Puntos clave
- En la nube la responsabilidad es compartida: el proveedor cuida la infraestructura, pero tus datos, tus accesos y tus configuraciones son tu responsabilidad.
- La mayoría de los incidentes en la nube no vienen de un ataque sofisticado, sino de una configuración mal hecha o una contraseña robada.
- El 95% de la seguridad recae en la prevención: activa MFA, cifra tus datos y revisa quién tiene acceso antes de que ocurra el desastre.
- El monitoreo continuo convierte un incidente de meses en uno de minutos: no puedes proteger lo que no estás mirando.
- Ningún proveedor te da 100% de seguridad; quien te lo prometa, que te lo firme con sangre.
Si tu empresa ya mueve correos, archivos o sistemas a la nube, la buena noticia es que el proveedor (Microsoft, AWS, Google) cuida la parte más cara de la seguridad por ti. La mala noticia, y la que me toca repetir cada semana, es que la seguridad en la nube para pymes es compartida: lo que pase con tus datos, tus accesos y tus configuraciones sigue siendo tu responsabilidad. En RealNet llevamos desde 1993 acompañando empresas y desde 1997 metidos de lleno en ciberseguridad, y les platico con franqueza: la mayoría de los desastres que hemos atendido en la nube no vinieron de un hacker genial, sino de una casilla mal configurada o de una contraseña que nunca debió existir.
Les cuento un caso, con los datos cambiados para proteger a la empresa. Llegó con nosotros un cliente, a quien llamaremos Distribuidora del Norte. Habían migrado todo a Microsoft 365 confiados en que "la nube ya es segura". Un día un empleado recibió un correo falso, entregó su contraseña, y como nadie tenía doble factor activado, el atacante entró como si fuera de la casa. Leyó correos durante semanas, aprendió cómo facturaban, y redirigió un pago de proveedor a su propia cuenta. ¿El proveedor de nube falló? No. Falló la configuración del lado del cliente. Gran problema.
El modelo de responsabilidad compartida, explicado sin tecnicismos
Imagínese que renta un departamento en un edificio nuevo. El dueño del edificio se encarga de los cimientos, las paredes, la seguridad de la entrada principal y que no se caiga el techo. Pero si usted deja la puerta de su departamento abierta, o le da copia de la llave a medio mundo, eso ya no es culpa del edificio. Así funciona la nube.
A esto se le llama modelo de responsabilidad compartida. El proveedor responde por la seguridad "de" la nube: los centros de datos, los servidores físicos, la red. Usted responde por la seguridad "en" la nube: sus datos, sus usuarios, sus permisos y sus configuraciones. La documentación oficial de proveedores como AWS lo explica con claridad, y vale la pena que usted o su equipo lo lean una vez.
¿Por qué insisto tanto en esto? Porque el riesgo cada vez se recarga más en terceros y en lo que cada quien administra. Según el Verizon Data Breach Investigations Report 2025, la participación de terceros en las brechas se duplicó, pasando del 15% al 30% de los incidentes en apenas un año. Traducido: cada proveedor, cada integración, cada cuenta externa es una puerta que alguien tiene que estar cuidando. Y esa puerta, muchas veces, es suya.
Las configuraciones erróneas más frecuentes
Aquí es donde se van la mayoría de los pozos. Y como digo siempre, es mejor tapar el pozo antes de que se ahogue el niño, no después. Estas son las fallas que más nos ha tocado ver:
1.- Buckets y carpetas abiertas al público. Alguien sube información a un almacenamiento en la nube y, por descuido, lo deja accesible para cualquiera con el enlace. Datos de clientes, nóminas, contratos, expuestos al mundo.
2.- Usuarios con permisos de administrador "por comodidad". Se le da acceso total a quien solo necesitaba leer un reporte. Si roban esa cuenta, roban el reino completo.
3.- Cuentas de empleados que ya se fueron. La persona renunció hace ocho meses y su acceso sigue vivo. Es una llave perdida que nadie reclama.
4.- Servicios encendidos que nadie usa. Puertos, aplicaciones e integraciones activadas "por si acaso" que solo amplían la superficie de ataque.
5.- Configuraciones por defecto sin revisar. La nube trae valores iniciales pensados para que todo funcione rápido, no para que todo esté seguro. Hay que ajustarlos.
El dato que más me preocupa: el Verizon DBIR 2026 reporta que las malas configuraciones de permisos tardan alrededor de ocho meses en remediarse al 50%. Ocho meses con la puerta entreabierta. En ese tiempo un atacante hace y deshace. Por eso en RealNet usamos herramientas como RadarGuru y SensorGuru para detectar estas aberturas y, con decoys o señuelos, cachar a quien anda husmeando antes de que haga daño. Detectarlas a tiempo es la diferencia entre un ajuste de diez minutos y una brecha que se arrastra durante meses.
Control de accesos e identidades: la cerradura de todo
Si tuviera que elegir una sola cosa para empezar hoy, sería esta. ¿Por qué? Porque las credenciales robadas son el pan de cada día de los atacantes. El Verizon DBIR 2025 encontró que el 88% de los ataques contra aplicaciones web básicas involucraron el uso de credenciales robadas. Léalo de nuevo: 88%. Casi nueve de cada diez ataques entran por la puerta, no por la ventana.
¿Qué hacer para evitar esto? Nuestras sugerencias concretas:
1.- Active la autenticación multifactor (MFA) en todas las cuentas. Es el candado extra que pide un código además de la contraseña. Aunque le roben la clave, no entran. Es gratis en la mayoría de las plataformas y es lo más efectivo que puede hacer hoy mismo.
2.- Aplique el principio de menor privilegio. Cada persona accede solo a lo que necesita para su trabajo, ni un permiso más.
