Cómo establecer una estrategia de seguridad en entornos cloud

La migración de servicios y datos al cloud ha transformado la forma en que operan las empresas, ofreciendo mayor escalabilidad, flexibilidad y eficiencia. Sin embargo, esta evolución también ha traído consigo nuevos desafíos en materia de seguridad. Según el Cloud Security Report 2024, los incidentes de seguridad en la nube han aumentado un 154% en el último año, lo que subraya la urgencia de establecer estrategias de protección adecuadas. Como afirma Roberto Espina, CEO de SIA, “Hasta este año, 2025, el 99% de los fallos de seguridad en la nube se van a producir por fallos de configuración del cliente”.

El phishing también sigue siendo el vector de ataque más común en la nube, representando el 33% de los incidentes según Raquel López, Cybersecurity Solution Design Leader de IBM Consulting, “la demanda de credenciales en la dark web sigue creciendo, y las organizaciones deben implementar un programa de seguridad en la nube con políticas claras y protección robusta”.

Una configuración incorrecta de los entornos cloud, la falta de controles de acceso y el uso de credenciales comprometidas siguen siendo las principales causas de incidentes. “Muchas organizaciones aún no han implementado las prácticas necesarias para protegerse, lo que amplifica los riesgos”, advierte Marc Rivero, Lead Security Researcher de Kaspersky.

Este panorama, exige, en palabras de Ferran Marsal, de Aitana, una estrategia de seguridad más proactiva y adaptativa. “Para reducir los incidentes, las empresas deben enfocarse en arquitecturas de Zero Trust, el uso de inteligencia artificial (IA) para detectar amenazas y la inversión en plataformas de protección de aplicaciones nativas en la nube (CNAPP)”.

Y es que, la seguridad en la nube es una responsabilidad compartida. Desde AWS, Borja Larrumbide, Security Assurance Manager, explica que la compañía proporciona infraestructura con los más altos estándares de seguridad, “pero las empresas deben garantizar configuraciones adecuadas, cifrado de datos y una supervisión continua”.

El papel de la IA y Zero Trust

La inteligencia artificial (IA) está desempeñando un papel cada vez más relevante en la protección de entornos cloud. Entre sus principales beneficios, destaca su capacidad para la detección de amenazas en tiempo real y la automatización de respuestas ante incidentes. “La IA permite analizar grandes volúmenes de datos y detectar comportamientos anómalos, lo que facilita la identificación de ataques antes de que se conviertan en un problema grave”, explica Espina.

Jaime Balañá, director técnico de NetApp Iberoamérica, refuerza esta idea al destacar el impacto de la IA en la seguridad cloud: “El 40% de las organizaciones ya está utilizando IA para detectar amenazas y automatizar respuestas. En NetApp, por ejemplo, nuestra solución ONTAP Autonomous Ransomware Protection emplea IA para detectar ransomware con una precisión del 99%”.

López enfatiza el uso de IA en automatización de seguridad en la nube: “Aplicamos modelos SOCless basados en IA para detectar patrones anómalos y agilizar la respuesta a incidentes, mejorando la protección y optimizando procesos clave”.

La IA también mejora la analítica del comportamiento de los usuarios, “y permite una automatización avanzada en la detección y respuesta ante amenazas, proporcionando una capa adicional de seguridad en entornos cloud”, añade Miguel López, Sales Engineer de Trend Micro Iberia.

Y es que, la IA no solo ayuda en la detección de amenazas, sino que también permite automatizar respuestas ante incidentes, reduciendo la carga de trabajo de los equipos de seguridad y permitiéndoles enfocarse en tareas de valor. Así lo señala Rivero, “su capacidad para analizar grandes volúmenes de datos ayuda a predecir y prevenir ataques avanzados”.

Abel Costela, responsable de Infraestructura y Seguridad en VISEO, menciona que herramientas como Copilot for Security en entornos Microsoft pueden facilitar la respuesta a incidentes, “al proporcionar asistencia en tiempo real a los equipos de seguridad, mejorando su capacidad de reacción”.

