Modelo de responsabilidad compartida en seguridad Cloud
El modelo de responsabilidad compartida explica la división de responsabilidades de seguridad en entornos cloud entre cliente y proveedor.
División de responsabilidad en el Modelo de Responsabilidad Compartida
¿Listo para descubrir el Modelo de Responsabilidad Compartida? Antes de la llegada del cloud, en los centros de datos locales, el comprador era —y sigue siéndolo en on-premise— el propietario de todo el sistema. Sin embargo, en el formato cloud hay ciertas responsabilidades que ya no pertenecen al cliente, sino que Microsoft (en nuestro caso) es el encargado de ellas.
✏️ Actualizado en junio de 2026 — Hemos revisado este artículo para reflejar el contexto BC 26.x y 27.x y el ecosistema partner actual. Si echas en falta algún punto, escríbenos.
En la siguiente imagen mostramos las diferentes responsabilidades y la comparativa entre cualquier tipo de entorno cloud y uno local. Cabe destacar que, independientemente del tipo de implementación cloud, el cliente siempre conserva las siguientes responsabilidades:
- Gestión de la data
- Puntos de conexión
- Gestión de cuentas
- Administración de acceso
Si bien es cierto que existe cierto temor a la seguridad en los entornos cloud, la nube ofrece grandes ventajas para afrontar desafíos de seguridad de la información. En los entornos locales, a las organizaciones se les hace difícil satisfacer sus quehaceres de seguridad por sus limitados recursos. El cloud pone punto y final a este problema, permitiendo a los clientes trasladar las responsabilidades de seguridad de sus sistemas al proveedor de servicios cloud y reasignar sus recursos y presupuestos a otros asuntos organizacionales.
Por otro lado, las empresas también pueden aprovechar las funcionalidades de seguridad cloud existentes para conseguir una mayor eficacia y mejorar la detección de ataques.
El contexto real — qué pasa hoy en las pymes españolas
La pyme española típica de 20-100 personas que sigue en on-premise comparte el mismo patrón:
- Un servidor físico en una sala con aire acondicionado doméstico, comprado hace 6-10 años.
- Copias de seguridad en un disco USB que alguien rota “cuando se acuerda”.
- Actualizaciones de Windows Server pospuestas indefinidamente porque “rompen cosas”.
- Antivirus del año pasado y un firewall del router del proveedor de internet.
- VPN improvisada para el teletrabajo, con contraseñas compartidas en post-its.
- Plan de contingencia ante incendio/inundación/ransomware: rezar.
En este escenario, la responsabilidad de seguridad recae al 100% en la empresa — y rara vez se cumple. Cuando llega un ransomware (Cryptolocker, LockBit, Ryuk) o se quema la sala del servidor, no hay vuelta atrás.
SaaS vs. PaaS vs. IaaS — quién hace qué
| Capa de responsabilidad | On-premise | IaaS | PaaS | SaaS (BC online) |
|---|---|---|---|---|
| Datos del negocio | Cliente | Cliente | Cliente | Cliente |
| Identidades y accesos | Cliente | Cliente | Cliente | Cliente |
| Aplicación | Cliente | Cliente | Cliente | ✓ Proveedor |
| Runtime / sistema operativo | Cliente | Cliente | ✓ Proveedor | ✓ Proveedor |
| Virtualización / hipervisor | Cliente | ✓ Proveedor | ✓ Proveedor | ✓ Proveedor |
| Red y storage físico | Cliente | ✓ Proveedor | ✓ Proveedor | ✓ Proveedor |
| Datacenter, energía, refrigeración | Cliente | ✓ Proveedor | ✓ Proveedor | ✓ Proveedor |
En SaaS, que es el modelo de Business Central online, el cliente solo es responsable de datos + identidades. Todo lo demás lo asume Microsoft. Es el modelo que reduce más drásticamente la carga de seguridad para una pyme.
Las 4 responsabilidades que NUNCA migran al proveedor
Sin importar el modelo elegido, estas cuatro siempre se quedan del lado del cliente:
- Gestión del dato — clasificación (público / interno / confidencial), cifrado a nivel de aplicación si se necesita, retención y políticas de borrado.
- Puntos de conexión — todos los dispositivos desde los que se accede al servicio: portátiles, móviles, tablets, equipos personales. Si un portátil está infectado, el cloud no te protege.
- Gestión de cuentas — alta, baja y modificación de usuarios. La cuenta del comercial que se fue hace 6 meses sigue activa hasta que alguien la elimina.
- Administración de accesos y permisos — qué puede ver y hacer cada usuario. El permiso de “Administrador” repartido sin criterio es la causa más común de incidentes evitables.
