Gobernanza, auditoría y cumplimiento en AWS

El Dominio 2 carga con el 30% de la nota del CLF-C02, y la tarea 2.2 es su mitad de gobernanza: "conceptos de cumplimiento y gobernanza de AWS", "dónde capturar y ubicar los registros asociados a la seguridad en la nube", "identificar dónde encontrar la información de cumplimiento de AWS (por ejemplo, AWS Artifact)" y "reconocer servicios que ayudan a la gobernanza y el cumplimiento (por ejemplo, monitoreo con Amazon CloudWatch; auditoría con AWS CloudTrail y AWS Config; informes con reportes de acceso)". Esa sola frase nombra casi todas las herramientas de esta lección, y a la vez siembra la trampa, porque monitoreo es CloudWatch mientras que auditoría es CloudTrail y Config. Quien borra esa distinción de dos verbos pierde puntos fáciles en enunciados que de otro modo son puro repaso.

En esta lección vas a:

• decodificar el enunciado de una sola frase que te dice qué herramienta de gobernanza quiere el examen;
• usar AWS CloudTrail para quién hizo qué: incluidos historial de eventos frente a rastros, rastros de organización y validación de integridad de los archivos de registro;
• resistir la trampa de CloudWatch Logs (una canalización de entrega de eventos, no el registro de auditoría en sí);
• usar AWS Config para el historial de configuración, las reglas, el estado de cumplimiento, los conformance packs y los agregadores;
• encontrar los informes SOC / ISO / PCI de AWS y firmar un BAA en AWS Artifact: gratis y en autoservicio;
• mapear las seis categorías de comprobación de Trusted Advisor a lo que cada plan de soporte realmente desbloquea;
• aplicar bien los SCPs: solo-deny, un allow en cada nivel, cualquier deny gana, la cuenta de administración intacta;
• colocar las guardrails de AWS Control Tower (preventiva / detective / proactiva) sobre una landing zone;
• leer las cubetas de programas de cumplimiento (certificación frente a ley frente a alineación) a través del modelo de responsabilidad compartida;
• diseñar una estrategia de etiquetas que sobreviva a una auditoría y reparta la factura;
• separar residencia de datos, soberanía de datos y privacidad, y responder enunciados de elección de Región;
• hacer el triage de un evento de seguridad con CloudWatch frente a CloudTrail frente a Config frente a Trusted Advisor;
• estudiar cuatro casos reales de cumplimiento de AWS y luego resolver 12 preguntas tipo examen más comprobaciones interactivas;
• auditar la guía de examen en vivo en octubre de 2026: listas de alcance reconstruidas, los nuevos nombres de planes de soporte y movimientos de consola que no son evaluables.

---

1. Una pregunta, una herramienta

1.1 El decodificador del enunciado

Cada pregunta de gobernanza de este examen es una pregunta disfrazada sobre qué herramienta posee qué clase de evidencia. Lee el enunciado por su verbo y su sustantivo: no por el nombre del servicio que alguna vez te mencionó un colega.

1.2 La propia división de trabajo de la guía de examen

AWS lo formula en términos estrechos, y esa estrechez es evaluable: monitoreo = Amazon CloudWatch, auditoría = AWS CloudTrail y AWS Config, y (tarea 2.4) identificar problemas de seguridad = AWS Trusted Advisor. Así que una opción que diga "usar CloudWatch para identificar problemas de seguridad" no es un matiz: es el verbo equivocado. CloudWatch te dice que el sistema se está portando mal ahora; CloudTrail te dice qué se invocó; Config te dice cómo estaba el recurso; Trusted Advisor te dice dónde está el hueco frente a las mejores prácticas.

---

2. AWS CloudTrail: quién hizo qué

2.1 Qué registra CloudTrail

La definición de AWS es todo el servicio en una sola línea: "Las acciones realizadas por un usuario, un rol o un servicio de AWS se registran como eventos". Esos eventos se capturan tanto si la llamada llegó desde la consola, la CLI, un SDK/API u otro servicio de AWS, y AWS nombra el propósito sin rodeos: "auditoría operativa y de riesgo, gobernanza y cumplimiento".

