Los conceptos erróneos sobre la seguridad en la nube han dominado el sector de las tecnologías de la información desde que la nube se convirtió en una opción práctica para alojar infraestructuras hace quince años. Existen muchos mitos sobre la seguridad en la nube acerca de si es viable alojar servicios en la nube manteniendo la seguridad y el cumplimiento normativo.
Desde aquellos primeros días, el sector de las tecnologías de la información y la nube han cambiado hasta quedar irreconocibles, y la utilidad y la solidez del modelo de computación en la nube gozan ahora de una amplia aceptación.
A pesar de que la nube ha cambiado, siguen circulando mitos sobre la seguridad en la nube, especialmente los relacionados con la seguridad en la nube. Las versiones anteriores de los mitos sobre la seguridad en la nube eran excesivamente pesimistas. Hoy en día, son igual de propensas a ofrecer opiniones excesivamente optimistas sobre el cumplimiento normativo y la seguridad en la nube.
¿Qué es la seguridad en la nube?
La seguridad en la nube es un conjunto de procedimientos y herramientas para proteger a las organizaciones de amenazas externas e internas. A medida que las empresas adoptan la transformación digital e incluyen herramientas y servicios basados en la nube en su infraestructura, es fundamental contar con una seguridad sólida en la nube. Para garantizar un entorno de computación en la nube seguro para las operaciones y la gestión de datos de la organización, esto ayuda a proteger los datos, las aplicaciones y los recursos confidenciales de posibles peligros.
Los riesgos de seguridad se han vuelto más complejos debido a la rapidez con la que cambia el mundo digital, especialmente para las empresas de computación en la nube. Las organizaciones suelen tener poco control sobre cómo se accede y se transfiere su información en la nube. Sin intentar aumentar activamente la seguridad en la nube, las empresas corren muchos riesgos al manejar la información de los clientes en términos de gobernanza y cumplimiento.
¿Cuáles son los mitos y realidades sobre la seguridad en la nube?
Estos son algunos mitos sobre la seguridad en la nube:
Mito 1: más herramientas de seguridad implican una mayor seguridad
La gente suele tener mitos sobre la seguridad en la nube de que tener más herramientas aumenta la seguridad en la nube.
Por el contrario, tener más herramientas de seguridad no aumenta automáticamente la seguridad. El informe Oracle and KPMG Cloud Threat Report 2020 afirma que se necesitan demasiadas tecnologías para proteger los entornos de nube pública, según el 70 % de los encuestados. Cada uno emplea más de 100 controles de seguridad distintos de media. Varios proveedores de seguridad, soluciones diversas y el bloqueo de varios canales de ataque provocan lagunas. Y esas brechas brindan oportunidades de acceso a los atacantes.
Demasiadas opciones de seguridad, combinadas con una infraestructura de nube compleja y soluciones no cooperativas, dan como resultado una falta de inteligencia compartida y un diseño arriesgado.
Para cerrar estas brechas, es esencial implementar herramientas y recursos que simplifiquen la gestión de la seguridad en la nube y ayuden a tomar el control de la seguridad.
Mito 2: El CSP es el único responsable de la seguridad
Uno de los mayores mitos sobre la seguridad en la nube es que el proveedor de servicios en la nube es el único responsable de la seguridad.
Como cliente de la nube, la organización del usuario final sigue protegiendo los datos que sube al servicio, según el conocido “modelo de responsabilidad compartida.” Dado que sus obligaciones varían en función de los servicios que utilice, es fundamental saber exactamente cuáles son sus responsabilidades en lo que respecta a la protección de la infraestructura nativa de la nube.
Las organizaciones no implementan la mayoría de los diversos enfoques para proteger los datos en la nube.
Mito 3: Las violaciones exitosas son el resultado de ataques complejos
El mito sobre la seguridad en la nube de que las violaciones se deben a ataques complejos es falso. Aunque existen atacantes muy sofisticados, la mayoría de los ataques exitosos no se deben necesariamente a su creciente sofisticación. Los errores de los usuarios finales y las configuraciones incorrectas causan la gran mayoría de los ataques.
