Cumplimiento y gobernanza

Qué es: cumplimiento (compliance) es demostrar que cumples leyes y estándares; gobernanza son las reglas y controles que mantienen ese cumplimiento día a día.

• Estándares típicos: PCI DSS para pagos con tarjeta, HIPAA para datos de salud en Estados Unidos, el RGPD (GDPR) para datos personales en la Unión Europea e ISO 27001 para gestionar la seguridad de la información. En los informes SOC (System and Organization Controls), un auditor externo evalúa los controles de un proveedor.
• Responsabilidad compartida (Sesión 4): AWS certifica su infraestructura, y tú heredas esos controles, como la seguridad física. Pero cumplir con lo que construyes es tu responsabilidad: configurar, cifrar, dar accesos.
• Varía por país, industria y servicio: algunas leyes exigen que los datos queden en un país; eliges la Región y AWS no mueve tus datos fuera de ella sin tu acuerdo (Sesión 2). Y no todo servicio está en todo programa: AWS publica qué servicios cubre cada uno.
• Servicios que te ayudan: CloudTrail y Config para auditar, CloudWatch para monitorear (Sesión 14), y los estándares de Security Hub (Sesión 15).

Analogía: abrir un restaurante en un edificio con certificado contra incendios. El certificado del edificio es del dueño; el permiso de higiene de tu cocina es tuyo. Dónde falla la analogía: el inspector de higiene no pide los planos del edificio. Tu auditor sí te pedirá las pruebas de AWS, y las sacas de Artifact.

Ejemplo real: Clínica Vértice guarda historias clínicas. Usa una Región de su país, cifra con KMS, activa CloudTrail y revisa que cada servicio que usa esté en el programa que le exige la ley. Esa revisión es suya, no de AWS.

Úsalo cuando: diseñes cualquier carga con datos regulados: decide Región, cifrado y auditoría desde el inicio. No lo uses cuando: asumas que “estar en AWS” ya te hace cumplir.