Por Qué Importa
La adopción del cloud ha redefinido el perímetro de seguridad. Con más del 90% de las empresas usando estrategias multi-cloud, proteger estos entornos no es opcional. Las brechas suelen originarse del lado del cliente: errores de configuración, gestión de identidades débil o código inseguro.
La brecha de Capital One en 2019 expuso 100 millones de registros por un firewall mal configurado. El compromiso de claves cloud de Microsoft en 2023 permitió accesos a correos gubernamentales. Estos incidentes muestran por qué cualquier profesional debe entender la seguridad cloud.
El Modelo de Responsabilidad Compartida
| Capa | IaaS | PaaS | SaaS |
|---|---|---|---|
| Datos | Cliente | Cliente | Cliente |
| Aplicación | Cliente | Cliente | Proveedor |
| SO | Cliente | Proveedor | Proveedor |
| Red | Compartida | Proveedor | Proveedor |
| Físico | Proveedor | Proveedor | Proveedor |
Dominios Clave
Identidad y Acceso
IAM es el nuevo perímetro. Todo programa de seguridad cloud comienza con autenticación fuerte (MFA en todas las cuentas), roles de mínimo privilegio y revisiones de acceso periódicas. Los atacantes ya no entran, inician sesión.
Configuración
Los errores de configuración son la principal fuente de brechas. Las herramientas CSPM evalúan continuamente recursos contra benchmarks como CIS, PCI DSS y SOC 2.
# Encontrar buckets S3 públicos
aws s3api list-buckets --query 'Buckets[].Name' --output text | \
xargs -I {} aws s3api get-bucket-acl --bucket {} \
--query 'Grants[?Grantee.URI==`http://acs.amazonaws.com/groups/global/AllUsers`]'Protección de Cargas
Las plataformas CWPP protegen máquinas virtuales, contenedores y funciones serverless mediante escaneo de vulnerabilidades, protección en runtime y detección de malware.
Red
Aunque la identidad sea primaria, los controles de red siguen siendo críticos. VPCs, security groups, endpoints privados y políticas service mesh refuerzan la segmentación.
Datos
Cifrado en reposo y en tránsito, gestión de claves con AWS KMS o Azure Key Vault, DLP y tokenización protegen información sensible.
Herramientas Cloud-Native
- CSPM: Wiz, Prisma Cloud, Orca, Lacework
- CWPP: CrowdStrike Falcon Cloud, Aqua, Sysdig
- CIEM: gestión de permisos excesivos
- CNAPP: Wiz, Palo Alto Prisma, Microsoft Defender for Cloud
- IaC: Checkov, tfsec, Snyk, Terrascan
Mejores Prácticas
- MFA en todas partes, especialmente cuentas root.
- Mínimo privilegio con credenciales de corta duración.
- Habilita logs (CloudTrail, Activity Logs) y envíalos al SIEM.
- Cifra por defecto con claves administradas por el cliente.
- Escanea IaC antes del despliegue.
- Monitoriza drift entre configuración esperada y real.
- Practica la respuesta a incidentes específica para cloud.
Errores Comunes
Conceptos Relacionados
Cómo enseñamos Seguridad en la Nube
En nuestro Cybersecurity Bootcamp, no solo aprenderás sobre Seguridad en la Nube en teoría. Practicarás con herramientas reales en laboratorios prácticos, guiado por profesionales de la industria que usan estos conceptos a diario.
Cubierto en:
Módulo 8: Operaciones de Seguridad Avanzadas
360+ horas de formación experta • CompTIA Security+ incluido