• 📚 ¿Sabías que…? El historial de eventos de CloudTrail es gratuito y automático: AWS lo describe como una "vista consultable, buscable, descargable e inmutable de los últimos 90 días de eventos de administración en una Región de AWS". No lo creas tú, no puedes desactivarlo, y es por Región y solo de eventos de administración: que es exactamente por lo que no sustituye a un rastro (en octubre de 2026).

2.2 El historial de eventos no es un rastro

(Cargos en octubre de 2026; verifica el estado vigente antes de usarlos.)

El enunciado que delata esto es un enunciado de retención: "conservar registros de API durante cinco años en todas las cuentas" o "entregar eventos de administración continuos a un depósito": ambos exigen un rastro (o CloudTrail Lake), porque el historial de eventos se detiene en 90 días, solo eventos de administración, en una sola Región.

2.3 Rastros de organización: un registro para cada cuenta

Un rastro de organización escribe "la cuenta de administración y todas las cuentas miembro" en un solo bucket S3, un grupo de CloudWatch Logs y un destino de EventBridge. Las reglas a su alrededor son material clásico de examen:

• solo la cuenta de administración o un administrador delegado puede crearlo;

• CloudTrail crea el rol vinculado al servicio AWSServiceRoleForCloudTrail en cada cuenta miembro;

• las cuentas miembro pueden ver el rastro pero no modificarlo ni borrarlo: ese es el punto de gobernanza: un administrador miembro comprometido no puede silenciar el registro de auditoría;

• la política del bucket solo debe admitir ese rol de servicio y el ID de la organización.

• 📚 ¿Sabías que…? La validación de integridad de los archivos de registro de CloudTrail usa "SHA-256 para el hash y SHA-256 con RSA para la firma digital" y escribe un archivo de resumen horario encadenado al resumen anterior, lo que hace "computacionalmente inviable modificar, borrar o falsificar los archivos de registro de CloudTrail sin ser detectado". AWS dice que la función está activada por defecto en los rastros nuevos: así que "demuestra que el registro no fue editado" lo responde la validación, no una política de bucket (en octubre de 2026).

2.4 Ejemplo E1: la factura de CloudTrail

Un mes de actividad: 5.000.000 eventos de administración (una copia a S3), 15.000.000 eventos de datos, 5.000.000 eventos de actividad de red, más una segunda copia de 2.500.000 eventos de administración reenviados a un segundo bucket para el SIEM.

La enseñanza no es la aritmética, es la primera copia gratuita: "Puedes entregar una copia de tus eventos de administración continuos a tu bucket de S3 sin cargo." Los eventos de datos nunca son gratis, y Insights está desactivado por defecto y se cobra por separado (todas las tarifas en octubre de 2026; verifica el estado vigente antes de usarlos).

2.5 Ejemplo E2: un rastro para 40 cuentas

Una responsable de gobernanza debe demostrar "registramos toda la actividad de las cuentas" para 40 cuentas miembro. El patrón documentado:

1. La cuenta de administración crea un rastro de organización multi-Región.
2. Un bucket S3 recibe todo, con una carpeta por ID de cuenta miembro; un grupo de CloudWatch Logs; enrutamiento opcional por EventBridge para automatización.
3. La validación de archivos de registro sigue activada, y la política del bucket solo admite AWSServiceRoleForCloudTrail más el ID de la organización.
4. Los administradores miembro pueden ver el rastro, no pueden detenerlo ni editarlo.
5. Athena sobre el bucket (o una consulta lookup-events) responde "toda llamada de API que borró un bucket de S3 el trimestre pasado, con principal e IP de origen."

Resultado: registro uniforme, una sola fuente de evidencia para el auditor y ninguna desviación de configuración cuenta por cuenta: el patrón exacto que el examen quiere que prefieras sobre 40 rastros construidos a mano.

