Módulo 1 · Fundamentos de la nube/Lección 05
El modelo de responsabilidad compartida
AWS cuida la seguridad de la nube; tú, la seguridad en la nube. La línea se mueve según el servicio.
Cuando tu aplicación corre en AWS, la seguridad no es solo de AWS ni solo tuya. Está repartida. AWS protege la infraestructura sobre la que todo corre. Tú proteges lo que pones encima. Esa división se llama modelo de responsabilidad compartida y es uno de los temas que más pesa en el examen.
La frase que lo resume: AWS es responsable de la seguridad DE la nube; el cliente es responsable de la seguridad EN la nube.
Seguridad de la nube y seguridad en la nube
Una forma fácil de recordarlo: si lo puedes configurar, es tu responsabilidad. Si no puedes tocarlo (el edificio, el hardware, el hypervisor), es de AWS.
La línea se mueve según el servicio
La división no es fija. Cuanto más administrado es el servicio, más capas asume AWS. En los modelos de servicio viste que IaaS te deja más trabajo que PaaS. Aquí pasa lo mismo con la seguridad. Compara tres servicios que corren una aplicación o sus datos:
| Criterio |  Amazon EC2 |  Amazon RDS |  AWS Lambda |
|---|---|---|---|
| Hardware, red física y virtualización | AWS | AWS | AWS |
| Parches del sistema operativo | Tú | AWS | AWS |
| Motor o entorno de ejecución | Tú instalas y parchas todo el software | AWS parcha el motor de base de datos; tú eliges la ventana de mantenimiento y cuándo subir de versión mayor | AWS parcha los runtimes administrados (si usas una imagen de contenedor propia, la imagen es tuya) |
| Escalar la capacidad | Tú (por ejemplo con Auto Scaling) | Tú eliges el tamaño; algunas opciones son automáticas | AWS escala solo; tú puedes fijar límites |
| Respaldos | Tú (snapshots o AWS Backup) | AWS ejecuta los respaldos automáticos; tú defines la retención y pruebas la restauración | Tu código vive en tu repositorio; los datos, en otros servicios |
| Security Groups y acceso de red | Tú | Tú | Tú, si conectas la función a una VPC |
| Permisos de IAM | Tú (rol de la instancia) | Tú (quién administra y quién se conecta) | Tú (rol de ejecución de la función) |
| Datos, cifrado y código | Tú | Tú (activar cifrado, usuarios de la base) | Tú (código, dependencias y datos) |
Fíjate en las últimas filas: datos, permisos y acceso de red siempre son tuyos, sin importar el servicio. Lo que pasa a manos de AWS son las capas de abajo: sistema operativo, motor, escalado.
Controles heredados y controles compartidos
Desde el punto de vista de una auditoría, AWS clasifica los controles de seguridad en tres grupos:
- 1
Controles heredados
Los implementa AWS por completo y tú los heredas. Ejemplo: los controles físicos y ambientales de los centros de datos. Tu auditor puede revisar los informes de AWS en AWS Artifact. - 2
Controles compartidos
Aplican a las dos capas, pero cada parte los cumple en su propio ámbito. AWS da tres ejemplos: gestión de parches, gestión de configuración y concientización y capacitación. - 3
Controles específicos del cliente
Son solo tuyos, según las aplicaciones que despliegas. Ejemplo: cómo separas y proteges el tráfico entre zonas de seguridad dentro de tu red.
Para seguir: el centro de datos por dentro (la parte de AWS), IAM (tu parte más importante) y Cumplimiento y recursos de seguridad.
Quiz
Pon a prueba lo que aprendiste
0 de 5 correctas · 5 sin responder
1.Según el modelo de responsabilidad compartida, ¿quién aplica los parches del sistema operativo invitado de una instancia Amazon EC2?
2.¿Cuál es responsabilidad de AWS cuando usas Amazon RDS?
3.¿Cuál de estos es un control compartido según AWS?
4.Al pasar de EC2 a Lambda para correr tu código, ¿qué responsabilidad pasa del cliente a AWS?
5.¿Qué responsabilidad del cliente se mantiene igual en EC2, RDS y Lambda?