La seguridad en la nube es la práctica de proteger datos, aplicaciones y servicios que se ejecutan en infraestructura de nube contra amenazas cibernéticas.

¿Qué es Cloud Security?

Cloud security es el conjunto de políticas, tecnologías y controles implementados para proteger datos, aplicaciones y servicios en la nube.

Modelos de Servicio Cloud

IaaS (Infrastructure as a Service)

  • Infraestructura: Servidores, almacenamiento, redes
  • Responsabilidad: Cliente gestiona OS, aplicaciones, datos
  • Ejemplos: AWS EC2, Azure VMs, Google Compute Engine
  • Seguridad: Cliente responsable de la mayoría de controles

PaaS (Platform as a Service)

  • Plataforma: Entorno de desarrollo y despliegue
  • Responsabilidad: Proveedor gestiona infraestructura
  • Ejemplos: AWS Elastic Beanstalk, Azure App Service
  • Seguridad: Responsabilidad compartida

SaaS (Software as a Service)

  • Software: Aplicaciones completas
  • Responsabilidad: Proveedor gestiona todo
  • Ejemplos: Office 365, Salesforce, Google Workspace
  • Seguridad: Principalmente responsabilidad del proveedor

Modelos de Despliegue

Público

  • Multi-tenant: Múltiples clientes comparten recursos
  • Escalabilidad: Fácil escalado
  • Costo: Modelo de pago por uso
  • Seguridad: Dependiente del proveedor

Privado

  • Single-tenant: Un solo cliente
  • Control: Mayor control sobre recursos
  • Costo: Mayor costo
  • Seguridad: Mayor control de seguridad

Híbrido

  • Combinación: Público + privado
  • Flexibilidad: Mejor de ambos mundos
  • Complejidad: Mayor complejidad
  • Seguridad: Requiere gestión de múltiples entornos

Principios de Seguridad Cloud

Responsabilidad Compartida

  • Proveedor: Infraestructura, plataforma, servicios
  • Cliente: Datos, aplicaciones, configuración
  • Controles: Implementar controles apropiados
  • Monitoreo: Monitorear ambos lados

Zero Trust

  • Nunca confiar: No confiar en ningún elemento
  • Verificar siempre: Verificar cada acceso
  • Principio de menor privilegio: Mínimos privilegios
  • Monitoreo continuo: Vigilancia constante

Defense in Depth

  • Múltiples capas: Varias capas de seguridad
  • Controles redundantes: Múltiples controles
  • Detección: Múltiples sistemas de detección
  • Respuesta: Múltiples mecanismos de respuesta

Controles de Seguridad Cloud

Identidad y Acceso

  • IAM: Identity and Access Management
  • MFA: Multi-Factor Authentication
  • SSO: Single Sign-On
  • RBAC: Role-Based Access Control

Cifrado

  • En tránsito: Cifrado de datos en movimiento
  • En reposo: Cifrado de datos almacenados
  • Claves: Gestión de claves de cifrado
  • HSM: Hardware Security Modules

Red

  • VPC: Virtual Private Cloud
  • Firewalls: Firewalls de red
  • NACLs: Network Access Control Lists
  • VPN: Conexiones VPN

Monitoreo

  • Logs: Registro de eventos
  • SIEM: Security Information and Event Management
  • SOAR: Security Orchestration, Automation and Response
  • XDR: Extended Detection and Response

Herramientas de Seguridad Cloud

AWS

  • AWS Security Hub: Centro de seguridad
  • AWS GuardDuty: Detección de amenazas
  • AWS Config: Gestión de configuración
  • AWS CloudTrail: Auditoría de API

Azure

  • Azure Security Center: Centro de seguridad
  • Azure Sentinel: SIEM nativo
  • Azure Policy: Gestión de políticas
  • Azure Monitor: Monitoreo y alertas

Google Cloud

  • Google Cloud Security Command Center: Centro de seguridad
  • Google Cloud Asset Inventory: Inventario de activos
  • Google Cloud Security Scanner: Escáner de seguridad
  • Google Cloud Logging: Registro de eventos

CSPM (Cloud Security Posture Management)

Funcionalidades

  • Inventario: Inventario de recursos cloud
  • Configuración: Gestión de configuración
  • Compliance: Cumplimiento normativo
  • Remediación: Corrección automática

Herramientas

  • Prisma Cloud: Plataforma de seguridad cloud
  • CloudGuard: Solución de Check Point
  • CloudCustodian: Herramienta open source
  • AWS Config: Servicio nativo de AWS

IaC (Infrastructure as Code)

Beneficios

  • Versionado: Control de versiones de infraestructura
  • Reproducibilidad: Despliegue consistente
  • Automatización: Despliegue automatizado
  • Auditoría: Trazabilidad de cambios

Herramientas

  • Terraform: Herramienta de IaC
  • CloudFormation: Servicio de AWS
  • Azure Resource Manager: Servicio de Azure
  • Google Cloud Deployment Manager: Servicio de GCP

Seguridad en IaC

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

# Ejemplo de configuración segura en Terraform
resource "aws_s3_bucket" "secure_bucket" {
  bucket = "my-secure-bucket"
  
  versioning {
    enabled = true
  }
  
  server_side_encryption_configuration {
    rule {
      apply_server_side_encryption_by_default {
        sse_algorithm = "AES256"
      }
    }
  }
  
  public_access_block {
    block_public_acls       = true
    block_public_policy     = true
    ignore_public_acls      = true
    restrict_public_buckets = true
  }
}

Mejores Prácticas

Configuración

  • Configuración segura: Configuración segura por defecto
  • Parches: Aplicar parches regularmente
  • Monitoreo: Monitorear configuración
  • Auditoría: Auditorías regulares

Acceso

  • Principio de menor privilegio: Mínimos privilegios
  • MFA: Autenticación multifactor
  • Rotación de credenciales: Cambiar credenciales regularmente
  • Monitoreo: Monitorear accesos

Datos

  • Cifrado: Cifrar datos sensibles
  • Backup: Respaldos regulares
  • Clasificación: Clasificar datos por sensibilidad
  • Retención: Políticas de retención

Monitoreo

  • Logs: Recopilar todos los logs
  • Alertas: Configurar alertas apropiadas
  • Análisis: Analizar patrones de comportamiento
  • Respuesta: Planificar respuesta a incidentes

Cumplimiento Normativo

Regulaciones

  • GDPR: Reglamento General de Protección de Datos
  • HIPAA: Ley de Portabilidad y Responsabilidad del Seguro de Salud
  • SOX: Ley Sarbanes-Oxley
  • PCI DSS: Estándar de seguridad para tarjetas de pago

Certificaciones

  • SOC 2: Informe de control de sistemas
  • ISO 27001: Sistema de gestión de seguridad
  • FedRAMP: Autorización de seguridad federal
  • CSA STAR: Certificación de seguridad cloud

Conceptos Relacionados

  • CISO - Rol que gestiona la seguridad en la nube
  • CSPM - Gestión de postura de seguridad en la nube
  • IaC - Infraestructura como código para la nube
  • DevOps - Metodología que incluye seguridad en la nube
  • SecOps - Operaciones de seguridad en la nube
  • SIEM - Sistema que monitorea la nube
  • SOAR - Automatización en la nube
  • EDR - Protección de endpoints en la nube
  • Firewall - Protección de red en la nube
  • VPN - Conexiones seguras a la nube
  • Registros - Logs de servicios en la nube
  • Dashboards - Visualización de seguridad en la nube

Referencias