Curso AWS Cloud Practitioner CLF-C02

Este módulo trata de una parte del examen que muchos alumnos subestiman porque suena menos técnica: compliance, evidencias, auditoría y gobierno. Pero en CLF-C02 aparece bastante, sobre todo en preguntas donde una empresa necesita demostrar cumplimiento, descargar informes, revisar quién hizo algo, controlar cuentas o validar si sus recursos cumplen reglas.

La idea central es sencilla: AWS ofrece infraestructura, servicios, controles y documentación que ayudan al cliente a cumplir requisitos. Pero eso no significa que cualquier aplicación desplegada en AWS sea automáticamente conforme. El cliente sigue teniendo que configurar bien sus servicios, proteger datos, controlar accesos, activar logs y aplicar sus propias políticas.

1. Qué significa compliance en AWS

Compliance significa cumplimiento de normas, estándares, marcos regulatorios o requisitos internos. Puede incluir auditorías, certificaciones, controles de seguridad, protección de datos, residencia de datos, retención de logs, separación de funciones o trazabilidad.

En AWS, compliance no es un botón mágico. Es una combinación de:

• Certificaciones y programas de cumplimiento de AWS.
• Documentación y reportes disponibles para clientes.
• Controles técnicos configurados por el cliente.
• Servicios de auditoría, gobierno y seguridad.
• Procesos internos de la organización.

2. Responsabilidad compartida aplicada a compliance

El modelo de responsabilidad compartida también aplica a compliance. AWS se encarga de la seguridad y cumplimiento de la infraestructura cloud subyacente. El cliente se encarga de cómo configura y usa los servicios.

Por ejemplo, AWS puede tener certificaciones sobre la infraestructura y los servicios, pero el cliente debe decidir cosas como:

• Qué datos sube a AWS.
• En qué región almacena los datos.
• Quién tiene permisos para acceder.
• Qué cifrado activa.
• Qué logs conserva.
• Qué controles internos aplica.
• Qué evidencias necesita para sus auditorías.

3. AWS Artifact: el portal de documentos de compliance

AWS Artifact es el portal donde los clientes pueden acceder a documentos de cumplimiento de AWS. Es uno de los servicios más preguntables de este tema porque tiene una pista de examen muy clara: informes, certificaciones, reportes de auditoría y acuerdos.

En Artifact puedes encontrar documentos como reportes SOC, certificaciones ISO, documentación PCI y otros informes relacionados con programas de compliance. También puede dar acceso a ciertos acuerdos, según el caso.

Para CLF-C02, no necesitas memorizar todos los documentos disponibles. Necesitas asociar Artifact con esta idea:

• Descargar reportes de compliance de AWS.
• Consultar certificaciones y auditorías de AWS.
• Obtener documentación para auditores.
• Acceder a determinados acuerdos de AWS.

4. Lo que AWS Artifact no hace

Tan importante como saber qué hace Artifact es saber qué no hace. Artifact no monitoriza métricas, no registra llamadas API, no evalúa configuraciones y no corrige recursos.

Evita estos errores:

• Artifact no sustituye a CloudTrail.
• Artifact no sustituye a AWS Config.
• Artifact no muestra métricas como CloudWatch.
• Artifact no es un panel de hallazgos como Security Hub.
• Artifact no concede cumplimiento automático a tu aplicación.

5. Programas de cumplimiento de AWS

AWS participa en múltiples programas de cumplimiento y proporciona documentación para ayudar a clientes con auditorías y requisitos regulatorios. Para el examen, no hace falta memorizar una lista infinita de estándares, pero sí entender la idea general.

Algunos ejemplos de términos que pueden aparecer en preguntas son:

• SOC.
• ISO.
• PCI DSS.
• HIPAA.
• GDPR/RGPD en contextos de protección de datos.
• Reportes de auditoría.
• Certificaciones.
• Acuerdos de cumplimiento.

Cuando el foco sea el documento o la evidencia formal de AWS, la respuesta suele ser AWS Artifact.

6. Gobierno en AWS: poner orden en cuentas, permisos y controles

Gobierno significa establecer reglas para que la organización use AWS de forma controlada. No se trata solo de seguridad, sino de operar con orden: cuentas bien separadas, permisos limitados, trazabilidad, costes controlados, recursos etiquetados y políticas comunes.

En AWS, el gobierno suele apoyarse en servicios como:

• AWS Organizations: gestión de múltiples cuentas.
• Service Control Policies: límites máximos de permisos en cuentas u OUs.
• AWS Config: evaluación de configuración y cumplimiento de recursos.
• AWS CloudTrail: auditoría de llamadas API y actividad de cuenta.
• Security Hub: agregación de hallazgos y postura de seguridad.
• Control Tower: creación de landing zones y gobierno inicial multi-cuenta.

7. AWS Organizations y SCP en gobierno

AWS Organizations permite gestionar múltiples cuentas AWS de forma centralizada. Puedes agrupar cuentas en unidades organizativas, aplicar políticas y consolidar parte de la administración.

Las Service Control Policies, o SCP, establecen límites máximos de permisos. Esto es muy importante: una SCP no concede permisos por sí sola. Solo define qué acciones pueden o no pueden llegar a estar permitidas dentro de una cuenta.

