Imagina que eres una empresa. Tienes datos sensibles que deben mantenerse a salvo y cuentas con un proveedor de servicios en la nube que los protege. Pero, ¿sabes hasta qué punto llega esa protección y en qué momento es tu turno de tomar el control?

La cantidad de brechas de seguridad provocadas por errores humanos, específicamente por una configuración incorrecta de bases de datos, sugiere que muchos no entienden que eres tú, no el proveedor, quien es responsable de asegurar todos los datos correctamente (o no saben cómo hacerlo).

En este artículo exploraremos el modelo de responsabilidad compartida: qué es, por qué es relevante, sus beneficios, sus límites y qué ocurre cuando las empresas lo desestiman.

Qué es el Modelo de Responsabilidad Compartida

El Modelo de Responsabilidad Compartida es un marco de seguridad y cumplimiento que define las responsabilidades divididas entre los proveedores de servicios en la nube (CSPs) y sus clientes. Esto significa que cada uno tiene sus propias tareas para mantener la seguridad.

En corto, el proveedor se encarga de asegurar la infraestructura subyacente de la nube, pero el cliente debe asegurar sus propios datos, configuraciones y cualquier aplicación que pueda tener.

Con más detalle, el proveedor se ocupa de:

• Seguridad física: protege los centros de datos y el hardware.
• Infraestructura de host: asegura y mantiene redes, servidores y almacenamiento.
• Protección de datos: proporciona cifrado para datos en tránsito y en reposo, pero no protege los datos de los clientes.
• Aplicaciones: potencialmente ofrece plataformas o herramientas de hospedaje de apps, pero no protege las apps de los clientes.

Por otro lado, el cliente protege todo lo que posee:

• Protección de datos: protege, clasifica, respalda y cifra adecuadamente sus propios datos almacenados.
• Acceso a la información: gestiona el acceso seguro a datos sensibles, cuentas de usuario, permisos y autenticación multifactor.
• Configuración: configura firewalls y ajustes de red adecuadamente.
• Aplicaciones: desarrolla, mantiene y configura sus aplicaciones y su código seguro.

El primer paso es definirlo: ahora conoce a tu proveedor

Sería mucho más fácil si estas reglas y divisiones estuvieran estandarizadas, de modo que, al entenderlas para un proveedor, las entiendas para todos. Desafortunadamente, no es así.

Las pautas anteriores son generales porque el modelo varía entre proveedores, y esta falta de uniformidad contribuye a brechas de seguridad entre el proveedor y el cliente.

Dicho esto, asegúrate de entender tus responsabilidades completas con cada proveedor que uses. Por ejemplo, AWS dice que “los clientes deben considerar cuidadosamente los servicios que eligen, ya que sus responsabilidades varían dependiendo de los servicios usados, la integración de esos servicios en su entorno de TI y las leyes y regulaciones aplicables.”

AWS realiza una distinción clara de estas responsabilidades, señalando que el cliente está a cargo de gestionar el sistema operativo invitado, incluidas las actualizaciones y parches de seguridad. También deben configurar el firewall de grupo de seguridad proporcionado por AWS y gestionar cualquier otro software de aplicación que posean.

Microsoft, por su parte, explica que las responsabilidades varían según dónde se aloje la carga de trabajo: Software as a Service (SaaS), Platform as a Service (PaaS), Infrastructure as a Service (IaaS) o un centro de datos en las instalaciones. Sin embargo, “para todos los tipos de implementación en la nube, eres dueño de tus datos e identidades. Eres responsable de proteger la seguridad de tus datos e identidades, recursos locales y los componentes de la nube que controlas.”

La “fe compartida” de Google Cloud

Google Cloud adoptó un enfoque distinto, diferenciando entre el modelo compartido de otras nubes y su propio concepto de “fe compartida”:

Para entender la responsabilidad compartida para garantizar la seguridad de los datos puede ser desafiante; Google afirma que el modelo de responsabilidad compartida no ayuda a los clientes a obtener mejores resultados de seguridad. En su lugar, creen en la “fe compartida”.

La explicación de este enfoque se centra en la “asociación” entre el proveedor y el cliente para aumentar la seguridad, así como en ofrecer soporte y recursos para ayudar a las organizaciones a asegurar sus datos de su lado.

