Tema 1 de 6
El modelo de responsabilidad compartida
Mover cargas a la nube no traslada toda la seguridad al proveedor. Este modelo define qué protege Microsoft y qué sigue siendo tuyo, y cambia según uses on-premises, IaaS, PaaS o SaaS. Es la base para entender casi cualquier pregunta de seguridad en la nube del examen.
Contenido
¿Qué es el modelo de responsabilidad compartida?
En un datacenter propio, la organización es dueña de todo: el edificio, los servidores, la red, el sistema operativo, las aplicaciones y los datos. Al usar la nube, parte de esas tareas pasa al proveedor. El modelo de responsabilidad compartida deja claro quién responde por cada capa, para planificar la seguridad sin huecos.
En on-premises, el equipo propio se ocupa de la seguridad física del edificio, del mantenimiento y los parches del hardware, de configurar los equipos de red, de asegurar los sistemas operativos, de desplegar y actualizar las aplicaciones, de proteger identidades y accesos y de cuidar los datos. Ese control total también significa cargar con todo el trabajo de seguridad.
La nube cambia ese reparto. Cuanto más "arriba" está el servicio (de IaaS a PaaS y a SaaS), más capas asume el proveedor. Pero hay una idea que el examen repite: la responsabilidad se reparte, la rendición de cuentas no. Nunca delegas la responsabilidad sobre tus datos, tus identidades, tus endpoints y el uso que haces de la tecnología.
On-premises, IaaS, PaaS y SaaS
On-premises
La organización administra y protege toda la pila, desde el edificio y el hardware hasta el sistema operativo, las aplicaciones y los datos.
Ejemplos: Servidores propios en una sala de la empresa.
IaaS
Microsoft protege el datacenter físico, el hardware de red y los hosts. Tú administras sistemas operativos, aplicaciones, los controles de red que configuras y los datos.
Ejemplos: Azure Virtual Machines, discos, redes virtuales.
PaaS
Microsoft también se encarga del sistema operativo y del entorno de ejecución. Tú respondes por el código de la aplicación, su configuración, los controles de acceso y los datos.
Ejemplos: App Service, Functions, Azure SQL Database, Storage.
SaaS
Microsoft administra toda la aplicación y su infraestructura. Tú controlas quién usa el servicio, tus datos y la configuración a nivel de tenant.
Ejemplos: Microsoft 365, Dynamics 365.
Regla mental
Pregúntate "¿quién puede tocar esta capa?". Si tú puedes iniciar sesión en el sistema operativo (una VM), lo parcheas tú. Si solo despliegas código (App Service), el sistema operativo no es tuyo. Si solo usas la aplicación (Microsoft 365), solo te quedan datos, accesos, dispositivos y configuración.
Quién se encarga de qué en cada modelo
Matriz según la documentación actual de Microsoft. A medida que avanzas de on-premises a SaaS, el proveedor asume más capas.
| Responsabilidad | On-premises | IaaS | PaaS | SaaS |
|---|---|---|---|---|
| Datos del cliente | Cliente | Cliente | Cliente | Cliente |
| Configuraciones y ajustes | Cliente | Cliente | Cliente | Cliente |
| Identidades y usuarios | Cliente | Cliente | Cliente | Cliente |
| Dispositivos cliente | Cliente | Cliente | Cliente | Compartida |
| Aplicaciones | Cliente | Cliente | Compartida | Compartida |
| Controles de red | Cliente | Cliente | Compartida | Microsoft |
| Sistema operativo | Cliente | Cliente | Microsoft | Microsoft |
| Hosts físicos | Cliente | Microsoft | Microsoft | Microsoft |
| Red física | Cliente | Microsoft | Microsoft | Microsoft |
| Datacenter físico | Cliente | Microsoft | Microsoft | Microsoft |
Fíjate en las tres primeras filas: son "Cliente" en todas las columnas. Y en las tres últimas: en cuanto hay nube, son de Microsoft.
Lo que siempre es del cliente
Sin importar el modelo de servicio, Microsoft enseña que el cliente conserva siempre estas responsabilidades:
💾 Datos
Clasificarlos según su sensibilidad, decidir cómo protegerlos y cifrarlos, y cumplir los requisitos de gobierno de datos. El proveedor asegura la infraestructura donde se guardan, pero tú decides qué datos recopilas, quién accede, cuánto tiempo se guardan y cómo se protegen.
🪪 Identidades y acceso
Cuentas, métodos de autenticación y permisos. Una identidad comprometida da acceso a los recursos aunque todo lo demás esté bien cerrado. Exigir MFA y aplicar privilegios mínimos es de las tareas más importantes del cliente.
💻 Endpoints
Laptops, tablets, teléfonos y equipos que se conectan a la nube. Un atacante que compromete un endpoint puede entrar a los servicios como si fuera su usuario legítimo. Administración, actualizaciones y detección de amenazas en el dispositivo son del cliente.
⚙️ Decisiones de configuración
Cómo configuras servicios, permisos de recursos y políticas de red en tu tenant. Una cuenta de almacenamiento mal configurada o una política de acceso demasiado permisiva exponen datos aunque la plataforma sea segura.
Por qué esto importa en el examen
Las preguntas suelen describir un servicio y preguntar quién protege una capa. Si la capa es datos, cuentas, dispositivos o configuración del tenant, la respuesta es el cliente, aunque el servicio sea SaaS.
Responsabilidades compartidas
Entre lo que siempre es tuyo y lo que siempre es del proveedor hay capas que cambian de dueño según el modelo:
Aplicaciones
En IaaS son tuyas por completo. En PaaS y SaaS, Microsoft administra parte de la pila, pero tú respondes por la configuración de la aplicación, la seguridad del código y los controles de acceso.
