La computación en la nube es una forma de entregar recursos de cómputo, como servidores, almacenamiento, bases de datos y software, a través de una red y bajo demanda, de modo que pagas por lo que usas en lugar de comprar y operar todo tú mismo. El examen CCSP se basa en dos definiciones: NIST SP 800-145 e ISO/IEC 17788. Necesitas su vocabulario, porque muchas preguntas dependen de si una situación realmente es computación en la nube y de quién es responsable de qué.
NIST enumera cinco características esenciales. El autoservicio bajo demanda significa que un cliente puede aprovisionar recursos sin que una persona del proveedor apruebe cada solicitud. El amplio acceso a la red significa que los servicios se alcanzan por redes estándar desde muchos tipos de dispositivos. La agrupación de recursos (resource pooling) significa que el proveedor atiende a muchos clientes desde recursos físicos compartidos y que el cliente normalmente no sabe dónde se ejecuta exactamente su carga de trabajo. La elasticidad rápida significa que la capacidad puede crecer y reducirse rápidamente, a menudo de forma automática. El servicio medido significa que el uso se mide, lo que permite la facturación por uso y da a ambas partes datos para el cobro interno y la planificación de capacidad. ISO/IEC 17788 agrega la multitenencia como sexta característica clave: varios clientes comparten la misma infraestructura mientras se mantienen aislados entre sí.
Los roles importan porque la responsabilidad los sigue. El cliente del servicio de nube (CSC) usa el servicio y sigue siendo responsable de sus propios datos. El proveedor del servicio de nube (CSP) pone el servicio a disposición. Un socio del servicio de nube apoya a cualquiera de los dos lados; por ejemplo, un auditor de nube que evalúa los controles de forma independiente y un intermediario (broker) de servicios de nube que negocia, agrega o integra servicios de varios proveedores en nombre del cliente. Los reguladores fijan los requisitos legales y de la industria que tanto el cliente como el proveedor deben cumplir, y pueden solicitar evidencia.
Las consecuencias de seguridad se derivan directamente de las características. La agrupación de recursos y la multitenencia crean el riesgo de que un inquilino afecte a otro, por lo que el aislamiento es una obligación central del proveedor. El autoservicio y la elasticidad facilitan crear recursos que nadie controla, así que la gobernanza y el etiquetado pasan a ser trabajo del cliente. El servicio medido te da datos que pueden revelar abusos, como un aumento repentino de costos por una cuenta comprometida que mina criptomonedas.
Términos clave
- Agrupación de recursos
- El proveedor atiende a muchos clientes desde recursos físicos compartidos que se asignan dinámicamente, con una ubicación en gran parte oculta para el cliente.
- Elasticidad rápida
- La capacidad de aumentar o reducir recursos rápidamente, a menudo de forma automática, de modo que al cliente le parecen ilimitados.
- Intermediario de servicios de nube (broker)
- Un socio que negocia, integra o agrega servicios de nube de uno o más proveedores en nombre de un cliente.
- Multitenencia
- Varios clientes (inquilinos) comparten la misma infraestructura mientras sus datos y cargas de trabajo se mantienen separados lógicamente.
Los desarrolladores de un minorista crean decenas de máquinas virtuales en minutos para una venta de temporada y las eliminan después. La factura mensual muestra exactamente cuántas horas de cómputo se usaron. Eso es autoservicio bajo demanda, elasticidad rápida y servicio medido en acción, y el equipo de seguridad agrega reglas de etiquetado para que cada recurso de corta vida siga teniendo un dueño.
Comprueba lo que sabes
¿Qué característica hace posible la facturación por uso?
El servicio medido, porque el proveedor mide el uso de los recursos.
¿Quién sigue siendo responsable de los datos cuando una empresa los traslada a una nube pública?
El cliente del servicio de nube; el proveedor opera controles, pero la responsabilidad por los datos sigue siendo del cliente.
¿Qué hace un auditor de nube?
Es un socio que evalúa e informa de forma independiente sobre los controles de un servicio de nube, dando garantía a clientes y reguladores.