2.6 La trampa de CloudWatch Logs

3. AWS Config: historial de configuración y estado de cumplimiento

3.1 El recorder y los configuration items

AWS Config ofrece "una vista detallada de la configuración de los recursos de AWS", incluido "cómo se configuraron en el pasado". Mecánicamente: eliges qué tipos de recursos registrar, el recorder escribe los configuration items (CIs) en Amazon S3 y notifica a través de Amazon SNS (el recorder asume un rol de IAM para hacerlo), y obtienes el estado actual más el historial de cambios: una serie de instantáneas, no un flujo de eventos.

3.2 Reglas, estado de cumplimiento y remediación

Una regla de Config codifica "tus ajustes de configuración ideales". El motor de reglas evalúa tus recursos y estampa cada uno como conforme o no conforme, marca el recurso, te notifica y puede remediar a través de un documento de AWS Systems Manager.

Encima hay dos objetos de nivel superior, y el examen los distingue con precisión:

• conformance pack = "una colección de reglas de AWS Config y acciones de remediación … desplegada como una sola entidad": escrito en YAML, desplegable en toda una organización;
• agregador = una vista única entre cuentas y entre Regiones de configuración y cumplimiento;
• consulta avanzada = consulta del historial de configuración por esquema a través del agregador.

3.3 Ejemplo E3: registro continuo frente a periódico

Una cuenta registra 100 instancias EC2 que cambian 10 veces por día cada una.

El registro continuo cuesta aquí 2,5 veces más pero te da historial por horas; el periódico cuesta menos y descarta en silencio el detalle intra-día. Elige según la pregunta: "¿cuándo cambió?" significa continuo; "¿está conforme ahora?" hace defendible el periódico (tarifas en octubre de 2026; verifica el estado vigente antes de usarlas).

3.4 Ejemplo E4: precio de un paquete de conformidad

El paquete resuelto por la propia AWS: 10.000 configuration items + 50.000 evaluaciones de reglas + 15.000 evaluaciones de conformance pack al mes.

Observa a dónde va el dinero: la evaluación, no el almacenamiento. Añadir reglas es barato; registrar todo continuamente es lo que mueve la factura (en octubre de 2026; verifica el estado vigente antes de usarlo).

3.5 CloudTrail registra acciones; Config registra estado

Esta es la distinción de mayor rendimiento de toda la lección:

Activa ambos. Un examinador que escribe "el grupo de seguridad estuvo abierto durante seis horas" está comprobando si sabes que ningún registro de eventos, en ninguna nube, puede reconstruir una duración sin un historial de configuración.

• 📚 ¿Sabías que…? Algunas comprobaciones de Trusted Advisor funcionan con AWS Config, y por eso desactivar Config puede degradar en silencio los consejos que recibes, y por eso los conformance packs (reglas más remediación como un solo artefacto YAML) son la forma más rápida de entregar a un auditor una declaración de cumplimiento repetible y de toda la organización en lugar de una captura de pantalla (en octubre de 2026).

---

4. AWS Artifact: dónde vive la información de cumplimiento propia de AWS

4.1 Informes, bajo demanda y gratis

AWS Artifact es "descargas bajo demanda de documentos de seguridad y cumplimiento de AWS": informes ISO, Payment Card Industry (PCI) y System and Organization Controls (SOC), certificaciones emitidas por organismos acreditadores y documentos de Marketplace/ISV. Es gratuito, de autoservicio, y es la respuesta literal del examen a la habilidad de la tarea 2.2: "identificar dónde encontrar la información de cumplimiento de AWS (por ejemplo, AWS Artifact)".

4.2 Acuerdos: el BAA y el NDA

Artifact es también donde "revisas, aceptas y haces seguimiento del estado de tus acuerdos con AWS para tu cuenta de AWS y para varias cuentas de AWS de tu organización". La pregunta frecuente de cumplimiento nombra el Business Associate Agreement (BAA) y el NDA. Así que el enunciado "firmar un BAA para mi cuenta y 20 cuentas miembro" tiene una sola respuesta: AWS Artifact.

• 📚 ¿Sabías que…? SOC 3 es público, no necesitas una solicitud específica de cuenta para leerlo, mientras AWS publica SOC 1 trimestralmente y SOC 2 y SOC 3 cada seis meses sobre períodos de 12 meses (desde el 30 de sep de 2023), con los informes nuevos listos "en ~6 semanas". Todos llegan a través de AWS Artifact, y ninguno es un certificado HIPAA, porque uno así no existe (en octubre de 2026).

