Más allá del CSPM: cómo subsanar las deficiencias en la seguridad de los datos en la nube

La gestión de la postura de seguridad en la nube (CSPM) se ha convertido en un control fundamental para identificar configuraciones erróneas en la nube, desviaciones de las políticas y ajustes inseguros en el plano de control; sin embargo, no aborda todas las cuestiones centradas en los datos que los equipos de seguridad necesitan resolver.

CSPM está diseñado para automatizar la evaluación del estado de seguridad y detectar desviaciones en entornos en la nube. Es capaz de identificar servicios expuestos, roles de IAM con privilegios excesivos, almacenamiento sin cifrar, instantáneas públicas e incumplimientos de políticas en AWS, Azure, Google Cloud y otras plataformas de IaaS. Esa capacidad es esencial. Los informes DBIR de Verizon siguen mostrando que los errores y las configuraciones erróneas siguen siendo factores importantes que contribuyen a las brechas de seguridad; la infografía del DBIR de 2024 indicaba que los errores representaban el 28 % de las brechas, siendo la configuración errónea un patrón de error habitual.

Sin embargo, las herramientas tradicionales de CSPM se centran en la configuración de la infraestructura y en la seguridad del plano de control, y no en el contenido ni en el grado de sensibilidad de los datos. No examinan en profundidad qué contienen los recursos de datos, cuál es el grado de sensibilidad de dichos datos ni quién puede acceder realmente a ellos a través de las distintas vías de acceso. Un depósito de almacenamiento puede cumplir con los requisitos desde el punto de vista de la configuración y, aun así, seguir exponiendo los registros de los clientes debido a permisos de acceso excesivamente amplios o a enlaces externos.

Esta laguna es importante porque el riesgo relacionado con los datos en la nube no se limita a las configuraciones erróneas evidentes. Muchas vías de ataque en la nube implican el uso de credenciales comprometidas y el abuso de cuentas válidas, y no solo errores técnicos de configuración. El marco MITRE ATT&CK documenta técnicas en las que los atacantes utilizan cuentas válidas en la nube para acceder a recursos y extraer datos hacia un almacenamiento en la nube. En esos escenarios, la infraestructura puede parecer correctamente configurada, mientras que los datos siguen expuestos. Fuente: https://attack.mitre.org/

La gestión de la seguridad de los datos en la nube requiere conocer dónde se almacenan los datos confidenciales, cómo se transfieren, quién puede acceder a ellos y cómo evoluciona su exposición a lo largo del tiempo. Esto implica ir más allá de las simples comprobaciones de seguridad y centrarse en la identificación, la clasificación, el análisis de la exposición y la supervisión continua en entornos de nube y SaaS, capacidades que definen un enfoque integral de gestión de la seguridad de los datos (DSPM).

Lo que hace bien el CSPM

CSPM destaca por su capacidad para detectar problemas en la infraestructura en la nube que suponen un riesgo a nivel del plano de control. Supervisa de forma continua las configuraciones en la nube comparándolas con los valores de referencia y los marcos de cumplimiento. Puede detectar problemas tales como:

• Almacenamiento de acceso público

• Roles con privilegios excesivos y permisos excesivos

• Recursos sin cifrar / cifrado desactivado

• Grupos de seguridad abiertos y servicios o bases de datos expuestos

• Incumplimientos de la política interna o de los requisitos normativos

Para los equipos de la nube, esa visibilidad resulta muy valiosa. Ayuda a identificar deficiencias en el refuerzo de la seguridad, a hacer cumplir las políticas y a reducir los riesgos habituales derivados de las desviaciones en la configuración. Además, permite realizar comprobaciones repetibles en múltiples proveedores de servicios en la nube, algo que resulta difícil de lograr manualmente a gran escala.

Las carencias del CSPM

La limitación radica en el alcance. El CSPM valida el entorno, pero no le indica qué contiene dicho entorno.

Un «bucket» puede superar todos los controles de configuración y, aun así, contener datos sujetos a regulación. Un espacio de trabajo colaborativo puede cumplir con los ajustes aprobados, mientras que un archivo confidencial se comparte con un público demasiado amplio. Una base de datos en la nube puede estar protegida en la capa de red, pero los usuarios de la aplicación, las cuentas de servicio o los permisos heredados pueden generar una exposición inesperada.

Por eso, el CSPM por sí solo no puede dar respuesta a las cuestiones que más preocupan a los equipos de seguridad:

• ¿Dónde se encuentran los datos sensibles?

• ¿De qué tipo de datos se trata?

• ¿Quién puede acceder a ella?

• ¿Cómo se está difundiendo?

• ¿Qué riesgos suponen un mayor peligro para la empresa?

Las soluciones tradicionales de CSPM también ofrecen una visibilidad limitada de los flujos de datos entre plataformas. Es posible que la herramienta que protege su entorno de AWS no tenga visibilidad sobre cómo se mueven los datos entre AWS y Microsoft 365, Salesforce u otros servicios en la nube. Asimismo, podría pasar por alto los repositorios «en la sombra» creados a través del almacenamiento personal en la nube, el uso no autorizado de SaaS o las exportaciones a herramientas de colaboración externas.

Por qué el contexto de los datos modifica el orden de prioridad

Los equipos de seguridad pueden tener que hacer frente a grandes volúmenes de resultados sobre el estado de seguridad, pero sin el contexto de los datos pueden tener dificultades para priorizar los riesgos de mayor impacto. Un entorno de pruebas de bajo riesgo con datos sintéticos no debería recibir la misma urgencia que un sistema de producción que contenga registros financieros de los clientes.

