En 2019, un investigador de seguridad descubrió un bucket de AWS S3 de acceso público que contenía datos personales de más de 540 millones de usuarios de Facebook. El bucket no pertenecía a Facebook. Pertenecía a un desarrollador externo de aplicaciones que había recopilado los datos a través de la plataforma de Facebook y los había guardado en un almacenamiento en la nube sin ningún control de acceso. Facebook no había configurado nada mal. Su proveedor sí, y los datos estaban expuestos abiertamente en internet, indexados y accesibles para cualquiera que encontrara la URL. Este es el problema de la configuración errónea del almacenamiento visto desde la perspectiva de terceros: sus datos, su exposición regulatoria, el error de otro.
¿Qué es realmente la configuración errónea del almacenamiento en la nube?
El almacenamiento de objetos en la nube (AWS S3, Azure Blob Storage, Google Cloud Storage) es uno de los servicios más utilizados y más frecuentemente mal configurados en los entornos empresariales en la nube. Es económico, escalable y está diseñado para que los datos sean accesibles con rapidez. Esa accesibilidad es también su principal vector de riesgo. Cada bucket o contenedor de almacenamiento en la nube tiene una configuración de control de acceso que determina quién puede leerlo, escribir en él o listar su contenido, y las configuraciones predeterminadas, la facilidad para hacer públicos los buckets y la complejidad de la herencia de permisos han hecho que la configuración errónea del almacenamiento en la nube sea una de las fuentes más constantes de violaciones de datos de la última década.
En el contexto de los proveedores, el riesgo adopta dos formas distintas. La primera es que un proveedor configure erróneamente el almacenamiento que contiene sus datos, ya sea almacenamiento aprovisionado en su propio entorno en la nube para tratar los datos que usted le ha compartido o almacenamiento aprovisionado en su entorno en la nube que el proveedor gestiona en su nombre. La segunda es que el acceso de un proveedor a su almacenamiento en la nube esté mal configurado de su lado: políticas de buckets excesivamente permisivas, controles de acceso ausentes o configuraciones de acceso público que permiten que las credenciales del proveedor lleguen a datos que nunca debieron ver. Ambas formas producen el mismo resultado: datos que deberían estar protegidos quedan accesibles para partes que no deberían tenerlos.
Lo que hace que esto sea persistentemente difícil es la brecha entre la configuración prevista y la configuración real. Un desarrollador que crea un bucket para el intercambio de datos con un proveedor tiene la intención de que solo sea accesible para el rol de IAM específico del proveedor. Establece la política del bucket, comprueba que el proveedor puede acceder y pasa a otra cosa. Lo que quizá no haya comprobado es si el bloqueo de acceso público a nivel de cuenta está habilitado, si la ACL del bucket permite un acceso más amplio del que pretende la política, si el bucket es accesible desde otros roles de la misma cuenta con permisos más amplios o si un cambio de configuración posterior en algún punto de la pila anuló silenciosamente su intención original. Los permisos del almacenamiento en la nube están organizados en capas que interactúan de formas no siempre intuitivas, y la mayoría de las configuraciones de intercambio de datos con proveedores se establecen una vez y nunca se vuelven a auditar.
El riesgo de configuración errónea del almacenamiento a través de los proveedores se manifiesta en varios patrones específicos:
- Buckets gestionados por proveedores con acceso público que contienen sus datos: la forma más visible y más común, en la que la configuración del almacenamiento de un proveedor permite involuntariamente el acceso no autenticado a los objetos
- Políticas de buckets excesivamente permisivas en su entorno: almacenamiento que usted controla y que concede al proveedor un acceso más amplio del necesario, lo que le permite leer datos más allá del alcance previsto de la integración
- Falta de cifrado en reposo: almacenamiento gestionado por el proveedor que recibe sus datos sin cifrado configurado, lo que deja los datos legibles para cualquiera con acceso a nivel de almacenamiento, independientemente de los controles de red
- Almacenamiento de copias de seguridad y archivo del proveedor configurado con controles más débiles que el almacenamiento principal: datos migrados a niveles de almacenamiento más económicos con una gestión del acceso menos rigurosa
- Brechas en el registro y el monitoreo del acceso: no se capturan los eventos de acceso al almacenamiento, por lo que las lecturas no autorizadas de sus datos no generan ninguna alerta ni dejan pista de auditoría
Por qué es importante
La configuración errónea del almacenamiento en la nube se sitúa en la intersección de dos categorías de riesgo que los programas de TPRM suelen tratar por separado: el manejo de datos por parte de los proveedores y la seguridad en la nube. Cuando un proveedor configura erróneamente el almacenamiento que contiene sus datos, la violación resultante es a la vez una falla de seguridad del proveedor y una falla de seguridad en la nube, pero las consecuencias regulatorias y reputacionales recaen sobre su organización como responsable del tratamiento o custodio de los datos. GDPR, CCPA, HIPAA y los marcos equivalentes no prevén ninguna exención para las violaciones causadas por negligencia de los proveedores. Imponen al responsable del tratamiento la obligación de garantizar que los proveedores manejen los datos de forma adecuada, y un bucket mal configurado es una evidencia de que esas obligaciones no se cumplieron.