El proveedor afirma que “un componente clave de la fe compartida es los recursos que proporcionamos para ayudarte a empezar, en una configuración segura en Google Cloud. Comenzar con una configuración segura ayuda a reducir el problema de las configuraciones incorrectas, que es la raíz de la mayoría de las brechas de seguridad.”

Por qué importa la responsabilidad compartida y qué sucede cuando las empresas la desestiman

El modelo de responsabilidad compartida está pensado para proporcionar una división de deberes de seguridad, cumplimiento y éticos. El objetivo principal es cubrir todas las bases para garantizar que todos los controles de seguridad estén gestionados, evitando brechas y posibles ataques.

Si ocurriera una brecha, este sistema de control compartido está diseñado, en teoría, para ayudar a contenerla de forma más rápida y eficiente. Digo “teóricamente” porque existen lagunas de seguridad, como veremos más adelante.

Además, el modelo está diseñado para evitar que el proveedor o el cliente dupliquen pasos de seguridad innecesariamente, ahorrando tiempo y esfuerzo.

En conjunto, la seguridad y el costo de la infraestructura son mucho menores que gestionar la nube por cuenta propia, y la velocidad de despliegue es mayor.

En resumen, el modelo ofrece los beneficios de la nube pública sin tener que mantener su infraestructura.

Según AWS, este modelo compartido “puede ayudar a aliviar la carga operativa del cliente, ya que AWS opera, gestiona y controla los componentes desde el sistema operativo anfitrión y la capa de virtualización hasta la seguridad física de las instalaciones donde opera el servicio”.

Sin embargo, no seguirlo por cualquier razón conlleva riesgos significativos:

• brechas de datos
• ciberataques
• pérdidas financieras (ransomware, multas regulatorias, costos de remediación)
• responsabilidad legal y posibles demandas
• daño reputacional.

La primera es la que más deberías preocuparte: si ocurre, todas las demás seguirán.

Errores simples de configuración pueden provocar filtraciones de datos, y desafortunadamente, esto sucede todo el tiempo.

Grietas en el modelo

Este es un buen momento para discutir los problemas de este sistema, y el primero es, sin duda, el problema de la interpretación: conduce a responsabilidades pasadas por alto y, en consecuencia, a huecos de seguridad en las bases de datos del cliente, y por ende entre el proveedor y el cliente.

Este tema resulta en una configuración incorrecta, “el culpable directo” de la mayoría de las brechas de seguridad en la nube.

Entender las responsabilidades en un entorno en cambio constante es difícil. A veces las organizaciones intentan seguirlo, pero olvidan algo. A veces ni siquiera saben que tienen esta responsabilidad, suponiendo que todo recae en el proveedor. Y a menudo dejan de proteger ciertos datos que pueden parecer menos relevantes, como archivos de copia de seguridad.

De cualquier manera, el resultado final es el mismo: las bases de datos quedan desprotegidas y expuestas para que cualquiera las vea y descargue.

Esto no es teórico: es casi la norma. Recientemente, el investigador de seguridad Jeremiah Fowler descubrió otra base de datos no protegida, con 666.369 registros, que incluían nombres, direcciones de correo, teléfonos, direcciones IP y contraseñas hash de empleados y asistentes al Tribeca Festival.

Las posibles consecuencias son masivas y de amplio alcance para las organizaciones que fallaron en proteger los datos y para las personas cuyas informaciones fueron expuestas.

Otros problemas en el sistema de modelo compartido incluyen obtener visibilidad total del entorno en la nube, falta de integraciones eficaces que sostengan y mejoren la colaboración, desafíos para integrar herramientas y plataformas, etc.

Y si gestionas la seguridad en un entorno de múltiples nubes, eso es un desafío mayor.

Reflexiones finales

Proteger datos no es trabajo exclusivo del proveedor de la nube ni del cliente. Más bien, es una labor dividida entre “mío” y “tuyo”. En términos generales, los proveedores protegen lo que han creado, su casa, por así decirlo. Los clientes deben garantizar que todos sus propios datos y servicios relacionados en las naves alquiladas estén debidamente protegidos.

Esto es más fácil decirlo que hacerlo, dado que, a pesar de las numerosas ventajas de compartir esta responsabilidad (incluyendo ahorros de tiempo y costos significativos), los errores ocurren por muchas razones y las bases de datos de los clientes quedan expuestas. Es un tema clave para superar si este modelo va a funcionar con éxito a largo plazo.