La seguridad en cloud no consiste en confiar toda la protección al proveedor: exige repartir responsabilidades, controlar identidades, proteger datos y aplicaciones, detectar incidentes y ensayar la recuperación. Estas cinco claves ayudan a evaluar una arquitectura concreta sin prometer una nube «impenetrable».
Qué cambia en la seguridad al trabajar en cloud
En la nube, una parte de la infraestructura queda bajo el control del proveedor y otra sigue bajo el de la organización. La frontera cambia según se utilice infraestructura, una plataforma gestionada o una aplicación como servicio. Por eso, la seguridad en cloud exige documentar quién configura accesos, cifra datos, actualiza componentes y conserva evidencias. El modelo de responsabilidad compartida de AWS y la guía de Google Cloud describen este reparto para sus servicios; no sustituyen la revisión del contrato y la configuración elegidos.
El marco NIST CSF 2.0 organiza el trabajo en gobernar, identificar, proteger, detectar, responder y recuperar. Sirve como mapa de resultados, no como certificación automática de un despliegue.
1. Gobernar identidades y accesos
La primera clave es saber quién accede a qué, desde dónde y con qué privilegio. Inventarie cuentas humanas y de servicio, evite permisos permanentes innecesarios, active autenticación multifactor donde corresponda y revise accesos al cambiar funciones. Las identidades de automatizaciones y las claves de API requieren propiedad, rotación y un procedimiento de baja; no basta con proteger el inicio de sesión de las personas.
El acceso condicional puede incorporar señales de dispositivo o contexto, pero una regla mal configurada también puede bloquear operaciones legítimas. Ensaye el proceso de recuperación y deje trazas de las aprobaciones de privilegios.
2. Conocer los activos y corregir la configuración
No se puede proteger una carga que nadie ha inventariado. Registre cuentas, proyectos, recursos expuestos, dependencias y responsables; clasifique los datos y revise configuraciones de almacenamiento, red y registros. Priorice los hallazgos por exposición e impacto de negocio, no solo por el número de alertas que muestra una consola.
Las políticas como código y la revisión de cambios pueden ayudar a detectar desviaciones antes del despliegue. Incluya las configuraciones de servicios gestionados y las integraciones externas: una API o un contenedor mal configurado puede abrir una vía de acceso aunque la infraestructura del proveedor esté protegida.
3. Proteger datos y aplicaciones durante todo su ciclo de vida
Defina qué datos pueden entrar en cada servicio, dónde se almacenan, quién gestiona las claves y cómo se eliminan. Aplique cifrado en tránsito y en reposo según el caso, políticas de acceso, copias recuperables y pruebas de restauración. El cifrado no compensa un permiso excesivo ni una exposición accidental de secretos.
En las aplicaciones, incorpore análisis de dependencias, revisión de código, gestión de vulnerabilidades y controles sobre los entornos de desarrollo y producción. Si se conectan modelos de IA o flujos de datos, la seguridad en cloud requiere documentar origen, permisos y trazabilidad de cada integración antes de permitir que una automatización acceda a información sensible.
4. Detectar, responder y aprender de incidentes
Centralice los registros necesarios de identidad, cambios, cargas y accesos a datos; defina cuánto tiempo se conservan y quién puede consultarlos. Configure alertas accionables para actividades anómalas y compruebe que hay una persona o equipo responsable de investigarlas. Más telemetría no equivale por sí sola a mejor detección.
Prepare un procedimiento para aislar recursos, revocar credenciales, conservar evidencias, comunicar el incidente y recuperar el servicio. Pruébelo con escenarios realistas, incluidas fallas de integración o borrados accidentales. Ajuste los controles después de cada ejercicio o incidente.
5. Diseñar resiliencia y una salida practicable
La seguridad también es disponibilidad. Establezca objetivos de recuperación para cada proceso, pruebe copias y restauraciones, y conozca las dependencias de regiones, proveedores, redes y servicios de identidad. Una copia no verificada no es un plan de continuidad.
Para evitar dependencias difíciles de gestionar, documente formatos de datos, interfaces, configuraciones y costes de transferencia. La seguridad en cloud también depende de poder restaurar la operación: la portabilidad no exige usar siempre varios proveedores, sino saber qué cambiaría si un servicio deja de estar disponible o ya no encaja.
Cómo aplicar las cinco claves a un proceso real
- Delimitar: elegir un proceso, sus datos, aplicaciones, propietarios y requisitos de disponibilidad.
- Repartir: registrar responsabilidades entre proveedor, equipo interno y terceros para cada servicio utilizado.
- Priorizar: corregir primero identidades privilegiadas, datos expuestos, configuraciones críticas y recuperación no probada.
- Verificar: ejecutar pruebas de acceso, restauración, respuesta y trazabilidad con criterios documentados.
- Operar: revisar los controles cuando cambian las cargas, los datos, las integraciones o el contrato.
OpenSistemas conecta datos, aplicaciones y procesos con gobierno y trazabilidad. En un proyecto cloud, eso implica que la seguridad no quede aislada de las integraciones ni de las personas que operan el servicio. Para profundizar en la distinción entre infraestructura y configuración, consulta nuestro análisis de las capas de seguridad de un centro de datos. Si necesitas evaluar un proceso concreto, hablemos de su arquitectura y sus controles.
Preguntas frecuentes sobre seguridad en cloud
¿El proveedor cloud se ocupa de toda la seguridad?
No. El proveedor protege las capas que controla, mientras que el cliente conserva responsabilidades sobre su configuración, identidades, datos y aplicaciones, con diferencias según el servicio contratado. Verifique el reparto exacto antes de ponerlo en producción.
¿El cifrado garantiza que los datos estén seguros?
No por sí solo. También importan los permisos, la gestión de claves, la clasificación, las copias y la capacidad de detectar usos indebidos. Evalúe el conjunto de controles frente a los riesgos del proceso.
¿Por dónde empezar si ya hay cargas en la nube?
Por un inventario acotado de recursos, datos y responsables. Revise accesos privilegiados y exposición pública; después pruebe la restauración y el proceso de respuesta. Priorice según impacto y evidencias, no según la cantidad de herramientas instaladas.