Controles de red
En IaaS configuras toda la seguridad de red (firewalls, segmentación). En PaaS, Microsoft da una base y tú configuras los controles de red de la aplicación. En SaaS, la red es de Microsoft.
Dispositivos cliente
En SaaS, Microsoft puede ofrecer herramientas de administración de dispositivos, pero la protección y el cumplimiento de los endpoints siguen siendo tuyos.
Microsoft, por su parte, responde por la seguridad física de los datacenters, la red física, los hosts físicos y el hipervisor, y en PaaS y SaaS también por sistemas operativos, entornos de ejecución y middleware.
Ventajas de seguridad de la nube
El modelo no solo traslada tareas: también te da acceso a capacidades que pocas organizaciones podrían construir y mantener solas.
Lo que el proveedor invierte por ti
- Seguridad física de los datacenters
- Fiabilidad del hardware
- Certificaciones de cumplimiento
- Inteligencia de amenazas
- Monitoreo de seguridad a gran escala
Huecos típicos de on-premises
- Parches que se retrasan por falta de personal
- Hardware que queda fuera de soporte del fabricante
- Sistemas sin herramientas de monitoreo
En la nube, el proveedor parchea la infraestructura y protege lo físico de su parte de la pila. Eso no elimina tus obligaciones, pero te deja concentrar el esfuerzo en datos, identidades y configuración, donde más impacto tiene.
Responsabilidad compartida en IA
El material actual del SC-900 extiende el modelo a soluciones con IA. Los sistemas de IA se dejan influir por los datos e instrucciones que reciben y generan resultados que pueden guiar decisiones importantes, así que traen responsabilidades nuevas. Una aplicación con IA se piensa en tres capas:
Plataforma de IA
Infraestructura, modelo y controles de seguridad de la plataforma, como filtros de contenido o sistemas de seguridad integrados.
Aplicación de IA
La app que construyes o despliegas sobre la plataforma: configuración, fuentes de datos, conectores y plugins habilitados.
Uso de la IA
Cómo la usan las personas: qué datos y prompts introducen, políticas de uso aceptable y supervisión.
Igual que en la nube clásica, el reparto depende del tipo de servicio: con IA en SaaS (por ejemplo, Microsoft 365 Copilot) el proveedor asume más; con IA en PaaS (por ejemplo, Azure AI Foundry) tú construyes y configuras más.
Normalmente el proveedor
- Infraestructura física y hosting del modelo
- Controles de seguridad de la plataforma, según el nivel del servicio
- Operación segura del cómputo del servicio
Siempre el cliente
- Qué datos comparte o deja leer a la IA
- Quién puede usar la aplicación de IA y qué puede hacer
- Configuración segura: conectores, logs, retención
- Mitigar la inyección de prompts
- Capacitar a los usuarios y definir políticas de uso
Inyección de prompts
Un atacante mete instrucciones en lo que escribe el usuario o en datos externos para manipular el comportamiento o la salida de la IA. Se mitiga con validación de entradas, controles de acceso y monitoreo, y es responsabilidad del cliente.
Escenarios de examen
| Situación | Responsable | Por qué |
|---|---|---|
| Una VM de Azure tiene el sistema operativo sin parches | Cliente | En IaaS el sistema operativo de la VM es del cliente. |
| Un corte eléctrico afecta un datacenter de Azure | Microsoft | La seguridad y la operación física del datacenter son del proveedor en todos los modelos de nube. |
| Un usuario de Microsoft 365 comparte un archivo confidencial con un externo | Cliente | Datos, accesos y configuración del tenant siguen siendo del cliente en SaaS. |
| Hay que actualizar el runtime de una app en App Service | Microsoft | En PaaS el sistema operativo y el entorno de ejecución son del proveedor. |
| Una cuenta de almacenamiento quedó con acceso público por error | Cliente | Es una decisión de configuración: la plataforma es segura, la configuración no. |
| Un empleado pega datos de clientes en un asistente de IA | Cliente | El uso de la IA y los datos que se le dan siempre son responsabilidad del cliente. |
Trampas frecuentes del examen
❓ ¿En SaaS la seguridad de los datos es responsabilidad de Microsoft?
No. Los datos, las identidades y la configuración del tenant son del cliente en todos los modelos, incluido SaaS. Microsoft protege la aplicación y la infraestructura, no decide quién accede a tus archivos.
❓ ¿En PaaS el cliente parchea el sistema operativo?
No. En PaaS el sistema operativo y el entorno de ejecución son de Microsoft. En IaaS, en cambio, sí parcheas el sistema operativo de tus VMs.
❓ ¿Moverse a la nube significa delegar toda la responsabilidad?
No. Se delegan capas de infraestructura, pero nunca la responsabilidad sobre los datos, las identidades, los endpoints y el uso de la tecnología.
❓ ¿La seguridad física del datacenter es compartida en IaaS?
No. En cualquier modelo de nube, datacenter, red física y hosts físicos son del proveedor. Solo en on-premises son del cliente.
❓ ¿Los controles de red en SaaS son del cliente?
No. En SaaS la red es de Microsoft. En PaaS es compartida y en IaaS es del cliente.
❓ Con Microsoft 365 Copilot, ¿quién decide qué datos puede leer la IA?
El cliente. Aunque la plataforma de IA sea del proveedor, los datos que se comparten y los accesos son siempre del cliente.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una empresa usa Azure SQL Database (PaaS). ¿Quién es responsable de aplicar los parches del sistema operativo del servidor de base de datos?
¿Listo para poner a prueba "Modelo de responsabilidad compartida"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro