El modelo de responsabilidad compartida de AWS

Toda pregunta de seguridad del CLF-C02 acaba reduciéndose a una sola frase: ¿quién arregla esto? El examen lo llama Dominio 2, Tarea 2.1, "Reconocer los componentes del modelo de responsabilidad compartida de AWS", y el Dominio 2 vale 30% de tu puntuación (en octubre de 2026), así que este único modelo es, estadísticamente, el concepto más rentable de todo el examen. AWS enuncia la premisa sin rodeios: "La seguridad y el cumplimiento son una responsabilidad compartida entre AWS y el cliente." Compartido no significa repartido por la mitad, significa dos organizaciones distintas, cada una totalmente responsable de su propia capa, y la frontera entre esas capas se mueve según el servicio que elijas.

En esta lección vas a:

• separar la seguridad de la nube (AWS) de la seguridad en la nube (tú) usando la propia redacción de AWS;
• situar la frontera exactamente: del sistema operativo host y la capa de virtualización hacia abajo = AWS, del sistema operativo invitado hacia arriba = tú;
• leer la tabla completa del desglose de responsabilidades: instalaciones, hardware, hipervisor, datos, identidad, cifrado, cumplimiento;
• observar cómo la línea cambia entre Amazon EC2, Amazon RDS, AWS Lambda y Amazon S3, incluidos los detalles de RDS Custom y los modos de runtime de Lambda;
• clasificar cada control como heredado, compartido o específico del cliente, y entender por qué compartido ≠ 50/50;
• listar lo que los clientes aún poseen: clasificación de datos, identidad y acceso, parcheo de SO en EC2, configuración de red, decisiones de cifrado, seguridad de la aplicación;
• listar lo que posee AWS: instalaciones, hardware, virtualización y la infraestructura de servicios gestionados;
• reconocer las trampas clásicas de atribución errónea que sostienen la mayoría de las opciones incorrectas de este tema;
• estudiar cuatro casos de estudio de seguridad y cumplimiento publicados por AWS: dos operativos y dos de autorización;
• revisar los cambios de guía y de lista de servicios de 2026 (en octubre de 2026) que deciden qué sigue evaluando el Dominio 2;
• practicar con 12 preguntas estilo examen más cuatro comprobaciones interactivas.

---

1. Seguridad de la nube frente a seguridad en la nube

1.1 La redacción de la propia AWS

La página de cumplimiento de AWS define ambas mitades en un solo párrafo, y el examen lo cita casi textualmente:

La segunda fila es la que los estudiantes leen mal. Tus deberes no son fijos: se derivan de tu elección de servicio. Ejecutas Amazon EC2 y heredas un sistema operativo que parchear; ejecutas Amazon S3 y ese deber desaparece, mientras que el deber de clasificar tus datos no.

1.2 La preposición es todo el truco

1.3 Ejemplo E1: clasificar seis afirmaciones en menos de un minuto

Lee cada afirmación, nombra la mitad y decide si siquiera es plausible:

El patrón de las filas 3, 4 y 5 es todo el examen: AWS proporciona una capacidad; tú tomas la decisión. Proporcionado ≠ configurado, y herramienta ≠ responsabilidad.

• 📚 ¿Sabías que…? El modelo es razón por la que el cumplimiento en la nube es más barato. AWS escribe que permite a los clientes "trasladar la gestión de ciertos controles de TI a AWS" e heredar un entorno de control auditado en lugar de construir instalaciones y seguridad física: manteniendo datos, identidad, configuración y cumplimiento. Por eso también existe AWS Artifact como portal de autoservicio sin costo para el acceso bajo demanda a los informes de cumplimiento de AWS: la evidencia de la mitad de AWS ya está escrita; solo tienes que obtenerla.

---

2. Dónde se sitúa la línea en la pila

2.1 La frase de la frontera

La página canónica de AWS traza la línea en una sola frase: repítela hasta que se vuelva automática:

"AWS opera, gestiona y controla los componentes desde el sistema operativo host y la capa de virtualización hacia abajo hasta la seguridad física de las instalaciones en las que opera el servicio. El cliente asume la responsabilidad y la gestión del sistema operativo invitado (incluidas actualizaciones y parches de seguridad), del otro software de aplicación asociado, así como de la configuración del firewall de grupo de seguridad proporcionado por AWS."

Dos consecuencias aparecen en cada forma de examen:

1. Amazon EC2 te convierte en administrador de sistemas. Elegiste IaaS, así que las capas 3 a 7 son tuyas, incluidas las "actualizaciones y parches de seguridad" del sistema operativo invitado.
2. La línea no es un objeto físico. Es una división contractual de deberes que AWS vuelve a dibujar por servicio: que es la segunda mitad de la Tarea 2.1 (Sección 4).

2.2 La resiliencia usa las mismas dos preposiciones

El Pilar de Confiabilidad de Well-Architected repite el reparto para la disponibilidad, una fuente favorita de distractores:

2.3 Ejemplo E2: la aritmética de las 124 AZ y lo que no te compra

AWS reporta 124 Zonas de Disponibilidad en 39 Regiones geográficas, cada Región con "al menos tres Zonas de Disponibilidad independientes y físicamente separadas" (en octubre de 2026).

$$39 \times 3 = 117 \text{ AZs as the design minimum} \quad\Rightarrow\quad 124 - 117 = 7 \text{ AZs above the minimum}$$

Así que AWS ha diseñado siete dominios de fallo más de lo que exige su propio mínimo, y tu cuenta sigue siendo dueña de la diferencia en la práctica. Un despliegue de una sola AZ dentro de una Región de 3 AZ hereda cero de esa ingeniería. La lista de verificación del lado del cliente después de la aritmética:

1. despliega en al menos dos AZ (la propia regla de diseño de AWS para la disponibilidad);
2. activa las copias de seguridad y prueba restaurarlas;
3. decide si un evento a nivel de Región necesita una estrategia de DR (eso es una pregunta de Región, no de AZ);
4. prueba la conmutación: un plan sin probar es una hipótesis.

• 📚 ¿Sabías que…? AWS retira los medios que contenían datos de clientes usando técnicas detalladas en NIST 800-88, el acceso físico a las salas de servidores requiere autorización multifactor, y el acceso a los centros de datos se "registra, monitorea y conserva", y aun así los auditores externos prueban a AWS contra más de 2.600 requisitos a lo largo del año (en octubre de 2026). Todo eso está del lado de AWS, y por eso mismo es un control heredado para ti: recibes la garantía sin operar los lectores de acreditaciones.

---

3. El desglose completo de responsabilidades

3.1 Cada fila, cada responsable

Esta es la tabla sobre la que se construye la Tarea 2.1. Aprende tres columnas de lógica: siempre AWS, siempre tuyo y depende del servicio.

3.2 Ejemplo E3: la misma carga de trabajo, tres columnas

Un equipo de bases de datos on-premises documenta lo que exige cada opción de alojamiento. La Guía de usuario de Amazon RDS publica exactamente esta comparación:

Lee las columnas de izquierda a derecha y verás la línea deslizarse hacia arriba: tres deberes del cliente se convierten en deberes de AWS al pasar de autogestionado a gestionado. Lee las filas y verás lo que nunca cambia: nada de esta tabla trata sobre tus datos, tus políticas de IAM ni tu obligación de cumplimiento, porque esos viven por encima de la frontera en todas las columnas.

---

4. Cómo cambia la línea entre servicios (la habilidad más difícil de la Tarea 2.1)

4.1 Los tres ejemplos del examen más uno

La guía del examen nombra Amazon RDS, AWS Lambda y Amazon EC2 como ejemplos del desplazamiento. Añade Amazon S3 (el caso del almacenamiento abstracto) y cubres cada forma de pregunta.

Dos invariantes sobreviven a cada fila de esa tabla: AWS siempre posee instalaciones, hardware e hipervisor, y tú siempre posees datos, IAM y la decisión de cifrado. Solo las filas del medio se mueven.

4.2 La auditoría del deber de parcheo (ejemplo resuelto E4)

¿Quién parchea el sistema operativo? Seis cargas de trabajo, una respuesta cada una:

Las dos trampas de esa tabla, RDS Custom y Lambda Manual, merecen una sección cada una.

4.3 La válvula de escape de RDS Custom

Amazon RDS Custom existe porque algunas cargas de trabajo necesitan acceso privilegiado al sistema operativo. La redacción de la propia AWS: "Con RDS Custom, usas las características gestionadas de Amazon RDS, pero gestionas el host y personalizas el SO como lo haces en Amazon EC2." La tabla de responsabilidades publicada devuelve el parcheo del SO y el parcheo del software de la base de datos al Cliente para RDS Custom, mientras que el Amazon RDS estándar mantiene ambos en AWS.

4.4 El matiz del runtime de Lambda

AWS publica la gestión de runtimes como un tema de responsabilidad compartida:

• "Lambda es responsable de seleccionar y publicar actualizaciones de seguridad para todos los runtimes gestionados e imágenes de contenedor compatibles."
• "Para las funciones configuradas para usar el modo de actualización Manual del runtime, tú eres responsable de actualizar tu función para usar la última versión del runtime."

4.5 Ejemplo E5: un runtime obsoleto que nadie parcheó

Una función se ejecuta en una versión de runtime que AWS ha marcado para obsolescencia. AWS ya publicó la corrección de seguridad (la mitad de Lambda está hecha). La auditoría del equipo:

Cuenta los fallos: 0 fallos de AWS, 1 fallo del cliente en cada una de las dos últimas filas. El modelo funcionó exactamente como fue diseñado: una corrección publicada más un deber ignorado sigue siendo una función sin parchear, y el examen te pedirá que nombres al responsable.

4.6 Parcheo single-tenant frente a multi-tenant

El Pilar de Seguridad de Well-Architected divide los servicios gestionados en dos comportamientos de parcheo, y la diferencia está en cuánto aún te toca hacer:

• 📚 ¿Sabías que…? El mismo modelo gobierna quién retira el hardware: la guía de AWS alineada con el NHS llama a la seguridad del centro de datos "responsabilidad íntegra de AWS" y dice que la disposición y el desaprovisionamiento "corresponden a AWS bajo el Modelo de Responsabilidad Compartida". Tu obligación empieza en tus datos, "Tú siempre posees tus datos, incluida la capacidad de cifrarlos, moverlos y gestionar su retención", y termina en tus políticas de retención y eliminación, nunca en la trituradora.

---

5. La taxonomía de controles: heredados, compartidos, específicos del cliente

5.1 Las tres categorías oficiales de AWS

AWS no divide los controles solo en "tuyos/míos". La taxonomía publicada tiene cuatro etiquetas, y el examen te pide colocar un ejemplo en la correcta:

5.2 La heurística de las cinco preguntas

Cuando una opción te sea desconocida, aplica esta orden de pruebas: resuelve casi cualquier elemento de la Tarea 2.1:

5.3 Ejemplo E6: clasificar doce controles en cubetas

Clasifica los doce controles de la Sección 3 en la taxonomía y cuéntalos:

Cuatro más tres más cinco suman doce, y cada una de las tres afirmaciones "no clasificables" incumple la tabla de trampas de la Sección 8. Si puedes ubicar un control en una cubeta en menos de diez segundos, puedes responder la pregunta.

5.4 Controles compartidos en operación continua

Un control solo es real si se ejecuta continuamente, así que el examen también evalúa la forma permanente de los tres controles compartidos. Cada fila nombra qué hace AWS para siempre, qué debes hacer tú para siempre y dónde queda la evidencia:

La guía de servicios financieros de AWS enmarca el lado cliente de este bucle como tres acciones de programa repetidas: Validar (¿el control está diseñado correctamente?), Demostrar (¿puedes mostrar la evidencia?), Monitorear (¿sigue funcionando?). Eso es monitoreo continuo en la nube, y nada de eso se transfiere a AWS, porque AWS no puede validar una decisión que no has tomado.

---

6. Lo que los clientes aún poseen

La abstracción elimina tareas de infraestrutura, nunca la propiedad. Incluso en el servicio más abstracto, seis deberes son tuyos de forma permanente:

6.1 El deber de monitoreo del cliente

AWS suministra las herramientas de detección; habilitarlas y actuar sobre ellas es tuyo. La propia guía de seguridad de cuentas de AWS pone el caso más urgente primero: "Es crítico que protejas tu cuenta root del acceso no autorizado, empezando por la autenticación multifactor", y root debe usarse solo en emergencias.

6.2 Ejemplo E7: la auditoría de exposición de la cuenta root

Tres hallazgos en una cuenta (los recuentos son del escenario, no métricas de AWS):

Exposición = 1 + 2 + 0 = 3 huecos del lado del cliente, 0 huecos del lado de AWS. Observa qué muestra la aritmética: cada hueco es una decisión que nadie tomó, y cada corrección usa una herramienta que AWS ya proporciona. Observa también el control de registro del lado de AWS que no es tuyo: al crear la cuenta, AWS retiene 1 USD (o su equivalente) durante 3 a 5 días para verificar tu cuenta y prevenir el fraude (en octubre de 2026).

6.3 Autoevaluación: los deberes que nunca cambian

• 📚 ¿Sabías que…? Tu evidencia de cumplimiento se divide por la misma línea. Para una carga de trabajo PCI obtendrías la evidencia del lado de AWS, seguridad física, destrucción de medios, parcheo de infraestructura, protección de red, formación del personal, desde AWS Artifact, un "portal de autoservicio sin costo para el acceso bajo demanda a los informes de cumplimiento de AWS", mientras aportas tu propia evidencia de privilegio mínimo de IAM, reglas de grupos de seguridad, ajustes de cifrado y retención de registros. AWS admite 143 estándares de seguridad y certificaciones de cumplimiento, incluidos PCI-DSS, HIPAA/HITECH, FedRAMP, GDPR, FIPS 140-3 y NIST 800-171, y ofrece más de 300 servicios y características de seguridad, cumplimiento y gobernanza (todos en octubre de 2026).

---

7. Lo que posee AWS

Todo desde el sistema operativo host hacia abajo, más la maquinaria de ejecutar el propio servicio:

---

8. Trampas clásicas de atribución errónea

8.1 Las nueve respuestas incorrectas, corregidas

Estas son las atribuciones erróneas que llenan los distractores. Lee la versión incorrecta y luego di en voz alta la correcta:

8.2 Ejemplo E8: reescribir tres distractores

Toma un enunciado de práctica: "Una carga de trabajo regulada está desplegada en Amazon RDS. ¿Qué afirmación es correcta?"

El patrón: cada opción incorrecta toma una fila verdadera de la tabla de la Sección 3 y le adjunta la fila de otro. Separa las filas de nuevo y la opción se derrumba.

8.3 Dónde el examen siembra la trampa

---

Casos Reales

AWS publica cómo se ve la responsabilidad compartida en una cuenta de producción regulada. Cada cifra de abajo es afirmada por el cliente o por AWS y no auditada, con la fuente nombrada para que puedas verificarla: el punto evaluable es la división (qué controles eran heredados, cuáles tuvo que construir el cliente), no la cifra de marketing.

Caso A, athenahealth: seguridad de red centralizada en 120 cuentas (Dominio 2)

Lección de examen: esta es una historia de configuración de red del lado del cliente que se ejecuta sobre infraestructura del lado de AWS. La cita del cliente, "Con escalable me refiero a magia de AWS. Ni siquiera tenemos que pensar en la escalabilidad.", habla de la mitad heredada; las reglas como código y la propagación de políticas a 120 cuentas son la mitad "en la nube" que ningún proveedor puede hacer por ti.

Caso B, Avalon Healthcare Solutions: acceso Zero Trust a la PHI (Dominio 2)

Lección de examen: la identidad es siempre responsabilidad del cliente, y Avalon muestra el patrón que el examen quiere: compra el servicio de acceso (lado AWS), posee el quién y la evidencia (lado cliente). Ejemplo relacionado publicado por AWS: Socure reporta haber "heredado más de 46 controles de seguridad requeridos por FedRAMP de AWS GovCloud (US)" (AWS Public Sector Blog, 14 de nov de 2024): un recuento limpio de controles heredados, con todo lo demás todavía siendo suyo.

