Post actualizado el día octubre 28, 2026 by DeiviSanzPlay
Las preguntas que de verdad llegan a un CISO cuando migra a la nube
Después de años acompañando migraciones a AWS, Azure y Google Cloud, hay un patrón claro: las dudas técnicas profundas se responden rápido, pero las que generan fricción en el comité de dirección son otras. Estas son las que aparecen una y otra vez, con respuestas concretas y sin promesas vacías.
¿El proveedor cloud ya me protege? ¿Qué queda de mi responsabilidad?
No del todo. El modelo de responsabilidad compartida es el punto donde más empresas se confunden. El proveedor protege la infraestructura física, la red troncal y los hipervisores; tú sigues siendo responsable de la configuración, las identidades, los datos y los accesos. Un ejemplo habitual: un bucket de S3 mal configurado expuesto públicamente no es un fallo de AWS, es un fallo de configuración del cliente. Según estudios del sector, la mala configuración sigue siendo una de las principales causas de brechas en entornos cloud.
¿Necesito un SIEM propio o me basta con las herramientas nativas del cloud?
Depende de la madurez y del número de nubes. Si operas solo en Azure con Microsoft Sentinel integrado, tiene sentido aprovecharlo. Si tienes cargas en dos o tres proveedores y un datacenter propio, las herramientas nativas se quedan cortas porque cada consola habla un idioma distinto. Aquí un matiz que solo se aprende operando: los costes de ingesta de logs en un SIEM cloud pueden desbordar el presupuesto si no se filtran eventos en origen. Muchas empresas descubren esto el primer mes con la factura.
¿Cifrar los datos en el cloud es suficiente para cumplir con normativa?
Cifrar resuelve parte del problema, no todo. El cifrado en reposo con claves gestionadas por el proveedor es cómodo pero limita el control; con claves propias (BYOK o HSM externo) ganas soberanía pero complicas la operación. Para sectores regulados (banca, salud, sector público) conviene revisar además dónde residen las claves y quién puede acceder a ellas. El cifrado no sustituye controles de acceso ni auditoría.
¿Cómo evito que un empleado con privilegios altos comprometa todo el entorno?
Con tres medidas que rara vez se aplican juntas: principio de mínimo privilegio real (no de boletín), autenticación multifactor obligatoria sin excepciones y rotación de credenciales automatizada. Un error frecuente: mantener cuentas de servicio con permisos de administrador porque «así funciona el despliegue». Esas cuentas son el objetivo favorito de los atacantes precisamente porque nadie las revisa.
¿Vale la pena un CSPM o es marketing?
Un CSPM (Cloud Security Posture Management) detecta configuraciones inseguras de forma continua. Funciona bien si tienes equipos dedicados a revisar alertas; si no, genera ruido y se ignora. Esto no funciona para organizaciones sin un proceso claro de gestión de hallazgos: acabarás con cientos de alertas sin priorizar. La herramienta no sustituye al criterio humano.
¿Qué pasa con el cumplimiento si el proveedor cambia de región?
Los grandes proveedores permiten fijar regiones y bloquear movimientos, pero conviene revisar los contratos y las cláusulas de subencargados. En entornos con datos personales bajo RGPD, la transferencia internacional exige garantías específicas. No hay atajo: hay que leer el DPA y verificar dónde se procesan los datos, incluidos los servicios de soporte.
¿Cuánto tardo en tener visibilidad razonable?
Sin datos inventados: depende del tamaño. Una pyme con una sola cuenta cloud puede tener inventario y alertas básicas en semanas; una multinacional con decenas de cuentas tarda meses. Prometer plazos cerrados sin conocer el entorno es una señal de alarma.
¿Y si el proveedor sufre un incidente?
Ten un plan de respuesta que no dependa de la consola del proveedor. Si tu único canal de acceso es el portal cloud y ese portal cae, necesitas procedimientos alternativos documentados. Muchas empresas descubren esta dependencia durante un simulacro, no antes.
La ciberseguridad cloud no es un producto que se compra y se instala: es una disciplina operativa que combina configuración, identidades, monitorización y personas. Quien te venda una solución única para todo probablemente no ha gestionado un incidente real.
Perfiles verificables: Sitio web
Publicado el 28 de October de 2026. Última revisión: 28 de October de 2026.