Mito 4: La visibilidad de la nube es sencilla y fácil
Otro de los mitos sobre la seguridad en la nube es que la visibilidad de la nube es sencilla y fácil. Debe conocer todos los detalles relevantes, ya que está pagando por utilizar los recursos de la nube, como cuántas cuentas tiene, si sus diseñadores han lanzado alguna nueva función, si se ha configurado correctamente, si tiene algún punto débil, etc.
Por desgracia, llevar un registro de toda esta información es mucho más difícil de lo que la mayoría de la gente cree. No se pueden detectar desviaciones en el comportamiento de los recursos si no se sabe cómo deberían comportarse. Sin paneles de control centralizados, es extremadamente difícil reconocer las amenazas y responder a ellas de manera oportuna.
Mito 5: El cumplimiento normativo está garantizado cuando se utilizan servicios de seguridad en la nube
Otro de los mitos sobre la seguridad en la nube que vamos a tratar hoy es que el cumplimiento normativo está garantizado cuando se utiliza un servicio de seguridad en la nube. Muchos proveedores de servicios en la nube promocionan el cumplimiento de sus ofertas con las leyes de seguridad de la información.
Por ejemplo, el servicio de almacenamiento S3 de Amazon ha recibido la certificación de cumplimiento de SOC, PCI DSS, HIPAA y otros requisitos legales. Pero, ¿qué significa eso? No implica que un sistema de almacenamiento de datos basado en S3 cumpla automáticamente con esos criterios. S3 puede utilizarse como componente de un sistema que cumple con PCI gracias a su conformidad con PCI, pero para ello es necesaria una configuración adecuada. Cualquier sistema basado en S3 puede dejar de cumplir los requisitos debido a un simple error de configuración, y es responsabilidad del usuario asegurarse de que esto no ocurra.
La buena noticia es que, si utiliza la herramienta de seguridad en la nube de SentinelOne, esta puede ayudarle a cumplir los requisitos.
Mito 6: No es necesario realizar una auditoría de seguridad en la nube.
CSPM y la gestión de vulnerabilidades o las capacidades de análisis son, en la práctica, un tipo de auditoría de seguridad en la nube. Pero no son suficientes y dejan fuera otras áreas. Para obtener un contexto más amplio, es necesario implementar las mejores prácticas de seguridad en la nube. Las principales herramientas y plataformas de seguridad en la nube pueden ofrecer la capacidad de realizar auditorías exhaustivas de forma eficaz. Hay que considerar las auditorías de seguridad en su conjunto y no limitarse a tener en cuenta la gestión de vulnerabilidades o el cumplimiento normativo. Las herramientas y tecnologías de seguridad en la nube abordan diferentes áreas o elementos. Por lo tanto, para obtener los mejores resultados, es importante combinar las mejores soluciones de seguridad con las mejores medidas y prácticas de seguridad.
Mito 7: Las funciones sin servidor y los contenedores son intrínsecamente más seguros
Mitos sobre la seguridad en la nube que las funciones sin servidor y los contenedores son fundamentalmente más seguros son falsos. La naturaleza efímera de los contenedores y las funciones sin servidor, así como su tendencia a tener una vida útil breve, mejoran la seguridad. A los atacantes les resulta difícil establecer una presencia sostenida en su sistema.
Aunque esta afirmación es esencialmente correcta, el uso de desencadenantes basados en eventos de muchas fuentes proporciona a los atacantes acceso a más objetivos y opciones de ataque. Estas tecnologías nativas de la nube pueden aumentar la seguridad cuando se configuran adecuadamente, pero solo si se hace correctamente.
Mito 8: La nube es generalmente más segura
Este mito en particular de Mitos sobre la seguridad en la nube es más bien un factoide, una combinación de algo de verdad y algo de ficción.
En general, los proveedores de nube son más fiables en operaciones como la aplicación de parches a los servidores. Dejarles las cosas a ellos tiene sentido, y los proveedores de servicios en la nube gozan de un alto nivel de confianza bien merecido.
