La cantidad de empresas que migran a la nube aumenta cada año debido a la flexibilidad y escalabilidad que ofrece como parte de los procesos empresariales; sin embargo algunos equipos de seguridad no están preparados y generan una brecha de ciberseguridad por falta de conocimientos específicos de cargas cloud; incrementando la cantidad de riesgos de sufrir un ciberataque en los entornos de la nube. Hoy la identidad es el nuevo muro de contención y exige un cambio de mentalidad y procesos hacia controles ágiles y continuo ajuste al mapa de riesgos.
La mayor preocupación de las empresas al migrar a un modelo en la nube es la ciberseguridad; así lo confirma el Estudio de Seguridad en la Nube 2025, en el que el 64% de los encuestados la consideran entre sus cinco principales prioridades de seguridad. De acuerdo con la investigación, que recopila las perspectivas sobre los desafíos de la seguridad en la nube de casi 3200 encuestados en 20 países; para el 55% los entornos en la nube son más difíciles de proteger que la infraestructura local. Aún así solo el 8% de los encuestados encripta el 80% o más de sus datos en la nube, lo que revela una urgente necesidad de proteger su uso eficazmente.
“Lo anterior demuestra que muchas organizaciones migran a la nube sin tener una estrategia de seguridad más amplia que contemple la importante cantidad de datos confidenciales que se manejan en la nube sin un cifrado, lo cual representa un enorme riesgo para las organizaciones. Aunque el uso del cifrado como medida de protección ya se emplea, existen otros aspectos que las empresas deberían considerar dentro de su estrategia de ciberseguridad para disminuir la vulnerabilidad a amenazas como filtraciones de datos y accesos no autorizados” explica Arturo Huesca, Consultor de Ciberseguridad en A3Sec, firma internacional especializada en ciberseguridad.
El gran reto de los CISOs y la deuda de ciberseguridad
La transición al cloud obliga a replantear el rol del CISO. Las empresas, enfocadas en el retorno de inversión, suelen demorar hasta siete meses en aprobar herramientas de detección o reacción, mientras que un ciberdelincuente puede atacar en horas o incluso minutos.
La cifra revelada en el Informe de seguridad en la nube 2025 de Check Point, respecto a que el 65% de las organizaciones experimentaron un incidente de seguridad en la nube; es un claro indicador de la brecha existente entre las necesidades de seguridad y las acciones que actualmente se implementan en las empresas, que necesitan adoptar medidas de seguridad proactivas, empezando por la implementación de sistemas de seguridad avanzados para identificar amenazas, así como la capacitación y concienciación frecuente a los colaboradores sobre la ciberseguridad, particularmente en entornos que trabajan en la nube o de manera híbrida.
A continuación compartimos algunos de los riesgos de seguridad más importantes en la nube y las mejores prácticas para cuidar de los activos de las empresas en entornos cloud.
-
Configuraciones incorrectas
La mala configuración de servicios cloud es una de las causas más frecuentes de exposición de datos sensibles, a menudo, son el eslabón inicial que permite a los atacantes acceder a sistemas sensibles. Estas malas configuraciones pueden ocurrir por descuido y una falta de aplicación de políticas de seguridad más estrictas.
-
Falta de control en los accesos y fuga de datos
No aplicar políticas de control de identidad puede permitir que usuarios no autorizados ingresen a información crítica. A menudo los accesos no autorizados y el robo de credenciales amenazan la integridad y la confidencialidad de los datos de las organizaciones; los atacantes aprovechan cuando existen credenciales débiles o identidades no verificadas para obtener acceso no autorizado a los recursos en la nube.
De igual forma la constante transferencia de información entre servicios y dispositivos aumenta el riesgo de pérdida o robo de datos.
-
Dependencia de externos
Confiar o depender totalmente de los servicios de un proveedor cloud no garantiza toda la seguridad que requiere una organización. De igual manera, cuando las empresas dependen de proveedores externos para servicios en la nube, existe una mayor probabilidad de fugas de datos e incumplimientos de las normas, que no ofrecen la seguridad propia para la cantidad de datos que se manejan en la nube.
Cultura de innovación y adaptación al negocio
Para A3Sec, la ciberseguridad en la nube debe nacer de la organización, no al revés. “Los modelos de seguridad tienen que adaptarse a cada negocio; no cabe un único molde”. Su estrategia gira en torno a 3 ejes:
-
Detección y respuesta en cloud.
-
Infraestructura como código para versionar y auditar cambios.
-
Capacitación y sensibilización continua de los equipos.
En este sentido se recomienda a las empresas adoptar algunas de las siguientes recomendaciones clave con un enfoque proactivo de ciberseguridad:
-
Auditorías continuas para detectar errores de seguridad, implementando controles automatizados para identificar desvíos de configuración y comportamientos irregulares.
-
Utilizar una política robusta de identificación, como la autenticación multifactor para proporcionar una mayor seguridad en el control de acceso. Al requerir muchos pasos de validación de identidad, resulta una de las formas más eficaces de proteger los entornos en la nube de ataques basados en credenciales.
-
Integrar Seguridad desde el Desarrollo (DevSecOps); mediante el escaneo de vulnerabilidades en imágenes de contenedor, la validación automática de Infrastructure as Code; y las revisiones de código seguras y pipelines con validaciones de seguridad.
-
El cifrado de datos o codificación en la nube, tanto en tránsito, en reposo y en uso; es una forma efectiva de garantizar la privacidad de la información; debido al algoritmo que transforma los datos en un formato codificado que requiere una clave de descifrado. Aunque algunos proveedores de almacenamiento en la nube ofrecen sus propias soluciones de cifrado; si no se monitorea el tráfico de estos proveedores se vuelve vulnerable a filtraciones.
-
Definir una estrategia de respuesta a incidentes en entornos en la nube; que incluya la elaboración de playbooks específicos para entornos cloud y llevar a cabo simulacros de ataques con herramientas controladas.
“Las organizaciones deben entender que la seguridad en la nube es una responsabilidad compartida. Por una parte el cloud tiene responsabilidades en cuanto a la seguridad en las capas físicas, de operación en el data center, y de infraestructura; sin embargo recae en el cliente unas capas más arriba, como seguridad en los datos, aplicaciones que ayuden a proteger no solo lo físico y ciertos elementos de operación, si no también elementos de servicio”, concluye Arturo Huesca
Con estas recomendaciones, las compañías mexicanas pueden anticiparse a las amenazas y responder con resiliencia, abrazando nuevas tecnologías sin temor.
Sobre A3Sec:
A3Sec empresa especializada en servicios de operación unificada de ciberseguridad, que consisten en la gestión integral de la seguridad del entorno digital de nuestros clientes, mediante la monitorización continua de cada activo digital, la prevención, detección y respuesta a posibles amenazas de ciberseguridad. Nos enfocamos en controlar de forma proactiva y reactiva las amenazas conocidas, emergentes y desconocidas de ciberseguridad.
Utilizando tecnologías de punta como el big data, la hiperautomatización y la inteligencia artificial, junto a la aplicación de una estrategia personalizada y mejora continua, nos enfocamos en evolucionar los modelos de ciberseguridad de las organizaciones constantemente para acelerar los negocios, mejorando la postura de ciberseguridad y reduciendo el Dwell time.
