Modelo de responsabilidad compartida

El modelo de responsabilidad compartida divide la seguridad en dos: AWS protege la propia nube y usted protege lo que construye sobre ella. Es una de las ideas que más se evalúan en el examen.

AWS se encarga de la seguridad de la nube: los centros de datos, el hardware, el hipervisor y el software de los servicios administrados. No puede auditarlo directamente, pero AWS cuenta con certificaciones que lo demuestran.

Usted es responsable de la seguridad en la nube: IAM, el cifrado de datos, la aplicación de parches al sistema operativo y las reglas de red. Si deja público un bucket de S3, es su responsabilidad, no la de AWS.

Con EC2, la división es clara: AWS ejecuta el host y el hipervisor, mientras que usted se encarga del sistema operativo, las aplicaciones, los grupos de seguridad y los datos. Una regla SSH abierta es responsabilidad suya corregirla. El código las encuentra.

Cuanto más administrado sea un servicio, más responsabilidad asume AWS. Con RDS, AWS aplica parches al motor; con Lambda, ejecuta todo el entorno de ejecución; con S3, administra todo lo que hay debajo.

Independientemente del servicio, proteger sus datos siempre es su responsabilidad. AWS le proporciona las herramientas, como KMS y las configuraciones de cifrado, pero elegirlas y activarlas depende de usted.

AWS proporciona la red física, pero usted configura la VPC, las subredes, los grupos de seguridad y las NACL. Dejar el puerto 22 abierto a todo Internet es un error clásico y costoso.

AWS cuenta con numerosas certificaciones de cumplimiento para su infraestructura, pero usted debe certificar su propia configuración. Herramientas como Artifact, Config y Security Hub le ayudan a hacerlo.

Los contenedores añaden matices. En ECS con EC2, usted administra el host; con Fargate, lo hace AWS. Sin embargo, la imagen del contenedor siempre es su responsabilidad: debe analizarla y mantenerla actualizada con parches.

En el examen, la heurística es sencilla: los fallos físicos o del software de servicios administrados son responsabilidad de AWS; los fallos de configuración, acceso, datos y sistema operativo sobre IaaS son responsabilidad del cliente.

AWS clasifica los controles en tres tipos: heredados (totalmente de AWS), administrados por el cliente (totalmente suyos) y compartidos (ambas partes añaden una capa, como en la aplicación de parches). Esta taxonomía aparece en el examen.

Ponga a prueba su comprensión de los conceptos de AWS Solutions Architect (SAA-C03) de esta lección.

Aprendió que AWS protege la infraestructura, usted protege IAM, los datos, el sistema operativo y la configuración, y que los servicios más administrados trasladan más responsabilidad a AWS. A continuación: IAM en detalle.