Un cliente tiene un contrato con un CSP y quiere identificar qué controles deben implementarse en el enclave de IaaS. ¿Cuál de los siguientes es el más probable que contenga esta información?

La matriz de responsabilidad (Responsibility Matrix o RACI matrix) es la más probable que contenga esta información. Define claramente qué partes (en este caso, el cliente y el CSP) son responsables de qué controles de seguridad dentro de un entorno IaaS. Especifica quién es responsable, quién es el responsable final, quién debe ser consultado y quién debe ser informado para cada tarea o control. La Declaración de trabajo (Statement of Work) describe el alcance del proyecto y los entregables, pero no detalla los controles de seguridad específicos y sus responsabilidades. El Acuerdo de nivel de servicio (SLA) define los niveles de rendimiento y disponibilidad, no las responsabilidades de control. El Acuerdo maestro de servicios (MSA) es un contrato general que establece los términos y condiciones generales para futuros servicios, pero no el detalle de los controles.