La dimensión de terceros crea un problema de visibilidad específico. Cuando su propio equipo configura erróneamente el almacenamiento en la nube, existe al menos una vía plausible de detección: el análisis de seguridad interno, las herramientas de postura de seguridad en la nube o una alerta activada por patrones de acceso anómalos. Cuando un proveedor configura erróneamente el almacenamiento en su propio entorno, usted no tiene visibilidad directa. Depende de que el proveedor detecte y divulgue el problema, o de que un investigador de seguridad o un actor de amenazas lo encuentre primero. En la mayoría de los casos documentados de violaciones del almacenamiento en la nube, la exposición se descubrió desde fuera (por investigadores, por escáneres automatizados o por atacantes) antes de que la organización o su proveedor tuvieran conocimiento de ella.
La magnitud de la exposición en una configuración errónea del almacenamiento también puede ser desproporcionada respecto de la aparente sencillez de la falla. Un solo bucket mal configurado puede contener años de datos acumulados (registros de transacciones, archivos de clientes, archivos de copias de seguridad, exportaciones de registros) depositados con el tiempo sin que nadie hiciera un inventario del volumen total. La violación no es proporcional al esfuerzo que la causó. Una sola casilla en el estado equivocado puede exponer millones de registros acumulados durante años de operaciones normales.
Dónde se equivocan la mayoría de los equipos
La falla más constante es suponer que la seguridad de los datos depende del mecanismo de transferencia de los datos y no de la configuración de su almacenamiento. Las organizaciones que cifran los datos en tránsito, usan protocolos seguros de transferencia de archivos y autentican cuidadosamente el acceso de los proveedores a menudo no tienen controles ni requisitos equivalentes sobre la forma en que el proveedor almacena los datos una vez que llegan. La entrega segura no se extiende a la zona de destino. Lo que ocurre con los datos después de que llegan al entorno del proveedor suele quedar completamente sin gobernar en el marco de seguridad del cliente.
La segunda falla es tratar la configuración del almacenamiento como una tarea puntual de puesta en marcha y no como una obligación de gobernanza continua. Las políticas de buckets y los controles de acceso establecidos al crear la integración pueden quedar anulados por cambios de configuración posteriores, actualizaciones de la plataforma o ajustes bienintencionados del equipo de ingeniería del proveedor que no comprende sus implicaciones de seguridad. Un proveedor cuyo almacenamiento estaba bien configurado en la incorporación, pero que desde entonces se ha desviado (por la automatización, por atajos durante la respuesta a incidentes o simplemente por la acumulación de pequeños cambios), representa un riesgo que ninguna diligencia debida inicial detectará.
- Sin requisito de cifrado en reposo en los contratos con proveedores para el almacenamiento que contiene datos de clientes
- Sin evaluar si el almacenamiento gestionado por el proveedor tiene habilitados los bloqueos de acceso público, el control más eficaz frente a la exposición pública accidental
- Evaluaciones del manejo de datos por parte de los proveedores que cubren la seguridad de la transferencia, pero no la del almacenamiento: se trata la entrega como el límite del riesgo
- Sin visibilidad de los registros de acceso al almacenamiento del proveedor: si se está accediendo a los datos del cliente en el almacenamiento del proveedor, quién lo hace y si esos patrones de acceso son los esperados
- Sin monitoreo de las desviaciones de configuración en el almacenamiento aprovisionado en su propio entorno en la nube al que acceden los proveedores: lo que estaba bien configurado en la puesta en marcha puede dejar de estarlo
Cómo se ve una buena práctica
Las organizaciones con una gobernanza madura de la seguridad del almacenamiento de los proveedores tratan los requisitos de manejo de datos como una obligación contractual, no como una preferencia del proveedor. Los controles específicos de configuración del almacenamiento que protegen sus datos están definidos, documentados y son verificables, en lugar de darse por supuestos a partir de la postura de seguridad general del proveedor.