Por otro lado, adoptar una arquitectura Zero Trust en la nube no es solo recomendable, es necesario. En un entorno donde los accesos se dan desde múltiples ubicaciones y dispositivos, ya no basta con proteger el perímetro. “En NetApp integramos este enfoque en nuestras soluciones, con capacidades como el cifrado nativo en tránsito y en reposo, la detección de accesos anómalos con ONTAP Autonomous Ransomware Protection o Storage Workload Security, funcionalidad incluida en el servicio de monitorización NetApp. Además, soluciones como SnapMirror Active Sync o Metrocluster aseguran la continuidad operativa, permitiendo la replicación de datos en múltiples ubicaciones y una recuperación rápida en caso de incidente”, destaca Balaña.

Sin duda, Zero Trust ayuda a minimizar riesgos al verificar y autenticar cada acceso, “reduciendo la superficie de ataque”, señala Marsal. Al igual que su compañero, Rivero afirma que el Zero Trust en la nube elimina la confianza implícita dentro de la red, “cada usuario o dispositivo debe verificar su identidad y cumplir con estrictos controles de acceso antes de acceder a los recursos.”

El impacto del presupuesto en la seguridad cloud

El aumento de presupuesto aseguraría cubrir más fases y ámbitos del Journey to Cloud. Una respuesta extremo a extremo. Desde la estrategia, hasta qué controles específicos de seguridad tienen que contemplar, la implementación de estos con las soluciones más adecuadas, el posterior seguimiento, y la operación de la seguridad cloud en el día a día. Y, algo esencial: proporcionando la respuesta más adecuada a las necesidades y requisitos de cada organización.

Con un 63% de las empresas planeando aumentar su presupuesto en seguridad cloud en los próximos 12 meses, surge la pregunta: ¿más inversión significa mayor protección? Para Espina, el aumento de presupuesto debe traducirse en una estrategia bien estructurada. “No se trata solo de gastar más, sino de cubrir todas las fases del Journey to Cloud, desde la estrategia hasta la operación diaria de la seguridad”, comenta.

Y es que, sin una estrategia clara y capacitación adecuada del equipo, un mayor presupuesto no garantiza una mejor protección. En opinión de López, “la cultura organizacional en torno a la seguridad es clave”.

La inversión en seguridad debe priorizarse en función de los riesgos reales de la organización, pero no basta con gastar más, “los CISOs deben tener visibilidad de qué reforzar primero en la postura de seguridad”, afirma Miguel López.

Siguiendo este punto, Rivero advierte que muchas empresas invierten en herramientas costosas sin una planificación adecuada, lo que genera una falsa sensación de seguridad. “El incremento de presupuesto debe ir acompañado de formación del personal y una estrategia de seguridad bien definida”, recomienda.

Marsal coincide y destaca la importancia de optimizar los recursos mediante la colaboración con partners especializados. “Un partner experto en ciberseguridad ayuda a enfocar la inversión en las tecnologías más adecuadas y a identificar las áreas críticas que requieren atención, evitando gastos innecesarios”, señala.

Desde AWS, Larrumbide subraya que la clave está en cómo se gestionan los recursos. “Las organizaciones deben destinar presupuesto a herramientas avanzadas de detección, controles de acceso robustos y formación en ciberseguridad”.

Qué debe incluir una estrategia de seguridad cloud

En la nube, la seguridad es una tarea compartida entre cliente y proveedor, existiendo infinidad de buenas prácticas y soluciones para que no sea un problema en su adopción. Se trata de garantizar que el viaje a la nube sea seguro y esté alineado con los requisitos de privacidad, cumplimiento y protección del dato.

La visión estratégica de seguridad en la nube supone un enfoque integral y a largo plazo para proteger los datos, aplicaciones y servicios que se encuentran en estos entornos. Esta visión abarca, en palabras del CEO de SIA varios componentes clave que deben ser contemplados y gestionados para asegurar un entorno seguro y confiable, “implementar esta visión estratégica requiere una combinación de políticas bien definidas, tecnologías avanzadas y una cultura organizacional que valore y priorice la seguridad. Solo con un enfoque proactivo y cohesivo se pueden mitigar eficazmente los riesgos asociados al cloud y proteger los activos de mayor valor de la organización”.

Para estructurar la estrategia, AWS proporciona frameworks establecidos como el “Cloud Adoption Framework (CAF), que ofrece una perspectiva integral de seguridad, y el Well-Architected Framework (WAF), que define cinco pilares clave de seguridad incluyendo protección de datos, controles preventivos y gestión de incidentes”, añade el Security Assurance Manager de AWS.