Sin embargo, proteger todo lo que hay en numerosas nubes implica una serie de pasos, como la gestión de identidades, la seguridad del acceso y las auditorías rutinarias. Es necesario que haya un contexto más completo para el riesgo debido a la creciente distribución de las cargas de trabajo en numerosas nubes públicas y privadas. Las fallas de seguridad inevitables con soluciones inconsistentes solo sirven para empeorar estos problemas.
Mito 9: Los delincuentes evitan atacar la nube
Los ciberdelincuentes atacan la nube porque:
- Es una tecnología nueva, por lo que existen brechas de seguridad. La nube no es segura por diseño ni por defecto.
- Las infraestructuras de la nube pueden volverse cada vez más complejas. Las organizaciones crecen y se reducen. Pueden alquilar o eliminar servicios en la nube nuevos o existentes. La naturaleza interconectada de la nube, combinada con el tamaño de la organización, la hace aún más vulnerable.
- A los atacantes no les importa necesariamente la superficie. Les importa su misión. Buscan explotar los recursos de los clientes, obtener acceso a datos confidenciales y manipularlos de forma indirecta (o directa) para que revelen información confidencial. Y en el año 2025, es probable que esto ocurra cada vez más, ya sea en nubes públicas o privadas.
Mito 10: Las empresas están abandonando la nube pública
Los mitos sobre la seguridad de la nube que afirman que las cargas de trabajo están regresando de la nube provienen principalmente de proveedores tradicionales que se beneficiarían económicamente si esto fuera cierto. En realidad, la mayoría de las empresas no han vuelto a trasladar sus cargas de trabajo a la nube. La mayoría de las personas que se han trasladado provienen de SaaS, coubicación y subcontratistas, en lugar de infraestructura en la nube (IaaS).
Esto no implica que todas las migraciones a la nube sean exitosas. En lugar de abandonar su estrategia de nube y reubicar las aplicaciones en su ubicación original, las empresas se inclinan más por abordar los problemas a medida que surgen.
Mito 11: Para ser bueno, hay que ser una nube.
El «cloud-washing», o referirse a cosas que no son nube como si lo fueran, puede ser involuntario y consecuencia de una confusión válida. Pero con el fin de recaudar fondos, aumentar las ventas y satisfacer expectativas y objetivos poco definidos sobre la nube, las empresas y los proveedores de TI se refieren a una amplia gama de productos como «nube». Esto da lugar a mitos sobre la seguridad de la nube, según los cuales un servicio o producto de TI debe estar en la nube para ser eficaz.
Llamemos a las cosas por su nombre en lugar de depender del «cloud-washing». La virtualización y la automatización son solo dos ejemplos de las muchas otras capacidades que pueden funcionar de forma independiente.
Mito 12: Todo debe hacerse en la nube
La nube es una opción fantástica en algunos casos de uso, como las cargas de trabajo muy variables o impredecibles, o aquellas en las que el aprovisionamiento de autoservicio es crucial. Sin embargo, no todas las cargas de trabajo y aplicaciones son adecuadas para la nube. Por ejemplo, la reubicación de un programa heredado no suele ser un caso de uso sólido, a menos que sea posible generar beneficios de costes demostrables.
No todas las cargas de trabajo pueden beneficiarse por igual de la nube. Cuando sea apropiado, no dude en sugerir alternativas que no sean la nube.
Mito 13: Las brechas de seguridad en la nube siempre comienzan con vulnerabilidades de la nube
Es un error común pensar que las brechas de seguridad en la nube siempre comienzan con vulnerabilidades de la nube. En realidad, la mayoría de las brechas importantes no comienzan en la nube en sí. En cambio, los ataques suelen comenzar con un punto final comprometido, una identidad robada o un secreto expuesto, independientemente de dónde se alojen los recursos. Los incidentes de gran repercusión siguen apareciendo en los titulares, no por defectos inherentes a la infraestructura de la nube, sino porque los atacantes aprovechan las brechas en la seguridad digital de los entornos híbridos, los puntos finales y las identidades. Las herramientas de seguridad tradicionales pueden pasar por alto estas amenazas, lo que permite que incluso las pequeñas debilidades se conviertan en puntos de entrada para los malos actores. Una seguridad eficaz en la nube debe proteger no solo las cargas de trabajo en la nube, sino todo el entorno. Debe detener los ataques dondequiera que se originen y proporcionar defensas unificadas y automatizadas que se adapten a las amenazas dondequiera que surjan.
Mito 14: En comparación con la infraestructura local, la nube es menos segura
Estos mitos sobre la seguridad en la nube son principalmente una cuestión de percepción, ya que se han producido muy pocas brechas de seguridad en la nube pública la mayoría de las infracciones siguen afectando a entornos locales.
Cualquier sistema de TI es tan seguro como las medidas de protección que se implementan para mantenerlo así. Dado que se trata de su actividad principal, las empresas de servicios en la nube pueden invertir más fácilmente en una seguridad robusta, creando una infraestructura mejor.
Mito 15: Las nubes multitenant (públicas) son menos seguras que las nubes single-tenant (privadas)
Este mito sobre la seguridad en la nube parece lógico: los entornos utilizados por una única organización inquilina dedicada son más seguros que los entornos utilizados por varias organizaciones.
Sin embargo, esto no siempre es así. Los sistemas multitenant «proporcionan una capa adicional de protección del contenido... al igual que los inquilinos de un edificio de apartamentos que utilizan una llave para entrar en el edificio y otra para entrar en su apartamento individual, los sistemas multitenant requieren de forma única tanto seguridad perimetral como «a nivel de apartamento», seguridad», tal y como se afirma en un artículo de CIO sobre los mitos de la seguridad en la nube. Esto dificulta el acceso de hackers externos a su sistema.
¿Por qué SentinelOne para la seguridad en la nube?
El panorama actual de la nube exige un enfoque unificado y basado en la inteligencia artificial para la seguridad, y Singularity™ Cloud Security de SentinelOne está a la altura del desafío con su CNAPP sin agentes y basado en inteligencia artificial. Se trata de una plataforma única que ofrece una visibilidad profunda de todo su entorno (contenedores, Kubernetes, máquinas virtuales y cargas de trabajo sin servidor), lo que permite a los equipos de seguridad detectar y neutralizar las amenazas en tiempo real. Con CSPM sin agente, puede implementar en cuestión de minutos, eliminar configuraciones erróneas y garantizar el cumplimiento normativo en múltiples nubes, mientras que AI-SPM le permite descubrir canalizaciones y modelos de IA, y evaluar servicios de IA con comprobaciones de configuración avanzadas y Verified Exploit Paths™. Pero eso es solo el principio.
- CWPP ofrece una defensa activa basada en IA en cualquier entorno de nube o local, mientras que CDR proporciona telemetría forense granular y detección personalizable para una rápida contención y una respuesta experta a las incidencias. CIEM le permite reforzar los derechos y evitar la fuga de secretos. EASM descubre activos desconocidos y automatiza la gestión de la superficie de ataque externa, y Graph Explorer correlaciona visualmente las alertas en su nube, terminales y activos de identidad para evaluar el impacto de las amenazas de un vistazo. Al integrarse perfectamente con los procesos de CI/CD, SentinelOne aplica la seguridad shift-left desde el principio. Supervisa y detecta amenazas de forma continua con más de 1000 reglas predefinidas y personalizadas. KSPM garantiza la protección y el cumplimiento continuos para entornos contenedorizados y Kubernetes.
- SentinelOne utiliza hiperautomatización sin código, incluye un analista de seguridad con IA y ofrece inteligencia sobre amenazas de primer nivel.
- Una plataforma. Todas las superficies. Sin puntos ciegos. Cero falsos positivos.
