Lección 15 de 16 · Nivel 4: Experto
Seguridad en la nube y en el trabajo remoto
- ⏱ 14 min de lectura
- ❓ 4 preguntas de repaso
- ✍️ Ejercicio con solución
En esta lección
- Entender el modelo de responsabilidad compartida en IaaS, PaaS y SaaS.
- Reconocer los errores de configuración más comunes en la nube y cómo evitarlos.
- Proteger las cuentas de administración, los enlaces compartidos y las copias de tus servicios en la nube.
- Aplicar los principios de confianza cero y comparar una VPN tradicional con el acceso de confianza cero.
- Trabajar de forma segura desde casa, un café o un coworking, con equipos propios o de la empresa.
Hoy el correo, los documentos, la contabilidad y hasta los servidores de muchas pymes viven en la nube, y su equipo trabaja desde cualquier lugar. Esto trae ventajas enormes, pero cambia dónde está el riesgo: ya no hay una oficina con un firewall que lo proteja todo. El proveedor de nube cuida su infraestructura, pero tus datos, tus cuentas y tu configuración siguen siendo tu responsabilidad. En esta lección aprenderás qué te toca a ti, cómo evitar los errores más comunes y cómo trabajar en remoto sin abrir puertas.
- Responsabilidad compartida
- Errores comunes en la nube
- Buenas prácticas
- Confianza cero
- Trabajo remoto seguro
El modelo de responsabilidad compartida
Cuando contratas un servicio en la nube, la seguridad se reparte entre el proveedor y tú. Cuánto te toca depende del modelo:
- IaaS (infraestructura como servicio): alquilas servidores virtuales, redes y almacenamiento. Tú administras el sistema operativo y todo lo que instalas.
- PaaS (plataforma como servicio): el proveedor gestiona el sistema operativo y la plataforma; tú subes tu aplicación y tus datos.
- SaaS (software como servicio): usas una aplicación lista, como un correo corporativo, un CRM o un sistema contable en línea.
| Capa | IaaS | PaaS | SaaS |
|---|---|---|---|
| Datos y su clasificación | Tú | Tú | Tú |
| Identidades, cuentas y permisos | Tú | Tú | Tú |
| Configuración de la aplicación | Tú | Tú | Compartida (tú configuras las opciones) |
| Aplicación y su código | Tú | Tú | Proveedor |
| Sistema operativo y parches | Tú | Proveedor | Proveedor |
| Red e infraestructura física | Proveedor | Proveedor | Proveedor |
La lectura más importante de esta tabla es la parte de arriba: en ningún modelo el proveedor decide quién accede a tus datos ni con qué contraseña. La mayoría de los incidentes en la nube no se deben a fallas del proveedor, sino a cuentas sin doble factor, permisos excesivos y configuraciones abiertas por error.
1. Una empresa usa un correo corporativo en la nube (SaaS). Un empleado sin doble factor cae en un phishing y le roban la cuenta. Según el modelo de responsabilidad compartida, ¿de quién era la responsabilidad de proteger esa cuenta?
El proveedor ofrece el doble factor, pero activarlo y exigirlo es tarea del cliente. Identidades, permisos y datos son responsabilidad del cliente en IaaS, PaaS y SaaS.
Los errores más comunes en la nube
Contenido público por error
Carpetas compartidas con "cualquiera que tenga el enlace" o almacenamiento configurado como público.
Defensa: compartir por defecto solo dentro de la organización y revisar los enlaces públicos cada trimestre.Cuenta principal desprotegida
La cuenta raíz o de superadministrador sin doble factor, usada para el trabajo diario.
Defensa: llave FIDO2, uso solo para emergencias y alertas cada vez que se usa.Llaves y secretos expuestos
Claves de acceso a la nube escritas en el código, en documentos o subidas a repositorios públicos.
Defensa: gestores de secretos, claves con permisos mínimos y rotación.Nube en la sombra
Aplicaciones que los equipos contratan o usan por su cuenta, sin que nadie sepa qué datos hay ahí.
Defensa: inventario de aplicaciones, inicio de sesión único y una forma fácil de pedir herramientas nuevas.Buenas prácticas para tu nube
Muchos servicios SaaS guardan los elementos borrados solo durante un tiempo limitado y no protegen contra un borrado masivo hecho con una cuenta comprometida o un error de sincronización. Revisa las condiciones de tu proveedor y aplica la regla 3-2-1 de la lección 7 también a tus datos en la nube.
Confianza cero: nunca confíes, verifica siempre
El modelo tradicional era un castillo con foso: todo lo que estaba dentro de la red de la oficina era de confianza. Con la nube y el trabajo remoto, ya no hay un "dentro" claro. La confianza cero (zero trust), descrita por NIST en su publicación SP 800-207, propone otra lógica: ningún usuario ni dispositivo es de confianza por el solo hecho de estar en una red; cada acceso a cada recurso se verifica según la identidad, el estado del dispositivo y el contexto, con el mínimo privilegio, y se asume que un atacante podría estar ya dentro.
- Cómo funciona
- Una vez conectado, el equipo queda "dentro" de la red de la empresa y puede llegar a muchos sistemas.
- Riesgo
- Si la cuenta o el equipo están comprometidos, el atacante puede moverse por la red.
- Ideal si
- Necesitas acceder a pocos sistemas internos y la combinas con doble factor y segmentación.
- Cómo funciona
- Cada acceso se autoriza para una aplicación concreta, verificando identidad, dispositivo y contexto en cada sesión.
- Riesgo
- Menor movimiento lateral: una cuenta robada solo llega a lo que esa persona necesita.
- Ideal si
- Tu equipo trabaja en remoto y usa sobre todo aplicaciones web y en la nube.
Para una pyme, aplicar confianza cero no exige comprar un producto: empieza por doble factor en todo, inicio de sesión único, permisos mínimos, equipos gestionados y actualizados, y reglas de acceso condicional (por ejemplo, permitir el acceso a la contabilidad solo desde equipos de la empresa).
2. ¿Qué principio resume mejor la confianza cero?
La confianza cero elimina la confianza implícita por estar "dentro" de la red y verifica cada acceso. La VPN puede ser parte de la solución, pero no la reemplaza.
Trabajo remoto seguro
| Tema | Riesgo | Buena práctica |
|---|---|---|
| Equipo de trabajo | Equipos personales sin actualizar, compartidos con la familia | Equipo de la empresa gestionado, o equipo personal registrado en una herramienta de gestión de dispositivos con requisitos mínimos (cifrado, bloqueo, actualizaciones) |
| Red de casa | Router con contraseña de fábrica, cámaras en la misma red | Aplicar los 10 ajustes de la lección 5 y separar los dispositivos inteligentes |
| Lugares públicos | Pantallas visibles, llamadas escuchadas, Wi-Fi falso | Filtro de privacidad, auriculares, datos móviles o VPN y bloqueo de pantalla al levantarte |
| Videollamadas | Reuniones abiertas, grabaciones sin control, documentos compartidos por error | Sala de espera, enlaces privados, compartir solo una ventana y avisar si se graba |
| Cuentas personales | Documentos de trabajo en el correo o la nube personal | Usar solo las herramientas de la empresa para información de la empresa |
| Papel e impresión | Documentos de clientes en la casa o en la impresora compartida | Imprimir lo mínimo y destruir el papel con datos personales |
Caso: una agencia de marketing 100% remota en Ciudad de México
Diego hizo una revisión de la nube de la agencia. Solo 22 de 30 cuentas tenían doble factor (73,3%). Descubrió 18 aplicaciones en la nube con datos de clientes, de las que solo 7 estaban aprobadas: 11 (61,1%) eran nube en la sombra. Y había 340 documentos compartidos con "cualquiera que tenga el enlace", 120 de ellos con datos de clientes. En un mes activó el doble factor obligatorio, conectó las aplicaciones aprobadas al inicio de sesión único, migró y cerró las no aprobadas, y limpió los enlaces.
