CISO alerta: ¿Está tu empresa realmente segura en la nube?

Autenticación multifactor, auditorías continuas y DevSecOps son prácticas clave para proteger la nube.

Redacción de ITSitio 10 de octubre de 2025

4 minutos de lectura

La adopción de la nube por parte de las empresas mexicanas y globales continúa en ascenso, impulsada por la flexibilidad, escalabilidad y eficiencia, sin embargo, este cambio hacia modelos cloud también expone a las organizaciones a nuevos riesgos de seguridad. Según el Estudio de Seguridad en la Nube 2025, realizado con casi 3 mil 200 encuestados en 20 países, el 64% de las empresas considera la ciberseguridad entre sus cinco principales prioridades al migrar a la nube.

A pesar de la relevancia de este tema, el informe también revela una preocupante brecha, el 55% de los encuestados afirma que los entornos en la nube son más difíciles de proteger que la infraestructura local, y apenas un 8% encripta el 80% o más de sus datos en la nube.

“Lo anterior demuestra que muchas organizaciones migran a la nube sin tener una estrategia de seguridad más amplia que contemple la importante cantidad de datos confidenciales que se manejan en la nube sin un cifrado, lo cual representa un enorme riesgo para las organizaciones. Aunque el uso del cifrado como medida de protección ya se emplea, existen otros aspectos que las empresas deberían considerar dentro de su estrategia de ciberseguridad para disminuir la vulnerabilidad a amenazas como filtraciones de datos y accesos no autorizados”, explica Arturo Huesca, consultor de ciberseguridad en A3Sec, firma internacional especializada en el tema.

La inteligencia artificial redefine la ciberseguridad en México.

La deuda de ciberseguridad de los CISOs

Las empresas, orientadas al retorno de inversión, suelen tardar hasta siete meses en aprobar nuevas herramientas de detección o reacción, mientras que un ciberataque puede ocurrir en cuestión de horas o minutos. Esta disparidad entre velocidad de reacción y agresividad de los ataques aumenta la vulnerabilidad de los negocios.

El Informe de Seguridad en la Nube 2025 de Check Point demostró que el 65% de las organizaciones encuestadas reportó haber sufrido algún incidente de seguridad en la nube evidenciando que los esfuerzos actuales de seguridad no están alineados con las necesidades reales, y que es fundamental adoptar medidas proactivas, desde sistemas avanzados de detección de amenazas hasta la capacitación continua de los colaboradores, especialmente en entornos híbridos o completamente en la nube.

Principales riesgos y cómo mitigarlos

1. Configuraciones incorrectas

Una de las causas más frecuentes de exposición de datos sensibles es la mala configuración de servicios cloud. Esto puede ocurrir por descuido o por ausencia de políticas de seguridad estrictas, y suele ser el primer eslabón que los ciberdelincuentes aprovechan para acceder a sistemas críticos.

2. Falta de control en los accesos y fuga de datos

El control de identidad se ha convertido en el nuevo muro de contención en la nube. No aplicar políticas de acceso robustas permite que usuarios no autorizados ingresen a información crítica. Los ataques basados en credenciales, junto con la transferencia constante de datos entre servicios y dispositivos, aumentan el riesgo de pérdida o robo de información.

3. Dependencia de proveedores externos

Confiar completamente en los servicios de un proveedor cloud no garantiza la seguridad necesaria. La dependencia de terceros incrementa la probabilidad de filtraciones y de incumplimiento de normas, especialmente cuando el proveedor no ofrece medidas de protección adaptadas a la magnitud de los datos manejados por la organización.

“Los modelos de seguridad tienen que adaptarse a cada negocio; no cabe un único molde”, afirma Arturo Huesca. Su enfoque se centra en tres pilares como detección y respuesta en cloud, infraestructura como código para auditar y versionar cambios, y capacitación continua de los equipos.

Algunas recomendaciones clave para una estrategia de ciberseguridad proactiva son:

Auditorías continuas: Implementar controles automatizados para identificar desviaciones de configuración y comportamientos anómalos.
Autenticación multifactor: Establecer políticas robustas de identificación para reforzar el control de accesos.
Integrar seguridad desde el desarrollo (DevSecOps): Escaneo de vulnerabilidades en contenedores, validación automática de Infrastructure as Code y revisiones de código seguras.
Cifrado de datos en tránsito, en reposo y en uso: Garantizar que los datos permanezcan codificados con algoritmos que requieran clave de descifrado, incluso cuando se usan soluciones ofrecidas por proveedores externos.
Estrategia de respuesta a incidentes en cloud: Elaborar playbooks específicos y realizar simulacros controlados para preparar a los equipos ante posibles ataques.

“Las organizaciones deben entender que la seguridad en la nube es una responsabilidad compartida. Por una parte, el cloud asegura las capas físicas y de operación; por otra, recae en el cliente la protección de datos y aplicaciones críticas”, concluye Huesca.

La protección de datos, una prioridad en la estrategia de TI moderna.

En México, la adopción de servicios en la nube creció de manera significativa en los últimos años, especialmente en sectores como fintech, manufactura y servicios de TI. De acuerdo con datos de Statista, se espera que para 2026 el gasto en servicios cloud corporativos en México supere los 3,000 millones de dólares. Sin embargo, a la par de esta adopción, también se incrementaron los incidentes de seguridad: el 42% de las empresas mexicanas reportó al menos un incidente relacionado con la nube durante 2024, según cifras del Observatorio Nacional de Ciberseguridad. Esto evidencia la necesidad de implementar estrategias preventivas más sólidas.

La combinación de capacitación, auditorías constantes, políticas de identidad robustas y cifrado efectivo permite a los CIOs y CISOs anticiparse a posibles amenazas y garantizar que la innovación tecnológica no se vea interrumpida por brechas de seguridad. El éxito en la nube ya no depende únicamente de la eficiencia operativa, sino de la capacidad de las empresas para proteger sus activos digitales en un entorno dinámico y altamente interconectado.