Esa distinción es la razón por la que la visibilidad basada en los datos es importante. Ayuda a diferenciar los problemas técnicos que son importantes de aquellos que son verdaderamente críticos para la empresa. Una alerta de almacenamiento público es grave, pero si el activo no contiene información confidencial, la respuesta puede diferir de la que se daría ante un repositorio expuesto de forma similar que contuviera registros sujetos a normativa o propiedad intelectual.

La gestión del acceso constituye otro punto ciego. El CSPM puede verificar que se hayan implantado políticas generales de infraestructura, pero no describe de forma exhaustiva cómo se acumulan los accesos a través de grupos, permisos de aplicaciones, recursos compartidos, acceso basado en tokens o integraciones de terceros. Con el tiempo, esas relaciones pueden generar vulnerabilidades que las comprobaciones básicas de la postura de seguridad no revelan.

Qué aporta la gestión de la postura de seguridad de los datos (DSPM)

La gestión de la postura de seguridad de los datos (DSPM) amplía la visibilidad desde la infraestructura hasta los datos. Se centra en detectar la información confidencial, clasificarla, comprender cómo queda expuesta y supervisar cómo evoluciona dicha exposición.

Una gestión sólida de la seguridad de los datos comienza con la identificación de los datos en los entornos de la nube y de SaaS. Es necesario identificar dónde se encuentran los datos, ya sea en el almacenamiento en la nube, en herramientas de colaboración o en aplicaciones autorizadas y no autorizadas.

A partir de ahí, la clasificación aporta el contexto empresarial. La inspección del contenido por sí sola no es suficiente; es necesario comprender los datos en términos de sensibilidad e impacto. Esto implica distinguir entre archivos comunes y registros sujetos a normativa, como la información de identificación personal (PII), los datos PCI, los documentos financieros o la propiedad intelectual.

A continuación, el análisis de exposición identifica las vías de acceso a los datos. Esto incluye los permisos, la configuración de uso compartido, los enlaces externos, el acceso heredado de grupos, la exposición de la API, las integraciones y el comportamiento de los usuarios. Asimismo, tiene en cuenta cómo un atacante podría acceder a los datos mediante el compromiso de una cuenta o la escalada de privilegios.

Por último, la supervisión continua garantiza que los cambios en el movimiento, el intercambio y el acceso a los datos se detecten en el momento en que se producen. En los entornos en la nube, la exposición puede variar rápidamente a medida que los equipos colaboran, automatizan y conectan nuevos servicios.

El CSPM y el DSPM son complementarios

El CSPM y el DSPM no son sustitutos. Resuelven problemas distintos y funcionan mejor en combinación.

CSPM protege la capa de infraestructura. Le indica si los recursos en la nube están configurados correctamente y si se han implementado los controles básicos. DSPM amplía la visibilidad a la capa de datos. Le indica qué datos sensibles existen, dónde están almacenados, quién puede acceder a ellos y cómo podrían quedar expuestos.

Esta visión global ofrece a los equipos de seguridad una respuesta más completa tanto a las cuestiones relacionadas con la infraestructura como con los datos. Además, permite priorizar mejor los riesgos, ya que el equipo puede relacionar una configuración incorrecta con los activos y los datos a los que realmente afecta.

Las organizaciones que aprovechan plataformas unificadas, como la solución integral Security Service Edge SSE) Skyhigh Security, pueden integrar una visibilidad centrada tanto en la infraestructura como en los datos para abordar todo el espectro de la gestión de datos en la nube y de los riesgos asociados a los datos.

Ejemplo práctico

Imaginemos un equipo de desarrollo que exporta código fuente a un almacenamiento en la nube con fines de colaboración. El CSPM podría indicar que la cuenta de almacenamiento está cifrada, es privada y cumple con las políticas de referencia. Desde el punto de vista de la infraestructura, esto parece aceptable.

Sin embargo, una visibilidad basada en los datos puede revelar una realidad diferente. El repositorio puede contener algoritmos propios, accesos obsoletos de contratistas o enlaces compartidos que nunca se han revocado. En ese caso, el riesgo no radica únicamente en la configuración de la nube, sino en la combinación de la configuración, el contenido y la vía de acceso.

Lo mismo ocurre con las herramientas de colaboración SaaS. Los archivos pueden almacenarse en aplicaciones autorizadas, pero compartirse con terceros, heredarse a través de la pertenencia a un grupo o ser accesibles mediante aplicaciones conectadas e integraciones de API. El CSPM no está diseñado para mapear esas relaciones de intercambio de datos con detalle.

Por qué los programas modernos en la nube necesitan ambas perspectivas

A medida que se generaliza el uso de la nube, los datos confidenciales se distribuyen entre un mayor número de servicios, identidades y canales de colaboración. Los controles de infraestructura siguen siendo necesarios, pero ya no son suficientes por sí solos.

Una estrategia de seguridad en la nube madura requiere una visibilidad unificada tanto de los planos de control como de los planos de datos. Esto implica combinar el CSPM con capacidades centradas en los datos que permitan detectar contenidos sensibles, identificar la exposición y facilitar una respuesta basada en el riesgo.

Las organizaciones que combinan estos enfoques pueden responder mejor a preguntas como:

• ¿Está configurado de forma segura el recurso en la nube?

• ¿Contiene datos confidenciales?

• ¿Pueden acceder a ella las personas adecuadas?

• ¿Se divulga a través de la función para compartir, integraciones o enlaces externos?

• ¿Qué problemas deben resolverse en primer lugar?

Esas preguntas definen la diferencia entre una configuración segura y una situación de seguridad de los datos.