Organizations vs Control Tower vs RAM

Servicio	Qué hace	Palabra clave
Organizations	Agrupa cuentas, SCP, una factura	“OU”, “SCP”
Control Tower	Monta la landing zone con controles	“Landing zone”, “guardrails”
RAM	Comparte recursos entre cuentas	“Compartir subredes”

Cumplimiento y gobernanza

El cumplimiento (compliance) es la obligación de demostrar que cumples leyes y estándares; la gobernanza es el conjunto de reglas y controles que lo mantienen día a día.

• Estándares típicos: PCI DSS (Payment Card Industry Data Security Standard, estándar de seguridad de datos de la industria de tarjetas de pago) es el estándar de los pagos con tarjeta. HIPAA (Health Insurance Portability and Accountability Act, ley de portabilidad y responsabilidad de seguros médicos) es la ley de datos de salud en Estados Unidos. El RGPD (Reglamento General de Protección de Datos; en inglés, GDPR) protege los datos personales en la Unión Europea. ISO 27001 es la norma internacional para gestionar la seguridad de la información.
• Informes SOC: en los informes SOC (System and Organization Controls, controles de sistemas y organizaciones), un auditor externo evalúa los controles de un proveedor.
• Responsabilidad compartida: AWS certifica su infraestructura, y tú heredas esos controles, como la seguridad física. Pero cumplir con lo que construyes es tu responsabilidad: configurar, cifrar, dar accesos.
• Varía por país, industria y servicio: algunas leyes exigen que los datos queden en un país; eliges la Región y AWS no mueve tus datos fuera de ella sin tu acuerdo. Y no todo servicio está en todo programa: AWS publica qué servicios cubre cada uno.
• Servicios que te ayudan: CloudTrail y Config para auditar, CloudWatch para monitorear, y los estándares de Security Hub.

Analogía: abrir un restaurante en un edificio con certificado contra incendios. El certificado del edificio es del dueño; el permiso de higiene de tu cocina es tuyo. Dónde falla la analogía: el inspector de higiene no pide los planos del edificio. Tu auditor sí te pedirá las pruebas de AWS, y las sacas de Artifact.

Ejemplo real: Clínica Vértice guarda historias clínicas. Usa una Región de su país, cifra con KMS, activa CloudTrail y revisa que cada servicio que usa esté en el programa que le exige la ley. Esa revisión es suya, no de AWS.

Aplica estas reglas de cumplimiento y gobernanza cuando: diseñes una carga con datos regulados, y decide la Región, el cifrado y la auditoría desde el inicio.
No las apliques cuando: únicamente necesites las pruebas de lo que cumple AWS; eso lo entrega AWS Artifact, en la sección siguiente.