IaaS, PaaS y SaaS para GSI: diferencias y casos resueltos
Respuesta rápida: en IaaS recibes recursos de infraestructura y administras, entre otras cosas, el sistema operativo y tus aplicaciones; en PaaS despliegas aplicaciones sobre una plataforma gestionada por el proveedor; en SaaS utilizas una aplicación ya ofrecida como servicio. Para distinguirlos en una pregunta de GSI, identifica qué recibe el usuario y qué componentes puede gestionar, no el nombre comercial del producto.
La convocatoria publicada en el BOE, anexo IX, bloque II, tema 1, incluye «Computación en la nube. Base tecnológica. Componentes, funcionalidades y capacidades» en el programa del Cuerpo de Gestión de Sistemas e Informática de la Administración del Estado (GSI). Ese epígrafe justifica estudiar los modelos de servicio, aunque el texto del programa no convierte ningún ejemplo de esta guía en pregunta oficial. Para definirlos con precisión, tomaremos como referencia la publicación NIST SP 800-145.
IaaS, PaaS y SaaS en una tabla
| Modelo | Qué proporciona el servicio | Qué gestiona normalmente quien lo usa | Pista para reconocerlo |
|---|---|---|---|
| IaaS: infraestructura como servicio | Procesamiento, almacenamiento, redes y otros recursos básicos | Sistema operativo, aplicaciones desplegadas, datos y parte de la configuración de red permitida | Se pueden instalar sistemas operativos y software sobre recursos aprovisionados |
| PaaS: plataforma como servicio | Entorno para desplegar aplicaciones creadas o adquiridas por el usuario | Aplicaciones desplegadas y, en su caso, configuración del entorno de alojamiento | Se entrega una plataforma de ejecución o despliegue, sin administrar la infraestructura subyacente |
| SaaS: software como servicio | Aplicación del proveedor accesible por red | Uso de la aplicación y algunas preferencias o ajustes permitidos | El objetivo principal es utilizar una aplicación ya disponible |
La tabla resume las definiciones de NIST SP 800-145. «Gestionar» aquí describe el control técnico del servicio, no elimina obligaciones de seguridad, protección de datos o configuración por parte de quien lo contrata. El alcance exacto siempre depende del servicio y sus condiciones.
Qué es IaaS: infraestructura como servicio
En Infrastructure as a Service, el consumidor puede aprovisionar capacidad de proceso, almacenamiento y redes para ejecutar software, incluidos sistemas operativos y aplicaciones. Según NIST, no controla la infraestructura física de la nube, pero sí el sistema operativo, el almacenamiento y las aplicaciones desplegadas; puede tener control limitado sobre algunos componentes de red, como un cortafuegos de host.
Imagina que un equipo necesita una máquina virtual para instalar un sistema operativo y un servidor de aplicaciones. Si el servicio le entrega esa capacidad de cómputo y el equipo se ocupa de instalar y mantener lo que corre encima, el escenario encaja con IaaS. La palabra decisiva es aprovisionar infraestructura. Que la máquina sea virtual, por sí solo, no demuestra que el servicio reúna todas las características de computación en la nube descritas por NIST.
Qué es PaaS: plataforma como servicio
En Platform as a Service, el consumidor despliega aplicaciones propias o adquiridas mediante los lenguajes, bibliotecas, servicios y herramientas compatibles con la plataforma. El proveedor gestiona la infraestructura subyacente. El consumidor mantiene el control de las aplicaciones desplegadas y, posiblemente, de determinados ajustes del entorno de alojamiento.
Piensa en un equipo que sube el código de una aplicación a un entorno que la ejecuta sin pedirle que administre las máquinas o el sistema operativo de base. La pista es desplegar una aplicación en una plataforma. No basta con que aparezca la palabra «plataforma» en un anuncio: hay que comprobar qué capacidad se ofrece y a quién va dirigida. La guía complementaria NIST SP 500-322 ayuda precisamente a clasificar servicios cuya etiqueta comercial puede resultar ambigua.
Qué es SaaS: software como servicio
En Software as a Service, el consumidor usa las aplicaciones que el proveedor ejecuta sobre infraestructura en la nube. Puede acceder a ellas, por ejemplo, mediante un navegador o una interfaz de programación. En la definición de NIST, no administra los servidores, la red, el sistema operativo ni, salvo opciones limitadas de configuración, las capacidades de la aplicación.
Un correo web ofrecido como aplicación terminada es el ejemplo conceptual que utiliza NIST. El usuario entra para enviar y consultar mensajes; no despliega la aplicación ni administra el sistema operativo que la soporta. Esto no significa que pueda olvidarse de configurar accesos, proteger credenciales o gestionar correctamente la información que introduce.
Cómo resolver una pregunta sobre modelos de nube
- Subraya el objeto entregado. ¿Son recursos básicos, una plataforma para desplegar o una aplicación lista para usar?
- Marca los verbos. «Instalar el sistema operativo» apunta a IaaS; «desplegar mi aplicación», a PaaS; «usar la aplicación del proveedor», a SaaS.
