internos, así como con los requisitos de SOC y del RGPD.

Tras evaluar múltiples opciones, Sony optó por Commvault Cloud por sus completas capacidades de ciberresiliencia. La implementación abarca ahora 5.000 terminales repartidos por múltiples centros de datos, regiones y proveedores de nube, incluida su amplia presencia en AWS.

Los resultados han sido notables. Sony redujo los costes de hardware, almacenamiento en soportes físicos y copias de seguridad en aproximadamente un 80 % gracias al cifrado, la compresión y la transición al almacenamiento en disco y en la nube en AWS y Azure. La empresa también mejoró sus objetivos de punto de recuperación y ganó la capacidad de detectar amenazas antes, recuperarse más rápido y reducir el tiempo de inactividad.

«Las diferencias clave entre las soluciones de seguridad residen en sus capacidades de implementación y recuperación», afirmó Cinar. «La infraestructura robusta y completa de Commvault satisface todas nuestras necesidades en materia de Recovery, acuerdos de nivel de servicio y funcionalidades cruciales como la detección de amenazas y otras características de seguridad».

La experiencia de Sony demuestra cómo las organizaciones pueden gestionar con éxito el modelo de responsabilidad compartida de AWS mediante la implementación de un enfoque unificado de protección y seguridad de los datos en entornos híbridos. Su colaboración con Commvault y Accenture les permitió establecer políticas de protección coherentes en toda su infraestructura de AWS, al tiempo que mantenían el cumplimiento de los requisitos tanto internos como externos.

Commvault ayuda a cumplir con las responsabilidades de los clientes en el marco del modelo de responsabilidad compartida de AWS, proporcionando herramientas de nivel empresarial paraProtección de datos, recuperación yel cumplimiento normativo. Su plataforma es compatible con entornos híbridos y multinube, por lo que las organizaciones pueden gestionar sus datos de forma coherente tanto en AWS como en otras infraestructuras.

Commvault amplía la responsabilidad de asegurar y proteger los datos en la nube a las cargas de trabajo de los centros de datos de misión crítica mediante copias de seguridad inmutables y con aislamiento físico, almacenadas en un inquilino aislado en Amazon S3.

Esto permite a las organizaciones ofrecer esta capa adicional de capacidad de recuperación en el ecosistema más amplio posible, incluyendo infraestructura y aplicaciones como SAP, Oracle, Microsoft SQL Server, Active Directory, Epic Systems, VMware y ServiceNow, entre otras. Commvault protege estas cargas de trabajo, realizando copias de seguridad en AWS y proporcionando capas adicionales de seguridad y resiliencia para ajustarse al modelo de responsabilidad compartida.

Gracias a la automatización integrada, Commvault simplifica los procesos y reduce los pasos manuales en las tareas de Backup and Recovery, lo que ayuda a los equipos a responder con mayor rapidez y con menos errores. La visibilidad centralizada de todas las cargas de trabajo permite a los equipos de TI y de seguridad supervisar la actividad de los datos, verificar los controles y cumplir con la normativa del sector.

Commvault también permite a las organizaciones ofrecer Recovery más rápido y a un menor coste para cargas de trabajo nativas emergentes, como Amazon S3 y Amazon DynamoDB, gracias a su solución Clumio, lo que optimiza la protección y hace que esta protección fundamental sea más accesible. Las organizaciones que utilizan Clumio pueden cumplir con su responsabilidad compartida en materia deprotección de datos en los servicios nativos de AWScon una solución sencilla y llave en mano, optimizada en cuanto a costes y eficiencia.

Comprender el modelo de responsabilidad compartida de AWS es fundamental para proteger tus datos y aplicaciones en la nube. Cuando sabes exactamente qué controles de seguridad son de tu responsabilidad, puedes crear defensas más sólidas y responder más rápidamente ante las amenazas.
Commvault puede ayudar a las organizaciones a subsanar las brechas de seguridad y reforzar su estrategia de protección de datos en AWS, así que déjanos mostrarte cómo nuestra plataforma puede contribuir a tus objetivos de seguridad en la nube mediantesolicitar una demostración.