Tema 23
Gobernar cloud native significa definir reglas claras, medir cumplimiento continuamente, gestionar excepciones y tomar decisiones de riesgo con evidencia. El objetivo no es solo pasar auditorías, sino operar plataformas confiables.
Las plataformas cloud nativas cambian rápido. Nuevas cuentas, clusters, pipelines, servicios administrados y dependencias aparecen constantemente. En este contexto, el cumplimiento no puede depender solo de auditorías manuales anuales.
El gobierno define cómo se toman decisiones, quién es responsable, qué controles son obligatorios, cómo se gestionan excepciones y qué evidencia demuestra cumplimiento.
La gestión de riesgos conecta controles técnicos con impacto de negocio, requisitos regulatorios y prioridades operativas.
Gobierno cloud native es el conjunto de políticas, procesos, roles y controles que guían el uso seguro de cloud, contenedores y DevSecOps.
Incluye:
Un programa maduro conecta riesgos con controles y evidencia. Si una organización no puede demostrar que un control funciona, el cumplimiento queda basado en declaraciones.
| Elemento | Pregunta | Ejemplo |
|---|---|---|
| Riesgo | ¿Qué puede salir mal? | Datos sensibles expuestos públicamente |
| Control | ¿Qué reduce ese riesgo? | Bloqueo de buckets públicos y alertas CSPM |
| Evidencia | ¿Cómo demostramos que opera? | Reporte de políticas, logs de cambios y hallazgos cerrados |
| Dueño | ¿Quién responde por el control? | Equipo de plataforma o seguridad cloud |
| Frecuencia | ¿Cada cuánto se valida? | Continuo, diario, mensual o por release |
El cumplimiento continuo mide controles de forma automatizada y recurrente. Es más adecuado para cloud que auditorías manuales aisladas.
Ejemplos:
Las políticas definen qué se espera. Los estándares traducen esas políticas en requisitos técnicos aplicables.
| Política | Estándar técnico | Evidencia |
|---|---|---|
| Proteger datos sensibles | Cifrado obligatorio, clasificación y acceso mínimo | Reporte KMS, IAM y clasificación |
| Controlar acceso privilegiado | MFA, roles temporales y revisión periódica | Logs de identidad y reportes IAM |
| Asegurar despliegues | CI/CD con escaneo, firma y aprobación | Ejecuciones de pipeline y artefactos firmados |
| Auditar actividad | Logs centralizados e inmutables | Configuración de logging y retención |
Todo recurso relevante debe tener dueño. Sin ownership, los hallazgos quedan sin responsable y las excepciones se vuelven permanentes.
Datos mínimos:
El etiquetado permite gobierno, costos, inventario y respuesta. Debe validarse en IaC, políticas cloud y revisiones de postura.
Etiquetas comunes:
owner: responsable técnico.application: aplicación o servicio.environment: dev, test, staging o prod.data_classification: pública, interna, confidencial o restringida.cost_center: imputación de costos.criticality: impacto de negocio.managed_by: Terraform, pipeline, consola u otra fuente.Las excepciones permiten aceptar temporalmente un riesgo cuando existe justificación. Deben gobernarse para que no se conviertan en deuda permanente.
Una excepción debe incluir:
La gestión de riesgos prioriza decisiones. No todos los hallazgos tienen el mismo impacto, y no todos los controles tienen el mismo costo o urgencia.
Un riesgo debe evaluarse por:
La evidencia automatizada reduce carga manual y mejora confiabilidad. Debe generarse desde sistemas reales, no a partir de capturas aisladas.
| Fuente | Evidencia | Control demostrado |
|---|---|---|
| CI/CD | Escaneos, aprobaciones, artefactos firmados | Entrega segura |
| CSPM | Postura de recursos y desviaciones | Configuración segura cloud |
| IAM | MFA, roles, accesos privilegiados | Control de identidad |
| SIEM | Alertas, investigaciones y logs | Detección y auditoría |
| IaC | Pull requests, planes y policy checks | Cambios revisados y gobernados |
Las organizaciones pueden mapear controles internos contra marcos externos. El objetivo no es copiar controles sin contexto, sino traducir requisitos en prácticas operables.
Áreas comunes:
Costos y seguridad se relacionan. Recursos huérfanos, logs sin retención definida, snapshots olvidados o ambientes temporales activos pueden crear riesgo y gasto.
Controles útiles:
Las métricas ejecutivas deben mostrar riesgo y tendencia, no detalles técnicos excesivos.
Cumplimiento y gobierno en cloud native requieren automatización, evidencia y responsabilidad clara. Cuando las políticas se traducen en controles medibles, la organización puede operar con velocidad sin perder trazabilidad ni gestión de riesgo.
En el próximo tema cerraremos el curso diseñando una estrategia integral de seguridad cloud native y mejora continua.