---

5. AWS Trusted Advisor: comprobaciones de mejores prácticas y lo que desbloquea tu plan

5.1 Las seis categorías de comprobación

Las recomendaciones de Trusted Advisor existen "para ahorrar dinero, mejorar la disponibilidad y el rendimiento del sistema, o ayudar a cerrar huecos de seguridad". La lista de categorías está fija en seis: rechaza cualquier opción que invente una séptima:

Las páginas de marketing de AWS a veces dicen "resiliencia" donde la documentación dice "tolerancia a fallos", misma categoría, y "cumplimiento" no es una de las seis.

5.2 Disponibilidad según el plan de soporte

En octubre de 2026 AWS anuncia 56 comprobaciones gratuitas para todos los planes y 482 en total cuando Business o superior añade 426 más, pero el día del examen cita la regla cualitativa (los planes gratuitos reciben un subconjunto, los planes de pago reciben todas), porque el número de comprobaciones cambia (verifica el estado vigente antes de usarlo).

5.3 Ejemplo E5: lo que desbloquea cada plan

Trusted Advisor es solo asesoramiento. La imposición viene de las reglas de Config y la remediación, los SCPs (preventivos) y las guardrails de Control Tower, y la vista organizacional agrega el consejo en toda la organización.

6. AWS Organizations y los SCPs: el techo solo-deny

6.1 Estructura y conjuntos de características

AWS Organizations te da un root → unidades organizacionales (OU), que se anidan y pueden llegar a cinco niveles de profundidad → cuentas miembro. La cuenta de administración es la pagadora y el "propietario último … control final sobre las políticas de seguridad, infraestructura y finanzas"; una cuenta miembro "solo puede pertenecer a una organización a la vez".

6.2 Los SCPs nunca conceden

La redacción de AWS es absoluta, y las opciones de examen la invierten rutinariamente:

• los SCPs otorgan "control central sobre los permisos máximos disponibles para los usuarios y roles de IAM de tu organización";
• "Los SCPs no conceden permisos … Un SCP no concede ningún permiso";
• los permisos efectivos son la intersección lógica del SCP con las políticas basadas en identidad y basadas en recurso;
• "Los SCPs no afectan a los usuarios ni a los roles de la cuenta de administración", solo a las cuentas miembro, incluido su usuario root, y tampoco afectan a los roles vinculados a un servicio.

6.3 Cómo se ejecuta realmente la evaluación

De esa imagen salen dos reglas: un Allow debe existir en cada nivel (raíz → OU → cuenta), así que el SCP gestionado por AWS FullAWSAccess es la red de seguridad deny-por-defecto, nunca lo quites sin reemplazarlo con una política de allow, y un Deny en cualquier nivel gana, que es por lo que una política solo-deny basta para bloquear una Región o un servicio.

6.4 Ejemplo E6: un SCP deny-por-defecto

La raíz conserva FullAWSAccess. La OU Prod añade una política que deniega ec2:* y rds:* fuera de eu-central-1, y deniega iam:CreateUser y iam:CreateAccessKey en todas partes.

Esa última línea es un distractor favorito: los SCPs no afectan a los usuarios ni a los roles de la cuenta de administración.

6.5 Ejemplo E7: la facturación consolidada agrupa el uso

"AWS trata a todas las cuentas de la organización como una sola cuenta": así que el uso combinado alcanza antes los tramos de volumen, los descuentos de Instancias Reservadas y los Savings Plans, y el descuento se reparte de vuelta. Dos cuentas que consumen 8 TB y 4 TB:

AWS Organizations se ofrece sin coste adicional, y la facturación consolidada no lleva recargo, pero nota la trampa que el examen evalúa: la factura no refleja el árbol de OUs. Repartir el gasto por proyecto es trabajo de una etiqueta de asignación de costes, no de una OU (precios en octubre de 2026; verifica el estado vigente antes de usarlos).

