Políticas de seguridad coherentes tanto en la nube como en las instalaciones
- La gestión híbrida de políticas mantiene un único conjunto de reglas definido que rige la aplicación tanto en las instalaciones como en la nube, con excepciones documentadas únicamente.
- La falta de coherencia en las políticas es la norma cuando los entornos se gestionan por separado, por lo que la prevención requiere un modelo operativo.
- Asigne responsables, controle cada cambio, implemente por fases y tenga preparada la opción de revertir los cambios.
- Un registro de excepciones y las comprobaciones de desviación programadas garantizan la coherencia entre la aplicación de las normas a nivel local y en la nube.
- Un único motor de políticas para todos los puntos de aplicación elimina la mayor parte del trabajo de sincronización y los errores de traducción.
La gestión híbrida de políticas de seguridad consiste en definir una política de seguridad una sola vez y aplicarla de forma coherente en todos los puntos de aplicación, ya sea una pasarela en un centro de datos, un dispositivo en una sucursal o un punto de presencia en la nube. El objetivo es que un usuario, un dispositivo, un tipo de datos o una aplicación reciban el mismo trato, independientemente del punto de aplicación que gestione el tráfico.
Este artículo forma parte de la guía sobre seguridad en la nube híbrida.
Por qué las políticas se desvían en entornos híbridos
La «deriva» se produce cuando una misma funcionalidad se implementa por separado en más de un lugar:
- Una pasarela local y un servicio en la nube con una sintaxis de reglas y unas bases de datos de categorías diferentes
- Excepciones añadidas con carácter de urgencia en un entorno y que nunca se han replicado en el otro
- Diferentes equipos responsables de las políticas de seguridad de redes, la nube y los datos
- Los diccionarios DLP se han actualizado en un canal, pero no en otro
- Modificaciones de emergencia realizadas directamente en los dispositivos al margen del proceso habitual
El resultado es que la seguridad depende del lugar en el que se encuentre el usuario en cada momento. Los auditores lo detectan, los atacantes lo aprovechan y la resolución de problemas se ralentiza porque nadie tiene claro qué política es la que se aplica. Las «Diez estrategias principales de mitigación de riesgos de seguridad en la nube» de la NSA y la CISA abordan esta cuestión de forma directa, con estrategias para una implementación automatizada y segura a través de la infraestructura como código, así como para hacer frente a las complejidades de los entornos híbridos y multinube.
Titularidad
Una política coherente comienza por una atribución clara de responsabilidades en cada ámbito de actuación, que debe establecerse antes de elegir las herramientas.
| Ámbito político | Propietario típico | Responsable de la aprobación |
|---|---|---|
| Acceso a la web y categorías | Equipo de seguridad de redes o de Internet | Dirección de seguridad y Recursos Humanos en materia de uso adecuado |
| Acceso privado a la aplicación | Equipo de identidad y acceso | Responsables de las aplicaciones |
| Protección de datos (DLP) | Equipo de seguridad de datos | Titulares de los datos, privacidad, cumplimiento normativo |
| Protección frente a amenazas | Operaciones de seguridad | Liderazgo en materia de seguridad |
| Descifrado y elusión de TLS | Equipo de seguridad web | Privacidad y aspectos legales |
| Excepciones | Solicitante: propietario de la empresa | Responsable del ámbito de política |
Cada norma debe tener un responsable y una justificación empresarial.
Control de versiones
Trate la política de seguridad como si fuera código, de modo que cada cambio se revise, se registre y sea reversible:
- Almacene las definiciones de las políticas en un sistema de control de versiones o utilice una plataforma que conserve el historial completo de versiones.
- Exija que se incluya una descripción, una referencia de ticket y el nombre de la persona encargada de autorizar cada modificación.
- Revise los cambios antes de la implementación, incluyendo una comparación con la versión actual.
- Se crean etiquetas para que se pueda identificar y restaurar cualquier estado de implementación.
Los controles de gestión de la configuración del NIST SP 800-53, Rev. 5, entre los que se incluyen la configuración de referencia (CM-2) y el control de cambios de configuración (CM-3), se aplican tanto a las políticas de seguridad como a los servidores. El NIST SP 800-128 describe prácticas de gestión de la configuración centradas en la seguridad que sirven de apoyo a dichos controles.
Puesta en marcha
Aplique los cambios en las políticas por fases, de modo que los problemas se detecten primero en un grupo reducido antes de que afecten a todo el mundo:
- Valide el proceso en un entorno de pruebas o mediante una herramienta de simulación de políticas.
- Canary para un grupo reducido de usuarios o para un único sitio web.
- Supervise las tasas de bloqueo, los errores y las incidencias del servicio de asistencia técnica comparándolas con los valores de referencia.
- Expándase por etapas en los distintos centros de datos y regiones de la nube.
- Compruebe que todos los puntos de aplicación informen de la nueva versión.
En el caso de cambios urgentes motivados por una amenaza, defina un procedimiento acelerado que permita registrar el cambio y sincronizarlo en todos los sistemas.
Excepciones
Las excepciones son los ámbitos en los que la coherencia se deteriora más rápidamente.