Riesgos típicos del cliente (que no resuelve el cloud)
- Contraseñas débiles o reutilizadas: el 80% de los incidentes empieza aquí. Solución: MFA obligatorio + política de contraseñas robusta.
- Phishing dirigido: un email “del director financiero” pidiendo una transferencia. Solución: formación recurrente al equipo + verificación por canal alternativo.
- Permisos excesivos: usuarios con acceso a datos que no necesitan. Solución: principio del mínimo privilegio + revisión trimestral.
- Dispositivos no controlados: el móvil personal del comercial con la app de BC instalada. Solución: MDM (Intune) + políticas de acceso condicional.
- Bajas de empleado sin cierre de cuentas: el ex-empleado sigue accediendo. Solución: checklist obligatoria de offboarding.
On-premise vs. SaaS para una pyme — comparativa honesta
| Aspecto | Servidor on-premise propio | Business Central online (SaaS) |
|---|---|---|
| Inversión inicial | Alta (servidor, licencias, instalación) | ✓ Cero |
| Coste mensual | Mantenimiento + electricidad + IT | ✓ Suscripción por usuario |
| Disponibilidad / uptime | Depende del cliente | ✓ SLA Microsoft 99,9% |
| Copias de seguridad | Manual / olvidadas | ✓ Automáticas + geo-redundantes |
| Parches y actualizaciones | Postergados | ✓ Automáticos |
| Cifrado en reposo y en tránsito | Hay que configurarlo | ✓ Por defecto |
| Monitorización 24/7 | ✗ | ✓ Microsoft + Defender |
| Riesgo de ransomware “que tumba el servidor” | Alto | ✓ Bajo (copias inmutables) |
| Riesgo de “se quemó la sala del servidor” | Alto | ✓ Nulo (geo-redundancia) |
| Coste de añadir un nuevo usuario | Licencia + configuración | ✓ Click |
Para la mayoría de pymes españolas, el cloud SaaS es más seguro y más barato que mantener un servidor propio. Excepciones: empresas con requisitos contractuales de soberanía de datos muy estrictos, conectividad limitada o sistemas industriales OT que requieren proximidad física.
Checklist antes de contratar un servicio cloud
Por último, a modo de recomendación: ya que todo lo que implica la seguridad del CPD corresponde al proveedor, es muy importante tener claro, antes de comprometerse, quién será el responsable de la ciberseguridad de los servicios cloud contratados. Verifica:
- ✓ Contrato con división explícita de responsabilidades de seguridad.
- ✓ Región de alojamiento del dato (UE para cumplimiento RGPD).
- ✓ Certificaciones del datacenter (ISO 27001, SOC 2 Tipo II, ISO 27018).
- ✓ SLA de disponibilidad firmado (mínimo 99,9% para producción).
- ✓ Política de copias y recuperación ante desastre (RPO/RTO definidos).
- ✓ Procedimiento de salida — cómo recuperar los datos si decides no continuar.
- ✓ Notificación de brechas de seguridad: en qué plazo y por qué canal.
Errores típicos al migrar al cloud
- Asumir que “el cloud me protege de todo”: no. Los datos y las cuentas siguen siendo tu responsabilidad. Sin MFA, sin gestión de permisos y sin formación, el cloud es solo un escenario distinto con los mismos riesgos.
- No documentar quién hace qué: cuando hay un incidente, descubres en caliente que nadie había definido el responsable.
- No probar el plan de recuperación: tener copias no es tenerlas restaurables. Conviene probar una restauración real una vez al año.
- Migrar todo de golpe: mejor por fases — primero correo (Microsoft 365), luego archivos (SharePoint), luego ERP (Business Central). Cada fase consolida la siguiente.
CTA — habla con Davisa para tu migración a BC online
Davisa lleva acompañando migraciones de Microsoft Dynamics a Business Central online desde 2018 (y de NAV desde 2003). Si quieres entender qué cambia para tu seguridad y qué responsabilidades te quedan, pide una sesión de diagnóstico sin compromiso.
¿Con ganas de saber más?
Te contamos todo lo que precises. Solo tienes que pedírnoslo.
Lleva tus datos a un cloud realmente analizable
Migrar a Business Central online ordena la seguridad — y deja los datos listos para explotarse con dvdata-analysis, la capa analítica de Davisa sobre Power BI con cuadros de mando ya construidos. Para ver cómo encajaría en tu empresa, habla con un asesor de Davisa — 30 minutos sin compromiso.
Sigue leyendo en Davisa
- Diferencias ERP cloud y on-premise
- Davisa, partner Microsoft Dynamics 365 Business Central
- Por qué Business Central es la mejor opción de ERP para pymes españolas