- Requisitos contractuales de cifrado en reposo para todo el almacenamiento que contiene datos de clientes, que especifiquen el estándar de cifrado y el enfoque de gestión de claves, y no solo que el cifrado es obligatorio
- Verificación de los bloqueos de acceso público como pregunta estándar de evaluación para cualquier proveedor que use almacenamiento de objetos en la nube: este único control evita la clase más común de exposición del almacenamiento
- Registro de acceso al almacenamiento habilitado y conservado para todo el almacenamiento gestionado por proveedores que contiene datos de clientes: los registros se revisan según un calendario definido en busca de patrones de acceso anómalos
- Cobertura de CSPM de su propio entorno en la nube que detecte configuraciones erróneas en el almacenamiento accesible para los proveedores: monitoreo continuo en lugar de una evaluación puntual
- Minimización de datos aplicada: los proveedores almacenan solo los datos que necesitan y solo durante el tiempo que los necesitan, con requisitos de eliminación especificados contractualmente y verificados periódicamente
- Configuración del almacenamiento del proveedor revisada como parte de la reevaluación periódica: no solo las respuestas al cuestionario, sino evidencias del estado actual de la configuración
Herramientas
El panorama de herramientas para la seguridad del almacenamiento en la nube está maduro del lado del cliente y cada vez está más disponible para evaluar a los proveedores. La brecha para la mayoría de las organizaciones es aplicar estas herramientas al almacenamiento gestionado por proveedores, y no solo a los recursos gestionados internamente.
Gestión de la postura de seguridad en la nube: Wiz, Orca Security, Prisma Cloud, Lacework
Las plataformas de CSPM analizan de forma continua los entornos en la nube en busca de configuraciones erróneas del almacenamiento: buckets de acceso público, falta de cifrado, ACL excesivamente permisivas y brechas en el registro de acceso. En su propio entorno en la nube, estas herramientas ofrecen una cobertura continua del almacenamiento accesible para los proveedores. En los entornos de los proveedores, algunas plataformas de CSPM permiten el análisis sin agentes de las cuentas en la nube del proveedor cuando este concede acceso de evaluación de solo lectura, lo que permite verificar directamente la configuración en lugar de depender de las declaraciones de un cuestionario.
Seguridad nativa del almacenamiento en la nube: AWS S3 Block Public Access, Azure Storage Defender, GCP VPC Service Controls
Cada una de las principales plataformas en la nube ofrece controles nativos diseñados específicamente para evitar las fallas de configuración del almacenamiento más comunes. AWS S3 Block Public Access, cuando se habilita a nivel de cuenta, impide que cualquier bucket de la cuenta se haga accesible públicamente, independientemente de la configuración de cada bucket: es una barrera de protección frente a la clase más visible de violaciones del almacenamiento. Azure Defender for Storage ofrece detección de amenazas sobre los patrones de acceso al almacenamiento. Estos controles nativos son gratuitos o casi gratuitos y deben tratarse como requisitos básicos para cualquier proveedor que gestione almacenamiento en la nube.
Prevención de pérdida de datos: Microsoft Purview, Google Cloud DLP, Nightfall
Las herramientas de DLP ofrecen visibilidad sobre los datos sensibles que existen en los entornos de almacenamiento en la nube, lo que permite a las organizaciones comprender la superficie de exposición real de una configuración errónea en lugar de descubrirla solo después de una violación. En las evaluaciones de proveedores, preguntar si el proveedor tiene cobertura de DLP del almacenamiento que contiene datos de clientes es una señal de madurez significativa: indica si el proveedor comprende qué datos sensibles tiene y si los está monitoreando.
Monitoreo del acceso al almacenamiento en la nube: AWS CloudTrail + registros de acceso de S3, Azure Storage Analytics, Datadog
El registro de acceso al almacenamiento captura cada operación de lectura, escritura y listado sobre los recursos de almacenamiento en la nube. En el contexto del almacenamiento gestionado por proveedores, estos registros son la pista de auditoría de cada interacción con sus datos: aportan evidencias de las operaciones normales y un mecanismo de detección de accesos no autorizados. Exigir a los proveedores que habiliten y conserven el registro de acceso en el almacenamiento que contiene datos de clientes es un control contractual básico que, además, respalda la investigación de incidentes si se produce una exposición.
Desafíos de gobernanza
El desafío de gobernanza de la seguridad del almacenamiento de los proveedores es que exige extender sus estándares de configuración de seguridad a entornos que usted no controla directamente. La mayoría de las organizaciones tienen estándares internos para la configuración del almacenamiento en la nube: requisitos de cifrado, políticas de control de acceso, obligaciones de registro. Aplicar esos mismos estándares al almacenamiento gestionado por proveedores exige traducir los requisitos técnicos internos en obligaciones contractuales y luego verificar su cumplimiento, lo que es operativamente más complejo que simplemente aplicar una política dentro de su propio entorno.