Mantenga un único registro de excepciones que abarque todos los entornos:
- Ámbito de aplicación: usuarios, grupos, destinos, clases de datos y canales
- Entornos: a qué puntos de aplicación se aplica la excepción
- Justificación y titular
- Fecha de vencimiento o de revisión
- Controles de compensación
Las excepciones deben crearse en la política central y propagarse; nunca deben configurarse directamente en dispositivos individuales.
Comprobaciones de deriva
La detección de desviaciones compara la política prevista con la que se ha implementado realmente.
- Comprobación de la versión: cada punto de aplicación comunica la versión activa de su política; se emite una alerta en caso de discrepancias.
- Comparación de configuraciones: exportar periódicamente la configuración implementada y compararla con la referencia aprobada.
- Prueba de comportamiento: Realice pruebas de URL y de aplicaciones en la pasarela local, y lleve a cabo pruebas de protección de datos en la ruta aplicada en la nube a la que reenvía la pasarela; a continuación, compare los resultados con la política que ha creado.
- Auditoría de excepciones: Compare las excepciones a nivel de dispositivo con el registro central.
Programe comprobaciones de la deriva al menos una vez a la semana y después de cada ventana de cambio.
Revertido
La reversión debería restablecer la versión anterior de la política en todos los puntos de aplicación en una sola operación.
- Tenga a mano la versión anterior de la política para volver a implementarla en todos los puntos de aplicación.
- Defina quién puede autorizar una reversión y en qué condiciones.
- Confirme que la reversión llegue a los puntos de aplicación tanto en la nube como en las instalaciones en una misma operación.
- Registre las reversiones indicando los motivos y realice un seguimiento mediante una revisión.
Modelos de sincronización
Existen cuatro modelos de sincronización, y el riesgo de desviación disminuye a medida que la gestión de las políticas se vuelve más unificada.
| Modelo | Cómo funciona | Riesgo de deriva |
|---|---|---|
| Gestión independiente | Cada entorno cuenta con su propia consola y sus propias normas | Alto |
| Sincronización mediante script | Herramientas para la exportación e importación de reglas entre plataformas | Medio; lagunas en la traducción y fallos de sincronización |
| Listas compartidas | Reglas independientes, pero con listas comunes de permitidos y bloqueados sincronizadas | Medio |
| Motor de políticas único | Una política aplicada en todos los puntos de control | Bajo |
Los motores de políticas únicas siguen necesitando comprobaciones de desviación, ya que los dispositivos pueden no actualizarse, pero eliminan la necesidad de traducción entre los distintos lenguajes de reglas.
Lista de comprobación para la gestión centralizada de políticas de seguridad
Utilice esta lista de comprobación para asegurarse de que la gestión de las políticas híbridas está bajo control.
- Cada ámbito normativo cuenta con un responsable y una persona encargada de su aprobación
- Todos los cambios en las políticas se controlan por versiones con referencias a tickets
- Los cambios se implementan por fases y se supervisan
- Un único registro de excepciones abarca todos los entornos
- Los puntos de control informan sobre las versiones activas de las políticas
- Las comprobaciones de deriva se realizan según un calendario y tras cada modificación
- La reversión está documentada y se ha sometido a pruebas
- Las pruebas sintéticas confirman que una política definida produce el resultado esperado en cada sesión, en el punto de aplicación que la gestiona
Cómo Skyhigh facilita la aplicación coherente de una política híbrida
Skyhigh garantiza la coherencia de la política híbrida al enviar un único conjunto de políticas, en forma de código, a todos los puntos de aplicación.
Skyhigh utiliza una arquitectura de «políticas como código» que aplica automáticamente las políticas en dispositivos físicos, sistemas virtuales y nodos en la nube, sin necesidad de una conciliación manual entre entornos (Skyhigh Security). Su SWG híbrido permite la migración con un solo clic de las políticas locales a la nube y la sincronización en tiempo real de las políticas unificadas, mientras que el seguimiento de reglas muestra qué política afectó al tráfico de un usuario concreto (Skyhigh Security). La actualización de la plataforma de marzo de 2026 incorporó una gestión unificada de políticas independiente de la ubicación y un marco de políticas programable y ampliable. A través de Skyhigh Hybrid SSE Mesh, la política se crea una sola vez en la consola en la nube y se aplica a todas las sesiones. Los controles de « Secure Web Gateway », «Zero Trust Access» y «Secure Browser» se aplican de forma nativa en la Secure Service Gateway local, mientras que los controles de seguridad DLP, CASB, DSPM, RBI y de IA se aplican a través de la nube de Skyhigh.
Fuentes
- NSA y CISA. Las diez principales estrategias de mitigación de riesgos de seguridad en la nube (7 de marzo de 2024). https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
- NIST. SP 800-53, rev. 5: Controles de seguridad y privacidad para sistemas de información y organizaciones. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
- NIST. SP 800-128: Guía para la gestión de la configuración de los sistemas de información centrada en la seguridad. https://csrc.nist.gov/pubs/sp/800/128/upd1/final
- Skyhigh Security. «Modernización de su solución Symantec Edge Secure Web Gateway con Skyhigh Hybrid SSE Mesh» (15 de julio de 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. «La adopción de la tecnología híbrida es ahora más sencilla gracias a la plataforma Skyhigh SSE» (3 de octubre de 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
- Skyhigh Security. «Skyhigh Security anuncia nuevas soluciones para reforzar su innovadora plataforma universal SSE» (24 de marzo de 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html