Infraestructura segura en cloud

La nube no es segura por defecto: es segura si se configura

La mayoría de las brechas en AWS y Azure no explotan un fallo del proveedor. Explotan una configuración del cliente: un bucket abierto, un rol con permisos excesivos, una clave en el código, un grupo de seguridad con el puerto de administración expuesto a internet. El modelo de responsabilidad compartida deja esa parte en su tejado.

Qué normativa le obliga

• NIS2: seguridad en la adquisición y el mantenimiento de sistemas, y control sobre la cadena de suministro TIC.
• DORA: gestión del riesgo de proveedores TIC críticos para entidades financieras.
• ENS: obligatorio si presta servicios a la Administración Pública.
• RGPD: análisis de transferencias internacionales y del encargado del tratamiento (art. 28).
• ISO 27001 y PCI-DSS: control de accesos, cifrado y segmentación.

Qué hacemos

• Revisión de postura (CSPM). Auditamos su tenant completo contra los benchmarks del CIS y las guías del proveedor: identidades y permisos, redes y exposición, cifrado en tránsito y en reposo, registro y trazabilidad, copias de seguridad y recuperación.
• Diseño y despliegue seguro. Arquitectura con segmentación, mínimo privilegio, infraestructura como código y secretos gestionados. Landing zone bien construida desde el principio.
• Bastionado y corrección. No entregamos solo la lista de problemas: los cerramos con usted, priorizados por explotabilidad real.

Qué recibe

• Informe ejecutivo para dirección, con el riesgo en lenguaje de negocio.
• Informe técnico con cada hallazgo, su evidencia, su criticidad y cómo se corrige.
• Plan de remediación priorizado, con esfuerzo estimado.
• Matriz de trazabilidad frente a la normativa que le aplica.
• Sesión de presentación de resultados con su equipo técnico.

Preguntas frecuentes

• ¿Cuánto se tarda? Una revisión de postura de un tenant de tamaño medio son entre dos y tres semanas desde que tenemos accesos de solo lectura.
• ¿Necesitan credenciales de administrador? No. Trabajamos con un rol de solo lectura para la auditoría. El bastionado, si lo contrata, se ejecuta con usted delante.
• ¿Y si estamos en varias nubes? Se audita cada una con su propio marco de referencia y se entrega una visión consolidada.