6.6 Límites que conviene memorizar (verifica el estado vigente antes de usarlos)

---

7. AWS Control Tower: guardrails sobre una landing zone

7.1 Qué construye

Control Tower gobierna un entorno multi-cuenta de AWS, orquestando AWS Organizations, AWS Service Catalog y AWS IAM Identity Center para construir una landing zone "en menos de una hora". Su vocabulario es deliberadamente llano: un control = guardrail = "una regla de alto nivel … expresada en lenguaje llano", con la orientación graduada en obligatoria / muy recomendada / electiva, más Account Factory para entregar cuentas y un Dashboard que muestra las desviaciones por cuenta y OU.

7.2 Los tres tipos de guardrail

7.3 Guardrails de residencia de datos

En noviembre de 2021 AWS anunció 17 guardrails nuevas para que "los datos del cliente … no se almacenen ni se procesen fuera de una o varias Regiones de AWS concretas"; los ejemplos preventivos incluyen "Prohibir el acceso a internet para una instancia de Amazon VPC" y "Prohibir las conexiones de Amazon Virtual Private Network (VPN)". El artefacto de cada control preventivo es un SCP, y por eso Control Tower, Organizations y los SCPs siempre se enseñan juntos.

• 📚 ¿Sabías que…? La división de trabajo merece memorizarse en tres frases: AWS Organizations es la fontanería de cuentas y políticas, el SCP es el techo de permisos, y AWS Control Tower es la capa de landing zone opinada encima que entrega cuentas con guardrails y reporta desviaciones. AWS también afirma que "los controles obligatorios siempre se aplican y no pueden cambiarse." (en octubre de 2026)

---

8. Programas de cumplimiento y el modelo de responsabilidad compartida

8.1 Las tres cubetas

AWS afirma que "respalda 143 estándares de seguridad y certificaciones de cumplimiento, incluidos PCI-DSS, HIPAA/HITECH, FedRAMP, GDPR, FIPS 140-3 y NIST 800-171", y los ordena en tres cubetas muy distintas (en octubre de 2026; verifica el estado vigente antes de usarlos):

8.2 Las tres preguntas que se responden mal

8.3 Responsabilidad compartida, reformulada para auditores

La frase de auditoría es la misma de la lección 5: a AWS se la audita por la seguridad de la nube, a los clientes por la seguridad en ella. Tres consecuencias aparecen repetidamente como opciones:

• heredar los controles de AWS nunca elimina tu mitad del modelo;

• el cumplimiento varía según el servicio: consulta la lista de AWS Services in Scope en lugar de asumir una exención de Región completa;

• "AWS Compliance Center" no es una respuesta correcta para la tarea 2.2; la propia declaración de habilidad nombra AWS Artifact.

• 📚 ¿Sabías que…? El sitio de cumplimiento de AWS publica investigación que abarca más de 60 países, y su página de programas separa las certificaciones de las leyes por una razón: un proveedor de servicios de nube no puede estar "certificado HIPAA", porque no existe tal certificación para distribuir, y por eso la respuesta correcta de HIPAA en el examen es siempre el trío BAA vía Artifact + servicios aptos para HIPAA + responsabilidad del cliente (en octubre de 2026).

9. La estrategia de etiquetas como gobernanza

9.1 Qué es una etiqueta y por qué le importa a la gobernanza

Una etiqueta es "una etiqueta simple compuesta por una clave y un valor opcional", y las claves y los valores distinguen mayúsculas de minúsculas. La propia lista de razones de AWS es la respuesta del examen: el etiquetado consistente te permite "filtrar y buscar recursos, monitorear costes y uso, y gestionar tu entorno de AWS". En la práctica, una taxonomía de etiquetas limpia es el CMDB de la nube: el índice que consulta el auditor en lugar de una hoja de cálculo.

9.2 La pila de cuatro capas

---

10. Soberanía y residencia de los datos

10.1 Tres palabras, tres significados

Para CLF-C02 el ángulo evaluable es un motivo de elección de Región: AWS indica que los clientes "conservan el control completo sobre qué Región o Regiones de AWS se almacenan físicamente tus datos", y las Regiones opt-in deben habilitarse explícitamente antes de que ahí se ejecute algo.

