Gestión de la postura de seguridad en la nube (CSPM)

Cloud Security Posture Management evalúa continuamente las configuraciones de la infraestructura en la nube comparándolas con referencias de seguridad y marcos de cumplimiento. Las herramientas de CSPM detectan recursos automáticamente, identifican configuraciones incorrectas y priorizan la remediación en entornos multicloud.

Los analizadores de vulnerabilidades tradicionales evalúan el software que se ejecuta en los hosts. Las herramientas de CSPM evalúan el plano de control de la nube —políticas de IAM, configuraciones de red, permisos de almacenamiento y ajustes de registro— para encontrar riesgos de configuración antes de que sean explotados.

Security Hub agrega hallazgos de servicios de AWS (GuardDuty, Inspector, Macie) y de herramientas de terceros. Asigna los hallazgos a referencias de CIS, NIST y PCI-DSS, y proporciona un dashboard unificado con puntuaciones de gravedad y orientación para la remediación.

Prowler es una herramienta de CSPM gratuita y de código abierto que ejecuta más de 400 comprobaciones en entornos de AWS. Ejecútela desde la CLI o una canalización de CI/CD para generar informes HTML/JSON/CSV basados en CIS, NIST, SOC2 y otros marcos.

Azure Defender for Cloud proporciona CSPM para entornos de Azure, AWS y GCP. Secure Score mide la postura de cumplimiento, las recomendaciones se priorizan según su impacto y las opciones de remediación automática reducen el trabajo manual para las configuraciones incorrectas habituales.

SCC centraliza los hallazgos de seguridad de los servicios de GCP. Los detectores integrados encuentran buckets públicos, reglas de firewall abiertas y brechas en los registros de auditoría. El nivel Premium añade detección de amenazas y evaluación de vulnerabilidades para máquinas virtuales de GCE e imágenes de contenedor.

CIS Benchmarks proporciona orientación prescriptiva para reforzar AWS, Azure y GCP. NIST 800-53 establece correspondencias con controles de nube. Las herramientas de CSPM puntúan el cumplimiento respecto a estas referencias y crean métricas medibles de la postura de seguridad a lo largo del tiempo.

No todos los hallazgos tienen la misma importancia. Priorice según la criticidad del activo, la facilidad de explotación, la exposición (orientada a Internet o interna) y la sensibilidad de los datos. Un bucket de S3 público que contiene información personal identificable obtiene una puntuación mucho mayor que una brecha de registro en una cuenta de desarrollo.

Las herramientas de CSPM detectan desviaciones de configuración: situaciones en las que un recurso era seguro, pero un cambio hizo que dejara de cumplir los requisitos. La supervisión continua detecta cambios de configuración manuales que omiten las canalizaciones de IaC. Configure alertas para las desviaciones y aplique los principios de la infraestructura inmutable.

Aplique CSPM desde las primeras etapas mediante el análisis de plantillas de Terraform y CloudFormation antes de la implementación, con herramientas como Checkov, tfsec o cfn-nag. Detectar comodines de IAM o grupos de seguridad abiertos durante la revisión de los PR evita que las configuraciones incorrectas lleguen a producción.

Prisma Cloud, Wiz y Orca Security ofrecen CSPM unificado para AWS, Azure y GCP. La visibilidad centralizada es fundamental para las organizaciones que utilizan varios proveedores de nube, ya que evita puntos ciegos y una aplicación incoherente de las políticas.

¿Cuál es la principal diferencia entre CSPM y el análisis tradicional de vulnerabilidades?

Las herramientas de CSPM auditan continuamente la infraestructura de la nube comparándola con referencias de seguridad, detectan configuraciones incorrectas antes de que sean explotadas y proporcionan orientación priorizada para la remediación. Combinado con el análisis temprano en CI/CD, CSPM crea una postura de seguridad de la nube proactiva.