Una estrategia efectiva debe considerar la seguridad desde el diseño, incorporando principios como Zero Trust y el cifrado de datos en tránsito y en reposo. Además, es crucial establecer políticas de acceso basadas en privilegios mínimos y una gestión adecuada de identidades y accesos. En palabras del Lead Security Researcher de Kaspersky, “también debe incluir monitorización constante, auditorías de configuración, y soluciones de protección contra amenazas en la nube, como SIEM. La formación del personal y la concienciación en seguridad son esenciales para evitar errores humanos, que siguen siendo una de las principales causas de incidentes”.

Todo esto expuesto debe ser ser integral y coherente. No vale con sumar herramientas sueltas: se trata de tener una visión completa que combine prevención, detección y capacidad de respuesta. Aquí entran en juego, reitera el director técnico de NetApp Iberoamérica, elementos como el modelo Zero Trust, el cifrado de los datos, y una buena gestión de accesos. “Pero también es fundamental el papel que juega el almacenamiento. Hoy en día, los sistemas avanzados de gestión de datos son capaces de detectar comportamientos anómalos que pueden ser señales tempranas de un ataque. Pueden activar respuestas automáticas, proteger la información con copias inmutables y facilitar una recuperación rápida si algo falla. Todo eso sin generar más complejidad. Al final, se trata de proteger los datos con inteligencia, sin poner freno a la agilidad del negocio”.

Plataformas CNAPP: una asignatura pendiente

A pesar de sus beneficios, la adopción de plataformas de protección de aplicaciones nativas en la nube (CNAPP) sigue siendo baja. “Las CNAPP proporcionan seguridad integral desde el desarrollo hasta la operación en producción, reduciendo vulnerabilidades y mejorando la postura de seguridad”, explica Espina.

Rivero menciona que la falta de conocimiento y la percepción de complejidad han sido barreras para su adopción, “Muchas empresas siguen dependiendo de enfoques tradicionales y no han dado el salto a estrategias más automatizadas y adaptadas a la nube”.

Marsal añade que muchas empresas aún no han implementado CNAPP debido a la fragmentación de herramientas y la falta de conocimiento sobre sus beneficios. “Un partner especializado puede ayudar en la integración de estas soluciones para optimizar la seguridad cloud”, enfatiza.

Otro punto clave que revela esta baja implementación son los costos elevados y la falta de familiaridad con estas plataformas. En opinión de Abel Costela, responsable de Infraestructura y Seguridad en VISEO, “aunque su capacidad para mejorar la visibilidad y la gestión del riesgo en entornos cloud es innegable, los costos altos echan para atrás a muchas empresas”.

Y no solo los costes, también la falta de conocimiento hace que las empresas no se decanten por la la adopción de CNAPP, “así como la complejidad en su implementación, pero sus beneficios son enormes. Proporcionan seguridad proactiva mediante detección de vulnerabilidades, escaneo continuo y cumplimiento normativo automatizado”, añade Juanjo Pérez Mostacho, Leader del área Cybersecurity en Vargroup España.

Escalabilidad, resiliencia y eficiencia operativa

Uno de los principales beneficios de la nube es la capacidad de escalar recursos según la demanda. Y aunque esto nos da una mayor flexibilidad operativa, nos hace perder visibilidad con respecto a lo que nos encontrábamos en el mundo on-premise. A esto hay que sumarle la complejidad de gestionar múltiples plataformas, identidades, y accesos; aumentando así la superficie de ataque.

Por ello, y en concepto de ciberseguridad, Miguel López señala que, “las empresas están buscando tener una plataforma centralizada que les permita integrar todos los entornos Multi-Cloud ayudándoles a implementar de una forma más eficiente todas las soluciones de protección nativa en Cloud”.

El reto ahora es que estos entornos estén protegidos contra amenazas. “La supervisión continua de seguridad, la gestión de accesos y el análisis de comportamiento son esenciales para que las empresas puedan detectar y responder rápidamente a cualquier vulnerabilidad, optimizando así sus operaciones y reduciendo el tiempo de inactividad”, afirma Ferran Marsal.

Además, los entornos cloud ofrecen una mayor escalabilidad, permitiendo a las empresas ajustar sus recursos según las necesidades cambiantes. Esto contribuye a la resiliencia operativa, asegurando que las aplicaciones puedan manejar aumentos repentinos en la carga de trabajo sin comprometer la seguridad o el rendimiento. La combinación de estos factores no solo mejora la eficiencia operativa, sino que también permite a las empresas mantener una ventaja competitiva en un mercado en constante evolución.