La respuesta práctica es que los requisitos de seguridad del almacenamiento sean específicos y verificables, en lugar de generales y dependientes de declaraciones. «El proveedor debe implementar controles de seguridad adecuados para los datos en reposo» no se puede hacer cumplir. «El proveedor debe habilitar el cifrado AES-256 en reposo, habilitar los bloqueos de acceso público, habilitar el registro de acceso con una retención de 12 meses y aportar evidencias de configuración cuando se le soliciten anualmente» es un estándar de gobernanza que se puede evaluar, demostrar con evidencias y hacer cumplir.
- Definir requisitos específicos de seguridad del almacenamiento en los contratos con proveedores (estándar de cifrado, controles de acceso público, requisitos de registro y períodos de retención), no un lenguaje de seguridad genérico
- Solicitar evidencias de la configuración del almacenamiento una vez al año: las capturas de pantalla o exportaciones de la configuración de buckets o contenedores no son difíciles de aportar y son mucho más significativas que una declaración en un cuestionario
- Incluir la seguridad del almacenamiento en los criterios de clasificación por niveles de los proveedores: los proveedores que tratan grandes volúmenes de datos sensibles en almacenamiento en la nube justifican una evaluación de la configuración más profunda que los que manejan datos mínimos
- Monitorear de forma continua su propio almacenamiento en la nube para detectar desviaciones de la configuración: las herramientas de CSPM aplicadas al almacenamiento accesible para los proveedores alertan de forma temprana sobre configuraciones erróneas de su lado del límite
- Exigir contractualmente la notificación de violaciones de datos en un plazo de 24 a 72 horas desde el descubrimiento de cualquier acceso no autorizado al almacenamiento que contiene sus datos: el plazo es importante para las obligaciones de notificación regulatoria
Si usted forma parte de un equipo pequeño
Empiece por el control individual de mayor impacto: verifique que los bloqueos de acceso público estén habilitados en todo el almacenamiento en la nube de su propio entorno y pregunte a sus cinco principales proveedores que manejan datos si tienen habilitados los bloqueos de acceso público en sus entornos. Esta sola pregunta, aplicada a los proveedores que tienen sus datos sensibles más críticos, pondrá de manifiesto los riesgos de exposición más importantes más rápido que cualquier marco de evaluación integral. Luego, agregue la verificación del cifrado en reposo como segunda pregunta.
- Habilite AWS S3 Block Public Access a nivel de cuenta, Azure Storage Defender o GCP VPC Service Controls en su propio entorno: en gran medida son gratuitos y reducen de inmediato su propio riesgo de configuraciones erróneas
- Ejecutar un análisis de CSPM en su propio entorno en la nube para identificar cualquier almacenamiento accesible para los proveedores con controles de acceso mal configurados
- Agregue dos preguntas a su evaluación de proveedores: «¿Está bloqueado el acceso público en todo el almacenamiento que contiene nuestros datos?» y «¿Está habilitado el cifrado en reposo en todo el almacenamiento que contiene nuestros datos?»
- En el caso de sus proveedores de mayor riesgo, solicite una captura de pantalla o una exportación de la configuración como evidencia: pase de la declaración a la verificación, específicamente en lo relativo a la seguridad del almacenamiento
Qué exigir
Pregunte directamente:
«¿Está bloqueado el acceso público a nivel de cuenta o de cuenta de almacenamiento en todo el almacenamiento en la nube que contiene nuestros datos? ¿Pueden aportar evidencias de configuración que lo confirmen?»
«¿Está habilitado el cifrado en reposo en todo el almacenamiento que contiene nuestros datos? ¿Quién gestiona las claves de cifrado: el proveedor de nube, su organización o un servicio dedicado de gestión de claves?»
«¿Está habilitado el registro de acceso en el almacenamiento que contiene nuestros datos? ¿Durante cuánto tiempo se conservan esos registros y tienen un proceso para revisarlos en busca de patrones de acceso anómalos?»
Evidencia que debe esperar
- Capturas de pantalla o exportaciones de la configuración que confirmen que los bloqueos de acceso público están habilitados, no una casilla marcada en un cuestionario
- Documentación de la configuración del cifrado que especifique el estándar de cifrado y el enfoque de gestión de claves
- Confirmación del registro de acceso con el período de retención especificado
- Evidencia de CSPM o de un análisis continuo equivalente que cubra los entornos de almacenamiento que contienen datos de clientes
Un proveedor que responde a estas preguntas con «nuestro entorno en la nube es seguro» sin aportar evidencias de configuración específicas le está pidiendo que acepte su garantía en lugar de una verificación. En el caso concreto de los proveedores que manejan datos, ese no es un sustituto aceptable.
Cómo demostrarlo
La seguridad del almacenamiento en la nube es hoy un área de examen estándar en las auditorías de protección de datos, las revisiones regulatorias y las investigaciones de violaciones de datos. