Cuando una empresa migra a la nube suele darse por hecho que la seguridad viene incluida en la factura. Es una suposición cómoda y a la vez incompleta. La seguridad en la nube funciona como un contrato con dos firmas: el proveedor asegura una parte del sistema y el cliente asegura la otra, y casi todos los incidentes que acaban en titulares nacen justo en la frontera entre ambas.
El modelo de responsabilidad compartida
Los grandes proveedores de computación en la nube publican un reparto explícito de tareas. Ellos responden de la seguridad de la nube: centros de datos, hardware, red física, hipervisor y disponibilidad del servicio. El cliente responde de la seguridad en la nube: quién entra, con qué permisos, cómo se configuran los servicios y qué información se sube. Ese matiz de una sola preposición resume el problema entero. Si alguien deja un almacenamiento abierto a internet, el proveedor ha cumplido su parte y la brecha sigue siendo real.
Lo que el proveedor sí cubre
La infraestructura física de un proveedor serio está mejor protegida que la sala de servidores de casi cualquier empresa mediana. Redundancia eléctrica, control de acceso biométrico, cifrado del tráfico interno, parcheo del hardware y auditorías externas periódicas forman parte del servicio. Esa es, de hecho, la razón por la que migrar suele mejorar la postura de seguridad de una organización pequeña. El error consiste en creer que la mejora es automática y total.
Lo que sigue siendo tuyo
La gestión de identidades es la pieza que más incidentes evita y la que más se descuida. Cuentas con privilegios de administrador repartidas por comodidad, usuarios que se marcharon hace un año y siguen activos, claves de API guardadas en repositorios de código y ausencia de autenticación de dos factores explican una mayoría abrumadora de accesos indebidos. Ninguna de esas cosas la puede arreglar el proveedor por ti.
Las configuraciones incorrectas pesan más que los ataques sofisticados
La imagen del atacante rompiendo cifrados es buen cine y mal diagnóstico. En la práctica, la mayor parte de las exposiciones de datos en entornos cloud vienen de configuraciones por defecto que nadie revisó: un bucket público, un grupo de seguridad abierto al mundo entero, un registro de auditoría desactivado para ahorrar costes. Revisar la configuración con herramientas automáticas y repetir esa revisión cada trimestre cuesta poco y evita mucho.
Una copia de seguridad en la nube no es lo mismo que estar en la nube
Tener los datos alojados en un servicio remoto no equivale a tener una copia de seguridad en la nube. Si un fallo humano borra una carpeta o un ransomware cifra un recurso compartido, la replicación fiel del proveedor replicará también el desastre. Una copia útil está aislada, versionada, guardada en otra región o cuenta, y probada mediante restauraciones reales. Una copia que nunca se ha restaurado es una hipótesis, no una garantía.
Cifrado: la pregunta es quién guarda las llaves
Casi todos los servicios cifran los datos en reposo y en tránsito, así que la conversación interesante no es si hay cifrado sino quién custodia las claves. Cuando las gestiona el proveedor, la comodidad es máxima y el control es menor. Cuando las gestiona el cliente, el control aumenta y la responsabilidad operativa también, porque perder una clave equivale a perder la información. Para datos regulados, sanitarios o financieros, esa decisión debe tomarse antes de la migración y no después del primer susto.
Ciberseguridad para empresas: por dónde empezar
Un plan realista de ciberseguridad para empresas cabe en una página. Inventario de lo que tienes y de quién accede, doble factor obligatorio en todo lo que lo admita, permisos mínimos por defecto, registro de actividad activado, copias probadas y un procedimiento escrito para cuando algo falle. Las organizaciones que trabajan con proveedores externos deberían añadir una revisión periódica de esos accesos, porque la cadena de suministro se ha convertido en la vía de entrada preferida. Las compañías que basan sus decisiones en el análisis de datos acumulan además volúmenes de información sensible que multiplican el coste de cualquier descuido.
Las certificaciones de ciberseguridad siguen abriendo puertas
En un mercado laboral saturado de perfiles genéricos, las certificaciones de ciberseguridad orientadas a cloud siguen siendo el atajo más fiable para demostrar competencia. Las credenciales específicas de cada proveedor validan el manejo real de sus servicios, mientras que las certificaciones neutrales acreditan criterio y marco de trabajo. La combinación de ambas es lo que buscan los equipos que contratan, y es también la formación que más rápido se amortiza.
Cuidado con lo que subes a herramientas de terceros
Un riesgo cotidiano y poco vigilado es el de los servicios auxiliares. Documentos internos pegados en traductores gratuitos, contratos subidos a convertidores de archivos o informes procesados por asistentes automáticos salen del perímetro sin que nadie firme nada. Este análisis sobre cuándo es segura la traducción automática explica bien el problema: la herramienta puede ser excelente y aun así almacenar, registrar o reutilizar el texto que le entregas.
La formación es la parte que no se subcontrata
Se puede externalizar la infraestructura, la monitorización e incluso la respuesta ante incidentes. Lo que no se puede delegar es el criterio del equipo que toma decisiones a diario sobre permisos, configuraciones y datos. Por eso la inversión en formación técnica rinde más que casi cualquier herramienta añadida: las personas formadas configuran bien desde el principio, y una configuración correcta ahorra todas las alertas que nunca llegan a producirse.