10.2 La pila de control de residencia

El material de protección de datos de AWS afirma con claridad que "tú controlas tus datos … para determinar dónde se almacenan tus datos y cómo se protegen" y que "AWS Control Tower proporciona gobernanza y controles para la residencia de los datos", mientras los clientes "conservan el control completo sobre qué Región o Regiones de AWS se almacenan físicamente tus datos".

• 📚 ¿Sabías que…? Fecha tus cifras de infraestructura o se pudren: la nube de AWS abarca 39 Regiones geográficas y 124 Zonas de disponibilidad, con 7 zonas más y 2 Regiones más (Kingdom of Saudi Arabia y Chile) anunciadas pero aún no abiertas, mientras la Región eusc-de-east-1 de AWS European Sovereign Cloud se anunció disponible generalmente el 14 de ene de 2026 pero no aparece en el mapa público de Regiones. Cita la cifra 39 / 124 y la fecha del eusc por separado, y etiqueta ambas "en octubre de 2026, verifica el estado vigente antes de usarlas".

---

11. Identificación de eventos de seguridad: qué herramienta responde qué pregunta

11.1 La tabla de triage

11.2 Ejemplo E8: las cuatro preguntas del auditor

Ninguna de las cuatro requiere una compra nueva; las cuatro requieren previsión: el rastro, el recorder y el esquema de etiquetas deben existir antes de que llegue el auditor.

11.3 Comprueba tu vocabulario

11.4 Solicitud de evidencia → herramienta y función

El mismo triage, al revés: el auditor enuncia la evidencia, y tú nombras la herramienta y la función exacta que la produce. Esa es la forma que adoptan los enunciados cuando esconden el nombre del servicio detrás de un requisito.

---

12. La guía de examen en vivo: qué cambió hacia 2026

Actualizaciones de 2026 (en octubre de 2026)

El examen evalúa la guía que descargas hoy, no el PDF que alguien revisó en 2023. Cada punto de abajo se comprobó contra las propias páginas de AWS en octubre de 2026, y cada uno cambia cómo debes leer un enunciado de gobernanza, de soporte o de alcance.

• Las listas de servicios se reconstruyeron, y el alcance ahora es evaluable por sí mismo. Las entradas en alcance cayeron de 128 en la guía de la era de lanzamiento Version 1.0 CLF-C02 a 111 en 19 categorías (lista oficial en alcance, verificada 2026-10), mientras que la lista fuera de alcance pasó de 11 entradas en el lanzamiento a más de 50. Para esta lección: AWS Network Firewall está explícitamente fuera de alcance (es un detalle narrativo del caso de athenahealth, nunca una respuesta correcta), AWS Audit Manager y AWS Resource Groups and Tag Editor aparecen en ninguna de las dos listas, eliminados de la lista en alcance, así que trátalos como distractores, exactamente como advierte la §1.2, y Service Quotas es un servicio de Management and Governance recién listado que convive con CloudTrail, CloudWatch, AWS Config, Control Tower, Organizations y Trusted Advisor.

• ⚠️ Corrección de alcance (anula cualquier afirmación anterior): AWS Outposts está en la lista en alcance actual bajo Compute (verificado 2026-10), así que ignora cualquier material que lo declare fuera de alcance; AWS Local Zones aparece en ninguna de las dos listas y AWS Wavelength está explícitamente fuera de alcance. Los tres son de todos modos no-respuestas en un enunciado de gobernanza: la respuesta es CloudTrail, AWS Config, AWS Artifact, Trusted Advisor, Organizations/SCP, Control Tower, CloudWatch o Security Hub.

• La tarea de soporte del Dominio 4 se reescribió tras la reestructuración de soporte de diciembre de 2025. La guía actual dice "Identificar opciones de soporte de AWS para los clientes de AWS (por ejemplo, servicio al cliente y comunidades, Basic Support, AWS Business Support+, AWS Enterprise Support, AWS Unified Operations": la redacción anterior "AWS Developer Support … AWS Enterprise On-Ramp Support" desapareció. Developer, Business clásico y Enterprise On-Ramp dejaron de aceptar nuevas suscripciones después del 2 de dic de 2025 (las existentes corren hasta el 1 de ene de 2027) y Basic sigue siendo gratuito (AWS News Blog, 2 de dic de 2025). La regla de Trusted Advisor de la §5 no se toca: los planes gratuitos reciben un subconjunto de comprobaciones, Business o superior las recibe todas.

