¿Qué es este servicio?What is this service?

Es la evaluación de seguridad de un entorno en AWS, Azure o Google Cloud: permisos de identidad, almacenamiento expuesto, configuración de red, contenedores y funciones sin servidor, contrastada contra los CIS Benchmarks del proveedor.

A security assessment of an AWS, Azure or Google Cloud environment: identity permissions, exposed storage, network configuration, containers and serverless functions, benchmarked against the provider's CIS Benchmarks.

¿Para qué se usa?What is it used for?

Importa porque en la nube los incidentes casi nunca vienen de una vulnerabilidad del proveedor sino de cómo la configuró la organización. Se revisan los permisos excesivos, que son el problema dominante, junto con el almacenamiento accesible sin autenticación y las rutas de escalada entre roles.

It matters because cloud incidents almost never come from a provider vulnerability but from how the organisation configured it. The assessment reviews excessive permissions, the dominant problem, along with storage reachable without authentication and escalation paths between roles.

Qué beneficios traeBenefits it delivers

Encuentra permisos excesivos y roles que permiten escalar hasta el control total de la cuenta.
Detecta almacenamiento expuesto, que sigue siendo una de las causas más frecuentes de filtración masiva.
Examina la separación entre ambientes, donde es común que producción y pruebas compartan más de lo que deberían.
Aclara el modelo de responsabilidad compartida: qué asegura el proveedor y qué corresponde al cliente.

Finds excessive permissions and roles allowing escalation to full account control.
Detects exposed storage, still one of the most frequent causes of mass data leaks.
Reviews environment separation, where production and test commonly share more than they should.
Clarifies the shared responsibility model: what the provider secures and what falls to the customer.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

No hay obligación legal específica en Costa Rica.
El perfil tecnológico del Acuerdo CONASSIF 5-24 ahora incluye una tabla dedicada a nube, así que las entidades supervisadas deben tener ese inventario y su control al día.
Si hay datos personales en la nube, la Ley 8968 sigue aplicando aunque la infraestructura sea de un tercero.

There is no specific legal obligation in Costa Rica.
The technology profile under CONASSIF Agreement 5-24 now includes a dedicated cloud table, so supervised entities must keep that inventory and its controls current.
If personal data sits in the cloud, Law 8968 still applies even though the infrastructure belongs to a third party.

InternacionalInternational

PCI-DSS aplica igual en la nube: si el entorno de datos de tarjeta está allí, entra en el alcance del pentest.
El RGPD exige garantías sobre el encargado del tratamiento y sobre las transferencias internacionales, que en nube son la norma.
Cada proveedor tiene su propia política sobre pruebas de seguridad, y hay que respetarla.

PCI-DSS applies in the cloud too: if the cardholder data environment lives there, it falls within the testing scope.
The GDPR requires guarantees regarding the processor and international transfers, which are the norm in cloud.
Each provider has its own security testing policy and it must be respected.

Requisitos mínimosMinimum requirements

Autorización del titular de la cuenta y revisión de la política de pruebas del proveedor.
Un rol de solo lectura con permisos de auditoría sobre la configuración, que es donde está la mayor parte del hallazgo.
Inventario de cuentas, suscripciones o proyectos en alcance.
Claridad sobre qué servicios son gestionados por el proveedor, porque ahí el alcance cambia.

Authorisation from the account owner and review of the provider's testing policy.
A read-only role with audit permissions over the configuration, where most findings live.
An inventory of in-scope accounts, subscriptions or projects.
Clarity on which services are provider-managed, since that changes the scope.

Plazo típico de entregaTypical delivery time

2 a 4 semanas 2 to 4 weeks rango habitual del mercado usual market range

El rango habitual del mercado va de dos a cuatro semanas según la cantidad de cuentas y servicios. Una sola cuenta con arquitectura sencilla se cubre en una semana; un entorno multicuenta con varias regiones y contenedores se va a cinco o seis.

The usual market range runs from two to four weeks depending on the number of accounts and services. A single account with a simple architecture is covered in a week; a multi-account estate across regions with containers stretches to five or six.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

IAMIAM

Gestión de identidades y accesos: quién puede hacer qué dentro de la nube. Es el corazón del riesgo. Identity and Access Management: who can do what inside the cloud. It is the heart of the risk.

CIS BenchmarksCIS Benchmarks

Guías de configuración segura por producto, publicadas por el Center for Internet Security. Secure configuration guides per product, published by the Center for Internet Security.

Responsabilidad compartidaShared responsibility

Modelo que reparte la seguridad entre el proveedor de nube y el cliente. Confundir el reparto es la causa de muchos incidentes. Model splitting security between cloud provider and customer. Misreading the split causes many incidents.

ServerlessServerless

Funciones que se ejecutan sin que el cliente administre el servidor. El riesgo se traslada al código y a los permisos. Functions that run without the customer managing a server. The risk shifts to the code and its permissions.

PentestPentest

Prueba de intrusión: se ataca el sistema con autorización previa y por escrito, para encontrar lo que encontraría un atacante real. Penetration test: the system is attacked with prior written authorisation, to find what a real attacker would find.

CVSSCVSS

Escala estándar para puntuar la severidad de una vulnerabilidad, de 0 a 10. Standard scale for scoring vulnerability severity, from 0 to 10.

RoERoE

Reglas de compromiso: el documento que define qué se puede atacar, cuándo, con qué técnicas y a quién avisar. Rules of Engagement: the document defining what may be attacked, when, with which techniques and who to notify.

RetestRetest

Segunda prueba, después de que el cliente corrige, para verificar que la corrección funcionó. A second test after the client remediates, to verify the fix actually worked.