Matriz de responsabilidades compartidas en cloud
Plantilla para asignar responsabilidades de seguridad, datos, identidad, operación y recuperación entre empresa y proveedor cloud.
2 min de lectura
En este artículo
Contratar cloud no transfiere toda la operación
Una plataforma puede operar centros de datos, hardware y determinadas capas administradas; la empresa sigue tomando decisiones sobre sus identidades, datos, permisos, aplicaciones y configuración. El reparto cambia según el servicio concreto: una máquina virtual exige más gestión del cliente que una aplicación SaaS, pero una etiqueta IaaS/PaaS/SaaS por sí sola no resuelve cada control.
AWS y Microsoft publican modelos de responsabilidad compartida y responsabilidad compartida en Azure. Úsalos como orientación y confirma los compromisos del servicio, la región, el contrato y la configuración que realmente has desplegado.
Plantilla de asignación
Completa una fila por servicio cloud; evita una única matriz para toda la organización.
| Área | Pregunta que debe resolverse | Empresa | Proveedor | Evidencia o tarea pendiente |
|---|---|---|---|---|
| Identidades | ¿Quién crea usuarios, aplica MFA y revisa privilegios? | Responsable y aprobador | Funciones del servicio | Exportación de roles y revisión de acceso |
| Datos | ¿Quién clasifica, cifra, conserva y autoriza la exportación? | Propietario del dato | Opciones técnicas ofrecidas | Política, configuración y prueba de exportación |
| Plataforma | ¿Quién parchea sistema operativo, runtime y aplicación? | Según el servicio | Según el servicio | Inventario y calendario de cambios |
| Red | ¿Quién controla reglas, rutas, DNS y exposición pública? | Reglas del workload | Red física y controles del proveedor | Diagrama y revisión de exposición |
| Disponibilidad | ¿Quién configura zonas, réplicas, cuotas y alertas? | Requisitos y configuración | Capacidades del servicio | Objetivos, alertas y prueba de recuperación |
| Incidentes | ¿A quién se avisa, con qué datos y en qué plazo? | Coordinación y respuesta | Notificación y soporte contratados | Contactos, runbook y registro de simulacro |
En las celdas utiliza un responsable nominal —por ejemplo, “equipo de plataforma”— y no solo “cliente”. Si una tarea es compartida, describe qué parte ejecuta cada equipo y qué evidencia confirma su finalización.
Cómo convertir la matriz en una rutina
- Delimita el servicio: nombre, cuenta o suscripción, entorno, datos tratados, propietario de negocio y criticidad.
- Lee la documentación del servicio: identifica qué capas opera el proveedor y qué configuración debe activar el cliente.
- Asigna un responsable y sustituto: cubre tareas periódicas y emergencias, no solo el diseño inicial.
- Anota dependencias contractuales: soporte, copias, restauración, registros, exportación y cambios de producto.
- Revisa tras una modificación: migrar de máquina virtual a servicio gestionado puede cambiar quién mantiene el sistema operativo o las copias.
Ejemplo ilustrativo
Una empresa usa una base de datos administrada para una aplicación de pedidos. El proveedor opera la infraestructura del servicio, pero el equipo interno aún debe decidir quién configura permisos, retención, cifrado disponible, alertas, ventanas de mantenimiento y prueba de recuperación. El responsable de negocio valida además que los pedidos restaurados mantienen coherencia con el ERP.
Esta matriz complementa la arquitectura cloud nativa, la estrategia FinOps y el guion de prueba de restauración. No sustituye la revisión contractual, de protección de datos ni de los requisitos específicos de cada servicio.