Guía de mercados de la CNAPP
Obtenga información clave sobre el estado del mercado de CNAPP en esta guía de mercado de Gartner para plataformas de protección de aplicaciones nativas de la nube.
Guía de lecturaConclusión
Los líderes organizativos encargados de la seguridad de la computación en la nube deben comprender los conceptos erróneos comunes en torno a la seguridad de la computación en la nube. Aquellos que pueden distinguir entre los hechos y Mitos sobre la seguridad en la nube obtendrán mucho más de la computación en la nube y la utilizarán para impulsar su negocio y ayudar a sus clientes de forma segura y sostenible.
Las empresas que adopten tecnologías en la nube deben crear la solución de seguridad adecuada para defenderse de los riesgos basados en la nube y ayudar a proteger la superficie, los datos y los activos generales de la nube.
Preguntas frecuentes sobre mitos de la seguridad en la nube
No. Las plataformas en la nube invierten mucho en la seguridad de la infraestructura: centros de datos físicos, hipervisores y redes. Sus equipos actualizan los sistemas las 24 horas del día. De hecho, muchas nubes públicas cumplen con altos estándares de seguridad, como ISO 27001 y SOC 2. La clave está en cómo se configuran y utilizan esos servicios; la mayoría de las brechas de seguridad se deben a configuraciones incorrectas, no a la nube en sí.
En absoluto. En el modelo de responsabilidad compartida, los proveedores protegen la infraestructura subyacente, mientras que usted gestiona los datos, la identidad y la configuración. Usted elige las claves de cifrado, las políticas de acceso y los controles de red. Si se configura correctamente, usted mantiene el control total sobre quién puede ver o cambiar sus datos, incluso cuando se encuentran fuera de las instalaciones.
No. Los proveedores protegen los componentes «de la nube»: el hardware, el sistema operativo del host y las capas de virtualización. Usted es responsable de lo que hay «en la nube»: sus cargas de trabajo, datos, permisos de usuario y configuración de red. Ignorar su parte del modelo deja huecos que los atacantes pueden aprovechar, por lo que sigue siendo necesario aplicar las mejores prácticas de seguridad y una supervisión continua.
Las contraseñas ayudan, pero solo son una capa. La autenticación multifactor es esencial para detener el robo de credenciales. También necesita controles de acceso basados en roles, permisos justo a tiempo y supervisión de sesiones para protegerse contra el compromiso de las credenciales. La visibilidad continua de los patrones de inicio de sesión y las alertas de anomalías completan una defensa sólida.
No. Los marcos de cumplimiento enumeran los controles y auditorías necesarios, pero superar una comprobación de cumplimiento no garantiza que esté a salvo de nuevas amenazas. Sigue siendo necesario realizar un seguimiento en tiempo real, corregir las vulnerabilidades y responder a los incidentes. El cumplimiento normativo es una base mínima; la seguridad es una práctica continua que se adapta a medida que los atacantes cambian de táctica.
Los registros y las alertas son fundamentales, pero son reactivos por naturaleza. Se necesitan medidas proactivas (fortalecimiento de la configuración, análisis automatizados de configuraciones erróneas y gestión continua de la postura) para prevenir incidentes desde el principio. Las alertas deben vincularse a manuales de XDR o SOAR que contengan y aíslen las amenazas antes de que se agraven.
Las herramientas de seguridad nativas de la nube suelen utilizar un modelo de precios de pago por uso, lo que las hace asequibles para las pymes. Se evitan los grandes costes iniciales de hardware o software. Muchos proveedores incluyen funciones de seguridad integradas, como IAM, cifrado y detección básica de amenazas, sin coste adicional. Aprovecharlas y complementarlas con complementos específicos permite mantener los costes bajo control.
La seguridad Shift-Left se aplica igualmente bien en la nube. Al integrar comprobaciones de seguridad en plantillas de infraestructura como código y canalizaciones CI/CD, se detectan las configuraciones incorrectas antes de que se activen los recursos. Esto evita costosas correcciones en entornos activos y garantiza que los nuevos servicios se lancen con una configuración segura desde el primer día.