• La consola sigue moviéndose aunque la guía no. Cost Optimization Hub (AWS News Blog, 26 de nov de 2023) reúne toda acción de ahorro recomendada en un solo lugar; Target Coverage llegó al Savings Plans Purchase Analyzer (9 de jun de 2026); el compartido de grupos RI/SP salió a disponibilidad general (19 de nov de 2025). Ninguno de esos nombres figura en ninguna de las dos listas de alcance (verificado 2026-10), y la tarea de costes de la guía sigue nombrando solo AWS Budgets y AWS Cost Explorer: así que una opción que ofrezca el Cost Optimization Hub para un enunciado de gobernanza o de auditoría es un distractor, no la respuesta.

• Well-Architected Agent es real, y sigue sin ser evaluable por nombre. AWS lo anunció en vista previa el 1 de oct de 2026 y lo describe como "la evolución de siguiente generación de AWS Trusted Advisor y la herramienta AWS Well-Architected"; sin embargo, la lista en alcance sigue diciendo AWS Trusted Advisor y AWS Well-Architected Tool. Elige los nombres de la guía, no el titular.

• Dos cambios de nombre que memorizar. La categoría Customer Engagement ahora es Customer Enablement, que contiene solo AWS Support (AWS Activate, AWS IQ y AWS Managed Services pasaron a la lista fuera de alcance), y la guía escribe AWS IAM Identity Center sin el entreparéntesis de "(AWS Single Sign-On)" (listas de alcance oficiales, verificada 2026-10).

• 📚 ¿Sabías que…? La guía de examen es un documento vivo sin número de versión: el PDF actual solo imprime "Copyright © 2026", el único artefacto fechado es la guía de la era de lanzamiento Version 1.0 CLF-C02, y el Apéndice B de esa guía, las fechas de CLF-C01 y los antiguos pesos 26 / 25 / 33 / 16, ha sido eliminado del documento en vivo. El uiVersion=2024.10 de la página de documentación es la versión de la plantilla de UI de AWS Docs, no una fecha de revisión de la guía, y los pesos en sí no se han movido en absoluto: 24 / 30 / 34 / 12 en octubre de 2026.

Regla de lectura: las listas oficiales de alcance y de fuera de alcance son el árbitro. Un servicio ausente de la lista en alcance puede aparecer dentro de un caso de estudio como detalle narrativo, pero nunca puede ser la respuesta correcta, y cualquier afirmación de que la guía lleva un número de versión, o de que un peso cambió en silencio, es inverificable y no debe enseñarse como un hecho.

---

Casos Reales

Cuatro historias publicadas por AWS muestran cómo se ve la gobernanza cuando se diseña en lugar de pegarla después. Cada cifra de abajo es afirmada por el cliente o por AWS y no auditada: el punto evaluable es el patrón (qué palanca de gobernanza se tiró, qué servicios hicieron el trabajo), nunca la cifra de marketing.

Caso A, athenahealth: gobernanza como código en 120 cuentas

Reto. Una empresa de software sanitario (cargas de trabajo sensibles a HIPAA) necesitaba monitoreo de salida por todo un extenso conjunto de VPC mientras los costes de inspección subían y el equipo de seguridad seguía siendo pequeño.

Servicios. AWS Network Firewall desplegado centralizadamente, AWS Transit Gateway, AWS RAM para propagar la política a las cuentas miembro, CloudFormation con reglas como código, AWS Direct Connect, con AWS Shield en la hoja de ruta.

Resultado (afirmado por el cliente). Costes de inspección −95%; cientos de VPC repartidas por 120 cuentas montadas "en solo unos días"; ocho personas diseñaron y desplegaron el nuevo diseño de seguridad "sin interrupciones"; registros del firewall centralizados.

