Responsabilidad en IaaS vs PaaS vs SaaS

Criterio	IaaS	PaaS	SaaS
Dónde queda la línea	Sobre la virtualización	Sobre el sistema operativo	Sobre la aplicación
AWS (o el proveedor) protege	Hardware, instalaciones, virtualización y software del servicio	Lo mismo, más el sistema operativo y sus parches	Lo mismo, más la aplicación, la red y el firewall
Tú proteges	Sistema operativo, red y firewall, aplicaciones, datos y accesos	Tus aplicaciones, la red y el firewall, tus datos y los accesos	Tus datos, tus usuarios y la configuración de la aplicación
Fallo típico del cliente	Un Linux sin parchear o un puerto abierto	Una falla de seguridad en su propio código	Una cuenta activa de alguien que ya dejó la empresa

Principio de mínimo privilegio

Es la regla de dar a cada persona o programa solo los permisos que necesita para su tarea, y nada más. Si un permiso no se usa, se quita.

Analogía: la tarjeta de un hotel. Abre tu habitación y el gimnasio, y deja de funcionar el día que te vas; no abre la cocina ni las demás habitaciones. Dónde falla la analogía: el hotel decide por su cuenta qué abre tu tarjeta. En AWS nadie lo calcula por ti: lo habitual es empezar con permisos amplios predefinidos e ir recortándolos a medida que sabes qué necesita cada tarea.

Ejemplo real: en Editorial Faro, una diseñadora solo sube portadas a un almacenamiento de imágenes. Su usuario puede subir archivos ahí y nada más. Un día le roban la contraseña: el atacante no puede borrar la base de datos de ventas ni crear servidores para minar criptomonedas, porque esa identidad nunca tuvo esos permisos.

Aplica el mínimo privilegio cuando: des acceso a cualquier persona, aplicación o servicio, y cuando revises accesos antiguos.
No lo apliques cuando: decidas quién protege el hardware o el sistema operativo; eso es la responsabilidad compartida.