3.- Revise los accesos cada trimestre. ¿Quién tiene llaves? ¿Siguen trabajando aquí? ¿Todavía necesitan ese nivel de acceso?
4.- Use contraseñas fuertes y únicas. El mismo DBIR 2025 encontró que solo el 3% de las contraseñas comprometidas cumplían requisitos básicos de complejidad. El 3%. Un gestor de contraseñas resuelve esto por usted.
Aquí entra la experiencia de nuestro equipo administrando entornos de Microsoft, VMware y Cisco desde hace décadas: configurar bien las identidades es el cimiento de toda la seguridad en la nube. Es el candado del que cuelga todo lo demás, y por eso vale la pena dedicarle tiempo antes que a cualquier otra cosa.
Cifrado y protección de datos en la nube
Cifrar es como mandar un documento en una caja fuerte en lugar de en un sobre de papel. Si alguien lo intercepta, se encuentra con un montón de letras y números sin sentido. Para proteger datos en la nube, el cifrado es su red de seguridad cuando todo lo demás falla.
Dos momentos importan. El cifrado "en reposo" protege la información mientras está guardada en los servidores. El cifrado "en tránsito" la protege mientras viaja por internet, por ejemplo cuando usted abre un archivo desde su celular. La mayoría de los proveedores serios ya ofrecen ambos, pero hay que verificar que estén activados y, cuando se trata de información muy sensible, considerar manejar sus propias llaves de cifrado.
El cifrado se acompaña de algo que a los empresarios nos cuesta tomar en serio hasta que es tarde: los respaldos. Un dato cifrado pero sin copia de seguridad sigue siendo vulnerable a un ransomware o secuestro de información que borre todo. Por eso insistimos en respaldar con la regla 3-2-1, que explicamos a detalle en cómo aplicar la regla de respaldo 3-2-1. Con BackupGuru ayudamos a que esos respaldos estén cifrados, aislados y listos para recuperar un servidor completo si llega el mal día. Porque como dice el dicho, nadie sabe lo que tiene hasta que lo ve perdido.
Monitoreo continuo: no puede proteger lo que no está mirando
Déjeme preguntarle: si entrara alguien a su entorno de nube ahora mismo, ¿cuánto tardaría en darse cuenta? ¿Minutos? ¿Días? ¿Se enteraría usted o se lo diría el cliente al que le robaron los datos? Esta es la diferencia entre un susto y una empresa que, literalmente, ha dejado de existir.
El monitoreo continuo significa tener ojos puestos en su entorno todo el tiempo, no solo cuando ya huele a quemado. Alguien, o algo, revisando quién entra, qué descarga, qué cambia y qué se sale de lo normal. Recuerde el dato que vimos: las malas configuraciones pueden tardar meses en corregirse. El monitoreo es lo que acorta ese tiempo de meses a minutos.
Aquí es donde servicios administrados como MDRGuru hacen la diferencia para una pyme, porque usted no tiene que contratar un equipo de analistas de seguridad las 24 horas: nosotros ponemos esa vigilancia. Si quiere entender mejor en qué consiste la detección y respuesta gestionada, lo explicamos en qué es MDR.
Entonces, ¿por dónde empiezo?
No tiene que hacer todo hoy, pero sí tiene que empezar hoy. Si me permite una sola recomendación con la que arrancar esta misma semana: active la autenticación multifactor en todas sus cuentas de nube antes del viernes. Es gratis, toma unas horas y le cierra la puerta al 88% de los ataques que entran por credenciales robadas. Ese es el primer paso, el más barato y el que más vidas empresariales ha salvado de las que nos ha tocado ver.
Y recuerde nuestra filosofía después de más de treinta años en esto: no existe el 100% de seguridad, y quien se lo prometa que se lo firme con sangre. Lo que sí existe es que el 95% de la seguridad recae en la prevención, y RealNet es ese 95% para su empresa. Una relación de seguridad solo funciona cuando los dos tienen la misma intención: crecer juntos.
Si quiere que revisemos juntos cómo está parada su empresa en la nube, acérquese. Escríbanos a través de realnet.com.mx y con gusto le ayudamos a dar esos primeros pasos con bases firmes. Por favor, reenvíe este artículo a todo empresario que conozca; a lo mejor le ahorra el mal rato que a otros les costó carísimo.
#ciberseguridad #PYME #nube #seguridadenlanube #ransomware #BackupGuru #MDRGuru #RealNet
Preguntas frecuentes
¿Qué es la seguridad en la nube para una pyme?
Es el conjunto de prácticas y controles para proteger los datos, aplicaciones y accesos que tu empresa tiene alojados en servicios como Microsoft 365, AWS o Google. No depende solo del proveedor: una buena parte recae en cómo tú configuras y administras ese entorno.
¿Quién es responsable de la seguridad de mis datos en la nube?
Es una responsabilidad compartida. El proveedor protege la infraestructura física y la plataforma; tú eres responsable de tus datos, de quién accede a ellos, de las contraseñas y de las configuraciones que eliges.
¿Cómo puedo proteger datos en la nube sin un gran presupuesto?
Empieza por lo básico y barato: activa la autenticación multifactor en todas las cuentas, cifra la información sensible, aplica el principio de menor privilegio y respalda con la regla 3-2-1. Esos cuatro pasos previenen la mayoría de los incidentes.
¿La nube es más o menos segura que tener mis servidores en la oficina?
La nube suele tener mejor infraestructura de seguridad que una pyme promedio, pero eso no te protege de tus propios errores de configuración o de un acceso robado. La seguridad depende de cómo la administres, no solo de dónde estén los datos.