Mapeo al dominio. Dominio 2: defensa en profundidad, gobernanza a través de infraestructura como código y reutilización consistente de políticas en lugar de 120 cuentas configuradas a mano. La lección de gobernanza: el control se expresó una vez, luego se compartió (AWS RAM) y se codificó (CloudFormation), de modo que la evidencia de auditoría es la plantilla.

Caso B, Smartsheet Gov: FedRAMP ready en menos de 90 días

Reto. Un proveedor de SaaS del sector público sin presencia en AWS GovCloud (US) necesitaba una autorización de grado gubernamental estadounidense; AWS describe el plazo típico de ese trayecto como 12 to 18 meses.

Servicios. AWS GovCloud (US) más ATO on AWS: AWS publica el material de programa subyacente y los controles heredados, y el cliente construye encima.

Resultado (publicado por AWS, 29 de ago de 2019). De no tener presencia en GovCloud a FedRAMP ready en menos de 90 días, frente a plazos típicos "de hasta 12-18 meses": una compresión de aproximadamente 4 to 6 veces.

Mapeo al dominio. Dominio 2: programas de cumplimiento y responsabilidad compartida. La distinción evaluable: FedRAMP es una autorización gubernamental, no un producto de AWS; AWS suministra la Región y los controles heredados, y el cliente obtiene la autorización. Heredar controles acorta el trabajo pero no transfiere la responsabilidad.

Caso C, Avalon Healthcare Solutions: más de 700 controles de auditoría sin VPN

Reto. Una empresa de información de laboratorio sanitario que maneja PHI y es auditada contra más de 700 controles necesitaba acceso desde el navegador a informes y datos de pacientes sin proliferación de VPN entre su personal.

Servicios. AWS Verified Access para acceso basado en identidad y solo desde el navegador (federación OpenID Connect a través de Okta), situado detrás de un firewall; sin ningún endpoint de VPN en el diseño.

Resultado (publicado por AWS). La configuración de la red perimetral se comprimió de días a cerca de una hora; 50 usuarios de negocio incorporados en febrero de 2024; los más de 700 controles siguieron cumpliéndose; AWS también reporta muchos menos intentos de brecha después del cambio.

Mapeo al dominio. Dominio 2, acceso basado en identidad, Zero Trust y el modelo de responsabilidad compartida. La lección de gobernanza es que un conjunto fijo de controles se satisface cambiando quién puede llegar a qué, no bajando la barra: la superficie de auditoría se redujo mientras los controles se mantenían en 700+. Nota el ángulo de examen: AWS Verified Access aparece en ninguna de las dos listas, ni en la de alcance ni en la de fuera de alcance (verificado 2026-10), así que es solo detalle narrativo, una respuesta correcta para preguntas de acceso sigue viniendo de IAM, IAM Identity Center o AWS WAF.

Caso D, Socure: heredar controles, no la responsabilidad

Reto. Un proveedor de identidad contra fraude construyendo un entorno conforme a FedRAMP para clientes gubernamentales en AWS GovCloud (US), donde AWS describe el trayecto de autorización como de hasta 12 to 18 meses (el plazo típico citado en la historia de Smartsheet anterior).

Servicios. AWS GovCloud (US) más herramientas complementarias: el punto de la historia es lo que AWS ya carga antes de que el cliente escriba una sola declaración de control.

Resultado (AWS Public Sector Blog, 14 de nov de 2024, afirmado por el cliente). Socure declara que "heredó más de 46 controles de seguridad requeridos por FedRAMP de AWS GovCloud": más de 46 controles llegaron ya satisfechos por la nube subyacente.

Mapeo al dominio. Dominio 2: responsabilidad compartida, puesta en números. La herencia reduce tu matriz de controles, pero la autorización sigue siendo tuya y también tu configuración, tu identidad y la seguridad de las aplicaciones. Dos trampas de examen para archivar aquí: nunca leas "46 heredados" como "46 en total" (el conjunto de controles de FedRAMP es mucho mayor), y recuerda del Caso B que FedRAMP es una autorización gubernamental, no un producto de AWS que puedas comprar.

---

Preguntas de Práctica (Practice Questions)

---