Proveedor de servicios en la nube (Cloud Service Provider)

Un CSP, o cloud service provider (proveedor de servicios en la nube), es una organización que suministra servicios y recursos informáticos a través de la red, y que permite a otras organizaciones ejecutar infraestructura y aplicaciones sin ser dueñas del hardware que hay debajo.

Los proveedores son una pieza central de cómo se construye y se ejecuta hoy el software: almacenamiento en la nube, servidores virtuales, bases de datos gestionadas, plataformas de desarrollo y bastante más.

Ese modelo trae además preguntas de seguridad que no existen en un centro de datos que es tuyo, y hay que responderlas de forma explícita en lugar de darlas por supuestas.

Qué caracteriza a un proveedor

Infraestructura compartida. Los proveedores ofrecen recursos informáticos en común, así que muchos clientes usan los mismos servidores, el mismo almacenamiento y la misma red por debajo. Aislar a unos tenants de otros es la tarea de seguridad principal del proveedor.

Un modelo de responsabilidad compartida. Hay un reparto de tareas entre proveedor y cliente. El proveedor protege la infraestructura subyacente; el cliente es responsable de proteger sus propias aplicaciones, sus datos y su configuración dentro de ella.

Elasticidad. Los recursos crecen y menguan deprisa, que es la razón operativa por la que, de entrada, las organizaciones se mudan a la nube, y también la razón por la que el parque cambia más rápido que cualquier inventario que se lleve a mano.

Las preguntas de seguridad que vienen detrás

Los datos. La información sensible vive en un entorno compartido, así que el cifrado y el control de acceso dejan de ser una buena práctica y pasan a ser el mecanismo que te separa de todos los demás.

Identidad y acceso. Gestionar quién puede llegar a qué es el mayor control que hay en la nube. Los proveedores dan las herramientas; decidir cuál debe ser la política no es algo que puedan hacer por ti.

Cumplimiento. Las obligaciones regulatorias varían según el sector y según la jurisdicción. El proveedor certifica su propia plataforma, y el cliente sigue teniendo que demostrar que lo que ha construido encima cumple.

Un ejemplo

Una empresa lleva su parque de TI a la nube por la flexibilidad y por la capacidad de escalar.

Elige un proveedor grande y lo usa para alojar sus aplicaciones y almacenar datos críticos.

El proveedor suministra la infraestructura física y virtual que hay debajo, y es responsable de la disponibilidad y de la seguridad de los servidores y del almacenamiento.

También suministra herramientas de seguridad integradas: gestión de identidades y accesos para los permisos, y gestión de claves para las claves de cifrado.

La empresa cliente es responsable de asegurarse de que las aplicaciones que desarrolla y los datos que almacena estén configurados de forma segura: política de seguridad, cifrado de los datos sensibles y permisos de acceso que reflejen lo que la gente necesita de verdad.

El proveedor y el reparto: dónde acaba su responsabilidad

Esta ficha describe qué es un proveedor de servicios en la nube. La pregunta que viene justo después, y que es la que abre todo proyecto de nube, la responde el modelo de responsabilidad compartida.

La línea se mueve con el tipo de servicio, y por eso no hay una respuesta única. Con infraestructura en bruto el cliente responde de casi todo lo que hay por encima del hipervisor, sistema operativo incluido. Con una plataforma o una base de datos gestionadas el proveedor asume una parte mayor. Con una aplicación completamente gestionada al cliente le quedan el acceso, los datos y la configuración.

El fallo que se repite es leer gestionado como protegido. La mitad del proveedor suele estar bien llevada, y lo explotable vive casi siempre en la configuración del cliente, que es exactamente la mitad que el modelo le asigna a él.

Y el reparto no es solo una idea: decide el alcance de una auditoría. Lo que es del proveedor no se toca, y acordarlo antes de empezar evita un informe lleno de hallazgos que el cliente no puede corregir.

En una frase: el proveedor protege la nube y el cliente protege lo que pone dentro.