Los enlaces públicos bajaron un 86,8% y ninguno de los 45 restantes contiene datos de clientes: son materiales de campañas ya publicadas.
3. En otra empresa, 9 de 24 cuentas no tienen doble factor. ¿Qué porcentaje de cuentas sí lo tiene?
Con doble factor hay 24 − 9 = 15 cuentas. 15 ÷ 24 = 0,625, es decir, 62,5%. El 37,5% es la proporción sin doble factor.
Errores comunes
Creer que "está en la nube, así que el proveedor se encarga de la seguridad".
Datos, cuentas y configuración son siempre tu responsabilidad.
Usar la cuenta de superadministrador para el trabajo diario.
Cuentas de administración separadas, con llave física y solo para administrar.
Prohibir toda herramienta nueva sin ofrecer alternativas.
Un proceso rápido para aprobar herramientas evita la nube en la sombra.
Trabajar con datos de clientes en la laptop familiar compartida.
Equipo de trabajo gestionado, o al menos un perfil separado con cifrado y bloqueo.
4. Una empresa contrata servidores virtuales (IaaS) en la nube. ¿Quién debe aplicar los parches del sistema operativo de esos servidores?
En IaaS, el proveedor protege la infraestructura física y la virtualización, pero el sistema operativo y todo lo que se instala encima lo administra el cliente. En PaaS y SaaS, el sistema operativo pasa a manos del proveedor.
Ejercicio práctico
Un estudio de arquitectura en Santiago de Chile, con 10 personas que trabajan dos días en la oficina y tres en casa, va a dejar su servidor de archivos y pasar todo a un servicio de documentos en la nube (SaaS). Hoy cada uno usa su laptop personal, comparten una cuenta de administrador y envían planos a clientes por enlaces públicos.
- Indica qué responsabilidades tendrá el estudio y cuáles el proveedor.
- Propón cinco medidas para la migración.
Ver solución
- Proveedor: infraestructura física, red, sistema operativo de los servidores y la aplicación. Estudio: sus datos (planos y documentos de clientes), las cuentas y permisos, la configuración del servicio (opciones de compartir, retención) y los dispositivos desde los que se accede.
-
- Una cuenta por persona con doble factor obligatorio; la cuenta de administrador, separada y con llave física, para dos personas como máximo.
- Compartir por defecto solo dentro del estudio; para clientes, enlaces con caducidad o acceso con su correo, nunca públicos sin control.
- Carpetas por proyecto con permisos por rol y revisión trimestral.
- Requisitos mínimos para las laptops personales: cifrado, bloqueo, actualizaciones y antimalware, o un perfil de trabajo separado gestionado por el estudio.
- Copias de seguridad del servicio en la nube según la regla 3-2-1, registros de auditoría activados y alertas de accesos inusuales.
Resumen
- En la nube la seguridad es compartida, pero los datos, las identidades y los permisos siempre son tuyos.
- Los errores más comunes son contenido público por error, cuentas principales sin doble factor, secretos expuestos y nube en la sombra.
- Protege la cuenta raíz, activa doble factor y registros, revisa enlaces y haz copias de tus servicios SaaS.
- La confianza cero verifica cada acceso según identidad, dispositivo y contexto, con mínimo privilegio.
- El trabajo remoto seguro combina equipos gestionados, red doméstica configurada y hábitos en lugares públicos y videollamadas.
En la próxima lección: Certificaciones (CC de ISC2, Security+) y carrera en ciberseguridad. Conocerás los roles de la profesión, las certificaciones de entrada con sus datos actualizados y un plan para conseguir tu primer trabajo.
Crea tu cuenta en 30 segundos, marca tus lecciones y descarga el certificado al terminar.