Cloud Compliance

El cumplimiento en la nube es la disciplina de demostrar que los datos, las cargas de trabajo y sus controles en servicios en la nube cumplen los requisitos que aplican a la organización. Incluye leyes como el GDPR, HIPAA o LGPD, compromisos contractuales como PCI DSS y marcos de evaluación como ISO 27001 y SOC 2. Trasladar sistemas a un proveedor de nube cambia dónde se ejecutan los controles, pero no las obligaciones.

Lo que hay que controlar depende del modelo de servicio. En infraestructura como servicio, el cliente configura sistemas operativos, aplicaciones y ajustes de datos, así que la mayoría de los requisitos se aplican directamente. En software como servicio, el proveedor opera la plataforma y el cliente gestiona las identidades, la configuración de compartición y lo que los usuarios pueden exportar. En todos los modelos, los datos regulados siguen siendo responsabilidad del cliente.

Todo proveedor importante publica un modelo de responsabilidad compartida. El proveedor responde de la nube en sí: hardware, seguridad física y disponibilidad. El cliente responde de la seguridad y el cumplimiento en la nube: clasificación de datos, decisiones de acceso, configuración y actividad de los usuarios. Las certificaciones del proveedor cubren solo su lado de esa línea, nunca el del cliente.

La división importa porque los reguladores piden cuentas al responsable de los datos. Una autoridad de supervisión no acepta «el proveedor estaba certificado» cuando la causa fue un bucket de almacenamiento mal configurado, un enlace compartido abierto a cualquiera o un empleado que exportó registros a una cuenta personal. El trabajo de cumplimiento empieza por asignar la matriz de responsabilidades de cada servicio a las obligaciones de la organización y por cerrar las brechas del lado del cliente: identidad, configuración, registro y tratamiento de datos.

La ley de protección de datos sigue a los datos, no a la infraestructura. Con el GDPR, usar un proveedor de nube crea una relación de encargado del tratamiento: hacen falta un acuerdo de tratamiento de datos, subencargados documentados y garantías de transferencia cuando los datos salen de la región. HIPAA exige un acuerdo de asociado comercial antes de que la información de salud protegida llegue a los servicios del proveedor.

De ello se derivan dos deberes. El primero es saber qué datos regulados existen y dónde están: qué servicios los alojan, en qué regiones y bajo qué acuerdos. Eso es imposible sin clasificación y sin un inventario de servicios que incluya también el Shadow IT, es decir, las herramientas que los empleados adoptaron por su cuenta. El segundo es controlar el movimiento. Los datos regulados que salen del perímetro aprobado mediante una cuenta no autorizada o un enlace mal dirigido son un incidente de cumplimiento, y también pueden contar como una brecha de datos, aunque no haya mala intención.

Los marcos aportan el vocabulario con el que se demuestra el cumplimiento ante clientes, auditores y reguladores. Los más solicitados son los siguientes:

Un proveedor de nube no reduce el alcance de PCI DSS: el entorno de datos del titular de la tarjeta debe evaluarse dondequiera que se ejecute.

La auditoría en la nube tiene dos capas. La capa del proveedor se apoya en sus atestaciones, como el informe SOC 2 y el certificado ISO 27001. La capa del cliente se apoya en evidencias que produce la propia organización: configuraciones base, revisiones de accesos, registros de actividad y registros de incidentes.

El monitoreo de cumplimiento continuo reemplaza la instantánea anual. Como los entornos de nube cambian a diario, los auditores esperan evidencias generadas automáticamente: alertas por desviaciones de configuración, pistas de auditoría completas sobre quién hizo qué en cada servicio e informes a demanda. La capa del cliente suele seguir cuatro pasos:

1. 1

   Configuración base

   Registre la configuración aprobada de cada servicio en la nube y compare contra ella cada cambio.

2. 2

   Revisión de accesos

   Verifique quién puede entrar a cada servicio y elimine las cuentas que ya no tienen dueño.

3. 3

   Conservar la pista

   Guarde quién hizo qué en cada servicio, con la hora y el objeto, durante el plazo que exija la política.

4. 4

   Informe a demanda

   Genere la evidencia para el auditor a partir de los registros guardados, no de la memoria.

En Anexet este control se aplica en el puesto de trabajo: la configuración del control de almacenamiento en la nube en el perfil del agente define el nivel de acceso, el modo de auditoría y la copia sombra de cada servicio.

En la práctica, un programa reúne unos pocos componentes: un inventario de los servicios en la nube en uso, incluidos los no autorizados; la clasificación de los datos que llegan a ellos; la asignación de controles a cada marco aplicable, para que un control cumpla varios requisitos; la aplicación en los canales por los que los datos entran y salen de los servicios; y la recopilación de evidencias que haga demostrable todo esto a demanda.

Ninguno de estos componentes es específico de una sola regulación. Las obligaciones se multiplican, con una nueva ley de privacidad, un nuevo contrato o una nueva versión de un marco, mientras que los controles de base rara vez cambian. Las organizaciones que mantienen el inventario, la clasificación, la aplicación y la pista de auditoría absorben cada requisito nuevo asociándolo a controles que ya existen. La parte de protección de ese trabajo se describe en seguridad de datos en la nube.

Lectura recomendada: Cómo usar Anexet Ultimate DLP para el cumplimiento del RGPD.