Saltar al contenido
05 · Arquitectura05 · Architecture

Seguridad Cloud (CSPM / CNAPP)Cloud Security (CSPM / CNAPP)

Postura de seguridad cloud y protección de cargas.Cloud security posture and workload protection.

CloudCloud Diseño y despliegue de tecnología de seguridadDesign and deployment of security technology

¿Qué es este servicio?What is this service?

Es el despliegue del control de postura de la nube: conectar una plataforma que revisa de forma continua cómo están configurados los recursos de la organización en AWS, Azure o Google Cloud, detecta lo que quedó expuesto y, en la versión CNAPP, extiende el control a contenedores, cargas de trabajo e identidades de la nube.

Deploying cloud posture control: connecting a platform that continuously reviews how the resources of the organisation are configured in AWS, Azure or Google Cloud, spots what was left exposed and, in its CNAPP form, extends control to containers, workloads and cloud identities.

¿Para qué se usa?What is it used for?

Sirve porque en la nube la falla casi nunca es del proveedor sino de la configuración del cliente. El almacenamiento público sin querer, la base de datos accesible desde internet, la llave de acceso con permisos de administrador: todo eso está del lado del cliente en el modelo de responsabilidad compartida. Y en la nube un error se materializa en segundos y desde cualquier parte del mundo.

In the cloud the failure is almost never the provider but the customer configuration. The storage bucket accidentally left public, the database reachable from the internet, the access key with administrator rights: all of that sits on the customer side of the shared responsibility model. And in the cloud a mistake materialises within seconds, from anywhere in the world.

Qué beneficios traeBenefits it delivers

  • Detecta la exposición pública en cuestión de minutos, no en la auditoría anual cuando ya lleva ocho meses abierta.
  • Da inventario real de lo que hay desplegado, incluida la nube en la sombra que alguien levantó con su tarjeta y nadie registró.
  • Cruza configuración con permisos: una máquina expuesta con un rol privilegiado es mucho más grave que cada cosa por separado, y solo se ve al mirarlas juntas.
  • Permite mover el control hacia la fase de desarrollo, deteniendo la configuración insegura antes de que llegue a producción.
  • Detects public exposure within minutes, not at the annual audit when it has already been open for eight months.
  • Gives a real inventory of what is deployed, including the shadow cloud somebody spun up on a personal card that nobody registered.
  • Correlates configuration with permissions: an exposed machine holding a privileged role is far worse than either issue alone, and only shows when looked at together.
  • Allows shifting the control into the development phase, stopping insecure configuration before it reaches production.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No hay obligación legal de usar una herramienta de postura de nube en Costa Rica.
  • A las entidades supervisadas sí les cambió el terreno: el perfil tecnológico 2026 del Acuerdo CONASSIF 5-24 incorporó una tabla específica de nube, así que ahora hay que declarar formalmente qué se tiene ahí y bajo qué condiciones.
  • Si en la nube hay datos personales, la responsabilidad frente a la Ley 8968 sigue recayendo en la organización aunque la infraestructura sea de un tercero.
  • There is no legal obligation to use a cloud posture tool in Costa Rica.
  • For supervised entities the ground has shifted: the 2026 technology profile under CONASSIF Agreement 5-24 added a dedicated cloud table, so what the entity holds there and under what conditions must now be formally declared.
  • If personal data lives in the cloud, responsibility under Law 8968 stays with the organisation even though the infrastructure belongs to a third party.

InternacionalInternational

  • PCI-DSS aplica igual en la nube: si el entorno de datos de tarjeta corre ahí, los requisitos de configuración segura, control de acceso y registro se cumplen igual, y el reparto de responsabilidades con el proveedor debe estar documentado.
  • ISO 27001 incorpora un control específico para el uso de servicios en la nube.
  • Los clientes corporativos y los procesos de debida diligencia piden cada vez más evidencia de control de postura antes de aprobar un proveedor.
  • PCI-DSS applies in the cloud just the same: if the cardholder data environment runs there, secure configuration, access control and logging requirements still apply, and the responsibility split with the provider must be documented.
  • ISO 27001 includes a specific control for the use of cloud services.
  • Corporate clients and due diligence processes increasingly ask for posture control evidence before approving a supplier.

Requisitos mínimosMinimum requirements

  • Un rol de solo lectura en cada cuenta o suscripción que se vaya a evaluar.
  • La lista completa de cuentas, incluidas las que abrió un equipo por su cuenta y no están en el inventario oficial.
  • Un marco de referencia acordado para medir: los benchmarks de cada proveedor son el punto de partida razonable.
  • Un dueño para cada hallazgo, porque la herramienta va a devolver cientos y sin responsable asignado no se corrige ninguno.
  • A read-only role in each account or subscription to be assessed.
  • The full list of accounts, including the ones a team opened on their own that are missing from the official inventory.
  • An agreed reference framework to measure against: each provider benchmark is the reasonable starting point.
  • An owner for every finding, because the tool will return hundreds and with nobody assigned none get fixed.

Plazo típico de entregaTypical delivery time

4 a 10 semanas 4 to 10 weeks rango habitual del mercado usual market range

El rango habitual va de cuatro a diez semanas. Conectar la plataforma y ver los primeros hallazgos toma días; lo que consume el plazo es priorizar el volumen inicial, que en un entorno nunca revisado son cientos o miles de desviaciones, y acordar qué se corrige, qué se acepta y qué se automatiza para que no vuelva a pasar.

The usual range runs from four to ten weeks. Connecting the platform and seeing the first findings takes days; what consumes the timeline is triaging the initial volume, which in a never-reviewed environment means hundreds or thousands of deviations, and agreeing what gets fixed, what gets accepted and what gets automated so it does not recur.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

CSPMCSPM
Gestión de postura de seguridad en la nube: revisa de forma continua si la configuración de los recursos desplegados es segura. Cloud security posture management: continuously checks whether the configuration of the deployed resources is secure.
CNAPPCNAPP
Plataforma que junta postura, protección de cargas de trabajo, contenedores e identidades en una sola consola. A platform combining posture, workload protection, containers and identities in a single console.
Responsabilidad compartidaShared responsibility
El reparto entre proveedor y cliente: el proveedor asegura la infraestructura, el cliente asegura lo que despliega encima. The split between provider and customer: the provider secures the infrastructure, the customer secures whatever runs on top of it.
Configuración incorrectaMisconfiguration
El ajuste mal puesto que deja un recurso expuesto. Es la causa principal de las brechas en la nube. The wrongly set option leaving a resource exposed. It is the leading cause of cloud breaches.
Infraestructura como códigoInfrastructure as code
Definir la nube en archivos versionados, lo que permite revisar la seguridad antes de desplegar. Defining the cloud in version-controlled files, which allows reviewing security before deployment.