Nube segura frente al mito de la protección automática
Aunque la nube trae innumerables beneficios para la productividad y la escala, es fundamental considerar que una mala configuración o errores en su gestión puede dejar abiertos huecos de seguridad que la hacen vulnerable.
“Migrar a la nube es, automáticamente, más seguro”. Esta es una idea peligrosa y muy difundida porque si no se configura bien, la nube puede ser incluso más insegura que tener las aplicaciones y los datos en los servidores locales. Si no se configura correctamente, se pueden dejar puertas abiertas. Hay quienes migran un ERP y dejan activado el puerto de escritorio remoto, lo que constituye una invitación para ser “hackeado”.
Llevar cargas a un proveedor de nube sin una arquitectura y una gobernanza adecuadas puede dejar a una organización más expuesta que si se quedaran en su centro de datos físico, ya que los atacantes no buscan lo imposible, solo explotan lo que está mal configurado; es decir, puertos abiertos, identidades con permisos excesivos, llaves sin rotación y registros sin monitoreo.
La ciberseguridad debe ser una característica de diseño, no un parche que se pone después y eso se logra a través de diagnósticos, análisis de riesgos y el cierre de todas las brechas que estén abiertas por falta de experiencia.
Gerardo Arroyo, Novacomp.
La primera decisión de la estrategia para operar en la nube implica hacer modelos de amenazas y evaluación de riesgos, fortalecer la configuración base, realizar una segmentación, establecer controles de identidad y realizar pruebas de resiliencia, entre otras acciones.
Para Gartner, la inmensa mayoría de los incidentes en la nube tienen su raíz en errores de configuración, además de los ya conocidos factores humanos, por lo que es importante tomar en cuenta que, de acuerdo con la misma consultora, el gasto mundial del usuario final en seguridad de la información alcanzará 213 mil millones de dólares en 2025, frente a los 193 mil millones de dólares de 2024. Además, el gasto aumentará 12,5 % en 2026 hasta alcanzar un total de 240 mil millones de dólares.
Ransomware, el costo de reaccionar tarde
Muchas organizaciones buscan ayuda cuando ya tienen un ataque de ransomware encima, y ahí ya es muy tarde. Es como manejar sin frenos solo porque nunca se ha tenido un accidente. Tarde o temprano, pasa.
Por otra parte, los casos donde los centros de datos físicos (on-premises, por su concepto en inglés) siguen siendo preferibles suelen estar relacionados con situaciones regulatorias o de seguridad en las que no se puede mover todo a la nube, por lo que se trabaja con modelos híbridos. Así que no todo se puede o debe de migrar.
Es importante tomar en cuenta que, en el tercer trimestre de 2024, el 88 % de los compradores de servicios en la nube informaron a IDC Cloud Pulse que estaban implementando una nube híbrida o en proceso de operar una.
El consultor ético diseña lo necesario
Dentro del mencionado diseño primario, la diferencia entre un proveedor transaccional y un consultor ético es simple: no vender una “gran máquina” si no hace falta. Eso implica un dimensionamiento correcto, políticas de programación –como apagar lo que no se usa–, niveles de almacenamiento adecuados y la elección del servicio más simple, que evite una complejidad innecesaria la cual, además de costosa, amplía la superficie de ataque.
La nube es un sistema operativo empresarial que exige disciplina:
- seguridad como diseño, no como parche;
- híbrido/multinube como norma, no como excepción;
- ética, en lugar de sobredimensionamiento.
En el futuro cercano, en términos de eficiencia tecnológica, el entorno se encuentra en un punto donde las tecnologías emergentes, como la inteligencia artificial y la computación cuántica, estarán elevando la exigencia en cuanto a ciberseguridad, por lo que este aspecto no es una opción: es una necesidad de sobrevivencia.
Nota de la editora: El artículo fue editado para ayudar a una mejor claridad.
Gerardo Arroyo es CTO Multicloud en la empresa de servicios y desarrollo de TI Novacomp. Con más de 10 años de experiencia como experto en arquitecturas cloud, ha liderado transformaciones digitales centradas en rendimiento, seguridad y escalabilidad. Posee 12 certificaciones AWS y es AWS Community Builder y líder de grupo de usuarios en América Latina. Apasionado por la Inteligencia Artificial Generativa, domina herramientas como Amazon Bedrock y LangChain. Comparte su conocimiento a través de su blog y como orador internacional. Su liderazgo en equipos multidisciplinarios y su visión estratégica lo han consolidado como referente en soluciones de nube e innovación tecnológica en América Latina.