8. CloudTrail: evidencia de actividad

AWS CloudTrail registra llamadas API y actividad de cuenta. Es el servicio que te ayuda a responder preguntas como: quién hizo qué, cuándo, desde dónde y contra qué recurso.

En compliance y auditoría técnica, CloudTrail es clave porque permite tener trazabilidad de acciones. No es un repositorio de informes SOC o ISO; para eso está Artifact. CloudTrail es actividad real de tu cuenta.

Piensa en CloudTrail cuando veas:

• Auditoría de acciones.
• Llamadas API.
• Quién eliminó o cambió un recurso.
• Actividad de usuarios, roles o servicios.
• Evidencia de cambios operativos.

9. AWS Config: cumplimiento de configuración

AWS Config registra configuraciones de recursos, cambios en el tiempo y puede evaluar recursos contra reglas. Es muy útil cuando una organización quiere comprobar si sus recursos cumplen políticas internas.

Ejemplos típicos:

• Comprobar si los buckets S3 tienen cifrado activado.
• Detectar Security Groups demasiado abiertos.
• Evaluar si recursos cumplen reglas de configuración.
• Ver historial de cambios de configuración.

10. Security Hub: postura de seguridad agregada

AWS Security Hub agrega hallazgos de seguridad y ayuda a evaluar la postura de seguridad con buenas prácticas y estándares. Puede recibir información de servicios como GuardDuty, Inspector, Macie y otros.

Para CLF-C02, asócialo con:

• Vista centralizada de hallazgos de seguridad.
• Postura de seguridad.
• Buenas prácticas.
• Agregación de findings.

No lo confundas con Artifact. Security Hub te ayuda a ver hallazgos y estado de seguridad; Artifact proporciona documentos de compliance de AWS.

11. AWS Audit Manager

AWS Audit Manager ayuda a recopilar evidencias de forma continua para simplificar auditorías. En CLF-C02 puede aparecer menos que Artifact, CloudTrail o Config, pero conviene reconocer la idea: automatización y gestión de evidencias para auditoría.

Una forma sencilla de recordarlo:

• Artifact: documentos de compliance de AWS.
• Audit Manager: recopilación y gestión de evidencias para auditorías del cliente.
• CloudTrail: actividad API.
• Config: configuración y cumplimiento de recursos.

12. AWS Control Tower

AWS Control Tower ayuda a establecer y gobernar un entorno multi-cuenta siguiendo buenas prácticas. Se asocia con landing zones, guardrails/controles y gobierno inicial de cuentas.

En una pregunta de nivel Cloud Practitioner, puede aparecer cuando una organización quiere una forma gestionada de crear una base multi-cuenta con controles de gobierno.

13. Comparativa rápida para examen

14. Diferencias que suelen confundir

15. Errores típicos

• Elegir Artifact para ver métricas o logs operativos.
• Elegir CloudWatch cuando la pregunta pide informes SOC o ISO.
• Creer que las certificaciones de AWS hacen automáticamente conforme cualquier aplicación.
• Confundir cumplimiento documental con auditoría de llamadas API.
• Confundir AWS Config con CloudTrail.
• Pensar que las SCP conceden permisos. No conceden; limitan.
• No conectar gobierno con Organizations, SCP, Config, CloudTrail y Control Tower.
• Olvidar que el cliente sigue teniendo responsabilidades de configuración, datos y accesos.

16. Cómo pensar preguntas de examen

Cuando veas una pregunta de compliance o gobierno, busca primero la palabra clave:

• Informe, certificación, SOC, ISO, PCI, auditor externo: AWS Artifact.
• Quién hizo una acción, llamada API, cambio realizado: AWS CloudTrail.
• Recurso conforme/no conforme, configuración, reglas: AWS Config.
• Muchas cuentas, OUs, gobierno central: AWS Organizations.
• Limitar lo máximo permitido en cuentas: SCP.
• Hallazgos de seguridad centralizados: AWS Security Hub.
• Landing zone multi-cuenta: AWS Control Tower.
• Recopilación de evidencias de auditoría: AWS Audit Manager.

17. Cómo saber si dominas este módulo

Vas bien si puedes explicar sin mirar apuntes:

• Qué problema resuelve AWS Artifact.
• Por qué compliance no elimina responsabilidad del cliente.
• La diferencia entre Artifact, CloudTrail y AWS Config.
• Para qué sirve Organizations en gobierno multi-cuenta.
• Por qué una SCP no concede permisos.
• Cuándo aparece Security Hub.
• Qué aporta Control Tower en una landing zone multi-cuenta.
• Qué significa recopilar evidencias para auditoría.

Resumen final

Para CLF-C02, compliance y gobierno se dominan entendiendo qué servicio responde a cada necesidad. AWS Artifact sirve para obtener documentos, informes y certificaciones de cumplimiento de AWS. CloudTrail registra actividad API. AWS Config evalúa configuración y cumplimiento de recursos. Organizations y SCP ayudan a gobernar múltiples cuentas. Security Hub centraliza hallazgos de seguridad. Control Tower ayuda a crear una base multi-cuenta gobernada.

La clave es no mezclar evidencias documentales con auditoría técnica ni con configuración de recursos. En una pregunta, busca siempre la palabra que manda: documento, actividad, configuración, cuentas, límites o hallazgos.