- Identifica la frontera de gestión. Pregunta quién administra sistema operativo, entorno de ejecución y aplicación. Evita deducirla de una marca comercial.
- Comprueba los matices. Un servicio concreto puede combinar capacidades. Clasifica la capacidad descrita en el enunciado y lee sus condiciones antes de asignarle un modelo.
Esta secuencia también sirve para elaborar una respuesta razonada en un supuesto: declara qué controla cada parte y explica por qué esa frontera encaja con la definición elegida. Si el enunciado omite datos esenciales, indica el supuesto que adoptas.
Tres mini casos para practicar
Caso 1: instalar un sistema operativo
Una organización contrata capacidad de proceso y almacenamiento; su equipo instala el sistema operativo, la base de datos y una aplicación. Respuesta orientativa: IaaS. El consumidor administra software sobre recursos de infraestructura, mientras el proveedor mantiene la infraestructura subyacente. Si el enunciado preguntara además si es «nube» según NIST, habría que verificar sus características esenciales, no asumirlo por la virtualización.
Caso 2: desplegar código sin administrar máquinas
Un equipo entrega el código de su aplicación a un entorno que lo ejecuta, pero no administra servidores ni sistema operativo. Respuesta orientativa: PaaS. La capacidad central es el despliegue de la aplicación en una plataforma, con control del código y algunos ajustes de ejecución.
Caso 3: acceder a una aplicación ya operativa
Una persona utiliza desde el navegador una aplicación proporcionada por un tercero y solo ajusta opciones de su cuenta. Respuesta orientativa: SaaS. Recibe la aplicación lista para usar, no recursos para instalar software ni un entorno para desplegar código.
Estos casos son ejercicios didácticos elaborados para esta guía. No proceden de una prueba oficial ni anticipan el contenido de una convocatoria futura.
Errores frecuentes al estudiar IaaS, PaaS y SaaS
- Memorizar solo el orden de las siglas. Saber que IaaS, PaaS y SaaS forman una secuencia no explica la responsabilidad sobre cada componente. Dibuja la pila: infraestructura, sistema operativo, plataforma, aplicación y datos; luego marca quién controla cada nivel.
- Confundir virtualización con nube. Una máquina virtual puede formar parte de un servicio IaaS, pero la definición de nube de NIST incluye características como autoservicio bajo demanda, acceso amplio por red, recursos compartidos, elasticidad rápida y servicio medido.
- Creer que SaaS transfiere toda responsabilidad. El proveedor opera la aplicación; el usuario sigue tomando decisiones sobre accesos, configuración y uso de datos conforme al servicio contratado.
- Clasificar por nombres comerciales. Una misma marca puede ofrecer productos de varios tipos. Lee la capacidad descrita y la frontera de control.
Un repaso activo de 15 minutos
Empieza con un esquema propio de la tabla: escribe una línea por modelo con «qué recibo» y «qué controlo». Después responde los tres mini casos sin mirar la solución y justifica cada respuesta en una frase. Convierte los errores en tarjetas breves, por ejemplo: «Si puedo instalar el sistema operativo sobre recursos aprovisionados, ¿qué modelo describe mejor el caso?». Al terminar, cambia una condición de cada caso y observa si cambia la clasificación.
Para llevar el concepto a la práctica, puedes combinar tests y simulacros con flashcards y un repaso con audio. Los tests revelan confusiones, las tarjetas ayudan a recuperar definiciones y el audio permite volver a escuchar el razonamiento. Estos son usos de estudio, no reglas oficiales del examen.
Preguntas frecuentes
¿Cuál es la diferencia principal entre IaaS y PaaS?
En IaaS recibes recursos básicos y puedes administrar el sistema operativo y las aplicaciones. En PaaS recibes un entorno para desplegar aplicaciones sin administrar la infraestructura subyacente; el control se centra en la aplicación y algunos ajustes.
¿SaaS significa que no debo configurar nada?
No. NIST admite opciones limitadas de configuración para el usuario. En la práctica debes revisar, por ejemplo, los accesos y las opciones que permita el servicio; el alcance concreto depende del proveedor.
¿El BOE enumera IaaS, PaaS y SaaS como preguntas de GSI?
El anexo IX de la convocatoria citada incluye computación en la nube como contenido del programa. La guía usa los tres modelos definidos por NIST para estudiar ese ámbito. No presenta una lista oficial de preguntas ni una previsión de lo que saldrá en una prueba.
Para seguir estudiando
Si buscas una forma variada de practicar los conceptos de GSI, en PreparaGSI puedes apoyarte en tests, flashcards y audio-podcasts. Úsalos para identificar dudas y volver después a las fuentes originales: el programa en el BOE y las definiciones técnicas del NIST.
Fuentes: BOE-A-2025-26262, anexo IX, bloque II, tema 1; NIST SP 800-145, The NIST Definition of Cloud Computing; NIST SP 500-322, Evaluation of Cloud Computing Services.