Una arquitectura de referencia es un mapa compartido de las partes de un servicio de nube y de quién opera cada una. El examen CCSP la usa para evaluar si sabes qué controla el cliente en cada modelo de servicio, porque eso decide qué controles de seguridad debe construir el cliente y cuáles solo puede solicitar o verificar.
La Infraestructura como Servicio (IaaS) le da al cliente máquinas virtuales, redes virtuales y almacenamiento. El proveedor opera el centro de datos físico, el hardware y el hipervisor; el cliente instala y parcha el sistema operativo invitado, el middleware y las aplicaciones, y configura los firewalls y la identidad. La Plataforma como Servicio (PaaS) traslada al proveedor el sistema operativo y el entorno de ejecución: tú despliegas código o usas una base de datos administrada, y el proveedor parcha la plataforma subyacente. El Software como Servicio (SaaS) entrega una aplicación terminada; el cliente controla principalmente a sus usuarios, sus permisos, los ajustes de configuración y los datos que ingresa.
ISO/IEC 17788 describe la misma idea como tipos de capacidad de nube. Un tipo de capacidad de infraestructura permite al cliente aprovisionar y usar procesamiento, almacenamiento o redes. Un tipo de capacidad de plataforma permite al cliente desplegar y ejecutar aplicaciones escritas con lenguajes y herramientas que el proveedor admite. Un tipo de capacidad de aplicación permite al cliente usar las aplicaciones del proveedor. Las categorías de servicio con nombre, como cómputo como servicio, almacenamiento de datos como servicio, red como servicio y comunicaciones como servicio, encajan dentro de estos tipos.
El patrón que debes recordar es que al pasar de IaaS a PaaS y a SaaS, el cliente cede control y gana comodidad. Menos control significa que dependes más de contratos, acuerdos de nivel de servicio e informes de aseguramiento de terceros para confirmar los controles del proveedor. Algunas responsabilidades nunca se trasladan: en todos los modelos el cliente es dueño de sus datos, decide quién obtiene acceso y responde ante reguladores y clientes si esos datos se manejan mal.
Términos clave
- IaaS
- Modelo de servicio en el que el cliente renta cómputo, almacenamiento y redes virtuales y administra todo desde el sistema operativo invitado hacia arriba.
- PaaS
- Modelo de servicio en el que el proveedor opera el sistema operativo y el entorno de ejecución, y el cliente despliega y administra sus propias aplicaciones y datos.
- SaaS
- Modelo de servicio en el que el proveedor entrega una aplicación completa y el cliente administra usuarios, configuración y datos.
- Tipo de capacidad de nube
- La clasificación de ISO/IEC 17788 de lo que un servicio ofrece al cliente: capacidad de infraestructura, de plataforma o de aplicación.
Una startup ejecuta su aplicación web en un PaaS administrado, guarda archivos en almacenamiento de objetos y usa una suite de correo SaaS. Cuando se anuncia una falla crítica del kernel, la startup no hace nada en las partes PaaS y SaaS porque los proveedores las parchan, pero sí debe parchar las dos máquinas virtuales IaaS que ejecuta para una herramienta de reportes heredada.
Comprueba lo que sabes
En PaaS, ¿quién es responsable de parchar el entorno de ejecución y el sistema operativo?
El proveedor; el cliente es responsable del código de su aplicación, la configuración y los datos.
¿Qué modelo de servicio le da al cliente más control y, por lo tanto, más responsabilidad de seguridad?
IaaS, porque el cliente administra el sistema operativo invitado y todo lo que está por encima.
¿Qué describe el tipo de capacidad de aplicación?
Un servicio en el que el cliente usa las aplicaciones del proveedor, lo que corresponde a SaaS.