Modelo de responsabilidad compartida (Shared responsibility model)
En seguridad cloud, el modelo de responsabilidad compartida es el reparto de deberes de seguridad entre el proveedor de cloud y el cliente: el proveedor asegura la plataforma subyacente y el cliente asegura lo que construye y configura encima. Es la conversación con la que se abre cualquier proyecto de cloud, y el malentendido que más veces distorsiona el alcance de una auditoría.
Cómo funciona
El modelo traza una línea entre aquello de lo que responde el proveedor (las instalaciones físicas, el hardware, la capa de virtualización, los servicios gestionados que opera) y aquello de lo que responde el cliente (sus datos, su configuración de identidad y accesos, sus ajustes de red, el código de su aplicación y cómo usa los servicios). La línea se mueve según el tipo de servicio. Con infraestructura en crudo el cliente es dueño de casi todo lo que hay por encima del hipervisor, incluido el sistema operativo. Con una plataforma o una base de datos gestionadas, el proveedor asume más partes. Con una aplicación completamente gestionada, el trabajo del cliente se reduce a accesos, datos y configuración. El proveedor asegura el cloud; el cliente asegura lo que mete dentro.
Qué sale mal
El fallo que se repite es una frontera que el cliente daba por propia del proveedor. «Es gestionado» se lee como «está asegurado», así que la política de identidad se deja floja, los datos se guardan sin los controles de acceso que solo el cliente puede fijar, y una configuración incorrecta de cloud del lado del cliente se queda sin atender porque alguien creyó que era problema del proveedor. Desde el punto de vista del atacante, ese hueco es fiable: la mitad del proveedor está en general bien llevada, y las vulnerabilidades explotables viven casi por completo en la configuración del cliente, que es exactamente la mitad que el modelo pone bajo su responsabilidad.
Dónde aparece esto en una auditoría
El modelo fija el alcance. Antes de probar acordamos qué capas le toca asegurar al cliente y por tanto entran en alcance, y cuáles son del proveedor y quedan fuera, para que las rules of engagement reflejen la realidad y el informe no levante hallazgos contra una capa que el cliente no puede cambiar. Enmarca además el trabajo de cumplimiento, porque un auditor le pide al cliente que evidencie los controles de su lado de la línea. Acertar con esa frontera es la diferencia entre una evaluación certera y una que gasta esfuerzo en el parque del proveedor. Esto forma parte de cómo acotamos una evaluación de cloud.