Balañá destaca que “según nuestro Informe sobre la Complejidad de Datos de 2023, el 98% de las empresas está en proceso de migración a la nube, pero el 75% de las cargas siguen en local. La clave está en gestionar los entornos híbridos de forma eficiente”. López añade que “la nube no solo optimiza recursos, sino que también fomenta una colaboración más estrecha entre equipos, impulsando la eficiencia operativa”.

Falta de personal cualificado

Actualmente, las empresas aún mantienen entornos de trabajo híbridos entre el mundo On-prem y Cloud. Este tránsito, aunque va aumentando exponencialmente, todavía no ha alcanzado la velocidad que debería, y es por ello por lo que el número de profesionales en este sector es considerablemente bajo si lo comparamos con los entornos tradicionales.

Para abordar esta escasez de talento, las empresas deberían invertir en programas de capacitaciones y certificaciones oficiales en ciberseguridad ofrecidas por los principales proveedores de cloud. Esto se debería acompañar siempre de un programa de formación continua para avanzar y estar al día de las últimas novedades en cloud.

“Otra parte importante es la asociación con partners tecnológicos que ofrezcan servicios de seguridad específicos en la nube, ayudando así a crear una estrategia robusta recomendando las mejores soluciones de seguridad en el mercado”, recomiendan desde Trend Micro.

Por su parte, desde IBM aconsejan establecer un programa específico de Cyber Talent que contemple los siguientes aspectos:

1. Invertir en formación y desarrollo, proporcionando programas de capacitación que refuercen y amplíen las habilidades del equipo actual.

2. Fomentar una cultura de seguridad, promoviendo el reconocimiento de la importancia de la ciberseguridad en entornos cloud en toda la organización.

3. Ofrecer oportunidades de crecimiento, asegurando un desarrollo profesional atractivo y continuo para los especialistas en seguridad.

4. Colaborar con universidades y centros de formación, facilitando el acceso a talento emergente y promoviendo el interés en la seguridad en la nube.

5. Aumentar la visibilidad en la industria, participando en conferencias, foros y eventos especializados para posicionar a la empresa como un referente en seguridad en la nube.

Queda claro, que no basta con ofrecer soluciones avanzadas, también hay que capacitar a las personas para usarlas. Por eso, desde NetApp ofrecen formación técnica flexible y certificaciones especializadas en protección de datos, recuperación ante desastres o entornos cloud híbridos, a través de los servicios de NetApp Learning Services.

Tendencias futuras en seguridad cloud

Las amenazas en los entornos cloud seguirán aumentando y evolucionando hacia ataques más sofisticados. Se prevé que continúe el incremento del robo de credenciales a través de infostealers diseñados específicamente para extraer credenciales de servicios en la nube, así como el despliegue de mineros de criptomonedas. Todo ello refuerza la necesidad crítica de contar con medidas de seguridad en la nube robustas y actualizadas.

Algunas de las tendencias que marcarán el futuro de la seguridad en la nube, en opinión de Raquel López, “giran en torno a la adopción de estrategias quantum-safe, diseñadas para prepararse ante la llegada de la computación cuántica y sus implicaciones en la criptografía, lo que obligará a replantear las actuales arquitecturas criptográficas para evolucionarlas hacia modelos cripto ágiles”

Aunque la inversión en este ámbito aumentará, la escasez de profesionales y los retos de cumplimiento seguirán siendo desafíos clave. “El futuro de la seguridad cloud dependerá de soluciones más proactivas y flexibles para anticiparse a amenazas cada vez más sofisticadas”, explica Espina.

Rivero prevé una mayor adopción de Zero Trust y un enfoque más amplio en seguridad automatizada. “El cumplimiento normativo se endurecerá, y las empresas deberán mejorar su postura de seguridad para alinearse con nuevas regulaciones y tendencias”.

Por su parte, Marsal destaca que, ante la creciente complejidad del panorama de ciberseguridad, las empresas deben apostar por formación continua y colaboración con expertos en seguridad cloud. “El equilibrio entre tecnología y talento será clave para fortalecer la seguridad en la nube y garantizar la resiliencia operativa en el futuro”.