¿Qué es el modelo de responsabilidad compartida en la computación en la nube?

El modelo de responsabilidad compartida en la computación en la nube es un marco que divide las tareas de seguridad entre el proveedor de servicios en la nube y el cliente. En esencia, aclara quién es responsable de cada aspecto de la seguridad para garantizar una protección eficaz del entorno en la nube.

La Directiva Operativa Vinculante 25-01 de la CISA, emitida el 17 de diciembre de 2024, exige a las agencias civiles federales de EE. UU. aplicar líneas de base de configuración segura a determinados productos SaaS, lo que constituye esencialmente la parte de la ecuación que corresponde al cliente.

Los detalles de esta división varían ligeramente en función del modelo de servicio (SaaS, PaaS, IaaS).

Las diferencias entre los tres modelos incluyen:

• SaaS (Software como servicio): El proveedor se encarga de la infraestructura subyacente y de la aplicación, mientras que el cliente sigue siendo responsable de sus datos y políticas de acceso, incluidos el acceso de los usuarios y la clasificación de los datos.
• PaaS (Plataforma como servicio): El proveedor es responsable del sistema de soporte, incluidos los servicios web, los sistemas operativos, etc., mientras que el cliente es responsable de todas las aplicaciones y datos.
• IaaS (Infraestructura como servicio): El proveedor controla la capa física, mientras que el cliente controla las aplicaciones, los sistemas operativos y los datos.

El proveedor de SaaS es responsable de cinco aspectos de seguridad del servicio que ejecuta:

• Seguridad física: Protege los centros de datos y el hardware.
• Seguridad de red: Protección contra las amenazas planteadas por el acceso no autorizado o los ciberataques.
• Seguridad de la aplicación: Actualización de software para corregir debilidades de seguridad o errores para prevenir brechas.
• Seguridad de datos: Cifrar los datos tanto cuando están almacenados como durante la transmisión, y asegurarse de que existan copias de seguridad o recuperación ante desastres.
• Seguridad operacional: Detectar amenazas y responder a incidentes de seguridad.

La responsabilidad de seguridad del cliente de SaaS cubre los aspectos que se detallan a continuación. En la descripción del modelo de Google Cloud, los clientes siempre son responsables de sus políticas de acceso y de sus datos (Google Cloud).

• Seguridad del dispositivo: Proteger el dispositivo que se está utilizando para acceder a la aplicación SaaS.
• Gestión de acceso: Gestionar las limitaciones adecuadas de los usuarios y su capacidad para acceder a una aplicación, los procedimientos para verificar su identidad y la autorización para acceder a la aplicación.
• Capacitación en concientización sobre seguridad: Capacitación de los empleados sobre medidas de seguridad y riesgos de phishing.
• Clasificación de datos: Identificar datos confidenciales y establecer medidas para protegerlos.
• Respuesta a incidentes: Tener un plan de contingencia sobre cómo se podrían gestionar las amenazas de seguridad.
• Configuración segura: Configurar los ajustes de seguridad que proporciona la aplicación; la directiva BOD 25-01 de la CISA exige que las agencias civiles federales de EE. UU. cumplan con las líneas de base para productos SaaS específicos (CISA).

Las organizaciones y los proveedores y suministradores de software como servicio deben:

• Revisar periódicamente la del proveedor de SaaS documentación y certificaciones de seguridad del proveedor de SaaS: Infórmese sobre sus prácticas de seguridad y asegúrese de que cumplan con los estándares de su organización.
• Garantizar una comunicación adecuada: Mantener canales de comunicación claros para debatir el tema de la seguridad, informar de cualquier problema y estar al tanto de cualquier actualización de seguridad del proveedor de SaaS.
• Participar en los programas de concienciación sobre seguridad: Asegurarse de que su personal participe en los programas de concienciación sobre seguridad ofrecidos por el proveedor de SaaS.
• Realizar evaluaciones de seguridad conjuntas: Colaborar para identificar y reducir los riesgos en el entorno compartido.
• Acuerdo de Nivel de Servicio (SLA): Establecer los requisitos y responsabilidades de seguridad mediante un acuerdo contractual por escrito.