**La complejidad de la estrategia multi-nube: Riesgos y soluciones**
La adopción del modelo multi-nube ha crecido de forma exponencial entre las empresas en los últimos años. Sin embargo, la mayoría de las organizaciones no han elegido esta estrategia de manera deliberada. La realidad es que muchas empresas se han encontrado en esta situación debido a una serie de adquisiciones, decisiones individuales de equipos y la necesidad de utilizar herramientas específicas. Por ejemplo, un equipo puede haber optado por Amazon Web Services (AWS) porque ya tenía experiencia en su uso, mientras que otro eligió Microsoft Azure por su integración con licencias existentes, y un tercero se decantó por Google Cloud Platform (GCP) simplemente porque a un desarrollador le gustaban sus herramientas.
Este enfoque fragmentado plantea un problema significativo: nadie ha diseñado una estrategia coherente ni se ha atribuido la responsabilidad de gestionar las intersecciones entre estas plataformas. Este es el verdadero riesgo. No se trata de un solo proveedor de nube, sino de las costuras donde se encuentran.
Cada proveedor de nube opera con su propio modelo de gestión de identidad y acceso (IAM), establece configuraciones por defecto distintas y utiliza diferentes formas de estructurar permisos y recursos. Por lo tanto, una política de seguridad que es infalible en AWS no necesariamente tiene el mismo significado en Azure, incluso cuando ambos parecen conceptualmente similares en la teoría. Las organizaciones que asumen que hay paridad entre los proveedores, creyendo que “hemos asegurado esto en una nube” equivale a “lo hemos asegurado en todas partes”, a menudo se encuentran en un error sin darse cuenta, ya que los modelos subyacentes simplemente no son compatibles en su totalidad.
Esta preocupación no es meramente hipotética. Es una realidad silenciosa detrás de muchos de los incidentes que se reportan después de que ocurren: no se trata de un fallo dramático, sino de una brecha entre dos sistemas que nadie se encargó de verificar. Cuando diferentes equipos aprovisionan infraestructura en distintas nubes de manera independiente, los inventarios de activos se desincronizan rápidamente. Un entorno de prueba creado en un proveedor para un proyecto que finalizó hace meses no desaparece por sí solo.
Permanece allí, fuera de cualquier panel de control que el equipo de seguridad esté monitoreando, hasta que se convierte en el tipo de recurso pasado por alto que aparece una y otra vez en incidentes provocados por configuraciones incorrectas. El problema no es que un equipo haya actuado de manera descuidada; es que nadie tenía una visión completa de lo que existía en todos los entornos simultáneamente.
La visibilidad es otra víctima de la expansión multi-nube. Cada proveedor registra diferentes eventos por defecto, en formatos distintos, y los retiene durante diferentes períodos de tiempo. Un equipo de seguridad que ha construido su canal de detección en torno a las convenciones de registro de un proveedor puede tener importantes puntos ciegos en relación a los otros, y la brecha a menudo no es evidente hasta que una investigación revela que los datos necesarios simplemente no están disponibles o fueron eliminados antes de que alguien pensara en buscarlos.
Este es precisamente el problema que busca resolver la certificación Certified Cloud Security Professional (CCSP) del International Information System Security Certification Consortium (ISC2). Esta credencial abarca seis dominios, incluyendo la seguridad de plataformas e infraestructuras en la nube y la seguridad de datos en la nube, construidos específicamente en torno a la idea de que “la seguridad en la nube” no es una habilidad vinculada a un único proveedor; es una manera de pensar que debe mantenerse válida independientemente del proveedor en cuestión.
Rob Witcher, cofundador de Destination Certification, señala: “Las costuras entre nubes son donde realmente reside la mayor parte de este riesgo, no dentro de un único proveedor”. Un equipo puede ser excelente asegurando AWS y Azure por separado y aun así tener una brecha enorme entre ambos, porque el trabajo de nadie consiste en observar ambos conjuntos de datos al mismo tiempo. Esta es la brecha que la formación de CCSP está diseñada para cerrar: no se trata de conocimientos específicos de un proveedor, sino del juicio necesario para identificar el riesgo a través de todos ellos simultáneamente.
Todo esto no implica abandonar el enfoque multi-nube o consolidarse en un único proveedor, lo cual generalmente no es realista una vez que una organización ha crecido en este sentido. Se requieren algunos cambios deliberados: una vista consolidada que muestre activos y configuraciones a través de cada proveedor en un solo lugar, en lugar de tres paneles separados que nadie cruce.
Es fundamental aplicar estándares de registro de manera consistente, en lugar de heredar accidentalmente configuraciones de lo que cada proveedor ofrece por defecto. También es crucial designar a una persona responsable de los riesgos en la nube cruzada, cuya función sea examinar las costuras, en lugar de que tres equipos diferentes asuman que la brecha entre sus nubes es un problema de otro.
Además, es recomendable poner a prueba si esas brechas son realmente explotables, en lugar de suponer que los controles funcionan correctamente. Esto es parte de la razón por la cual los compromisos de equipos de “red team” incluyen cada vez más escenarios multi-nube, en lugar de evaluar cada entorno de forma aislada como se hacía anteriormente.
El objetivo subyacente de todo esto es menos acerca de cualquier control específico y más sobre construir una verdadera resiliencia en un entorno que es inherentemente más fragmentado que cualquier configuración de nube única. El enfoque multi-nube no es una fase de la que la mayoría de las empresas vayan a salir. El error no radica en operar múltiples nubes. El problema es asumir que asegurar cada una de ellas por separado se traduce en asegurar todas juntas. Esto no es así, y la brecha entre ellas es precisamente donde es más probable que comience el próximo incidente silencioso.
Con la proliferación de las nubes y su complejidad, es esencial que las organizaciones adopten un enfoque proactivo y estratégico para gestionar los riesgos asociados, asegurándose de que todas las partes de su infraestructura en la nube estén debidamente supervisadas y protegidas.