Qué comparten los dos casos

Dos casos más del Dominio 2: el par de autorización

Los casos A y B son construcciones de seguridad operativas. Los dos siguientes son historias de autorización: mismo modelo, evidencia distinta: la mitad de AWS llega preauditada dentro de una Región conforme, y la mitad del cliente es la implementación del control y la autorización misma. Ambos publicados por AWS, ambos afirmados por el cliente, y ambos están aquí porque al examen le encanta la palabra heredado.

Caso C, Socure: contar los 46+ controles FedRAMP que heredas (Dominio 2)

Lección de examen: la herencia reduce tu evidencia; nunca reemplaza tu autorización. Los 46 controles son heredados (la infraestructura y la capa física de AWS, ya auditadas): todo lo que está por encima de la línea, más el paquete de autorización, sigue siendo responsabilidad del cliente. La frase evaluable es la que ya está en la Sección 7: FedRAMP es una autorización gubernamental, no un producto de AWS.

Caso D, Smartsheet Gov: FedRAMP-ready en menos de 90 días (Dominio 2)

Lección de examen: la velocidad viene de la herencia, la obligación no. Aproximadamente 4 to 6× más rápido que la ruta típica de 12 to 18 meses (90 días frente a 360 to 540 días: $360 \div 90 = 4$ a $540 \div 90 = 6$), pero el cliente sigue obteniendo la autorización. Una opción que diga "AWS GovCloud convierte una carga de trabajo en FedRAMP authorized" comete el mismo error de categoría que "AWS está certificada, así que estamos en cumplimiento."

Qué aporta el par de autorización

• 📚 ¿Sabías que…? ATO on AWS es el mecanismo detrás de la historia de los 90 días: AWS empaqueta sus propios artefactos para que el evaluador del cliente no tenga que reauditar la mitad de la infraestructura, la misma razón por la que AWS Artifact existe como "portal de autoservicio sin costo para el acceso bajo demanda a los informes de cumplimiento de AWS". La herencia es real (Socure cuenta 46+, Smartsheet cuenta semanas), y sin embargo en ambos casos la cifra publicada por AWS describe cuánto menos tuvo que construir el cliente, nunca quién es legalmente responsable. Las fechas también importan: la cifra de Smartsheet es del 29 de ago de 2019 y la de Socure del 14 de nov de 2024, las cifras antiguas nunca deben presentarse como actuales, y ambas son resultados afirmados por el cliente y no auditados.

---

Qué cambió para el examen de 2026

Actualizaciones de 2026 (en octubre de 2026)

La guía del examen es un documento en movimiento: el PDF actual solo imprime "Copyright © 2026" con sin número de versión, siendo el único artefacto fechado la guía de la era de lanzamiento Version 1.0 CLF-C02. Así que el método defendible es comparar esa línea base con las páginas que AWS publica hoy, y cada elemento de abajo está fechado en octubre de 2026 con su fuente nombrada. Verifica el estado vigente antes de usarlo.

Dos consecuencias específicas para esta lección: los nombres de servicios sobre los que pueden interrogarte han cambiado (cuatro servicios de red entraron, AWS Network Firewall salió), pero el modelo no se ha movido en absoluto: DE/EN, heredado/compartido/específico del cliente, las anclas fijas y los ejemplos de desplazamiento (Amazon EC2, Amazon RDS, AWS Lambda) son idénticos. Fecha cada recuento que memorices y vuelve a comprobar la lista vigente antes del día del examen.

• 📚 ¿Sabías que…? El cambio de la guía es aritmética medible: las entradas en alcance bajaron 128 → 111 (−17, −13.3%) mientras la lista negativa explícita creció 11 → 55 (+44), así que el par se movió en $111 + 55 = 166$ entradas documentadas frente a $128 + 11 = 139$ antes, una ampliación de 27 entradas de guía explícita, casi toda nombrando lo que está fuera de alcance. Por eso el material de preparación de 2024 te dice con confianza que AWS Data Exchange, Amazon MSK, AWS Local Zones, AWS Wavelength, AWS Snow Family, AWS Audit Manager y AWS Network Firewall están en alcance, y por eso la lista actual dice lo contrario (todo verificado en octubre de 2026, verifica el estado vigente antes de usarlo). La meta-habilidad que el examen premia: la guía que descargas hoy es el examen que rindes, no el PDF del que estudiaste.

---

Preguntas de Práctica (Practice Questions)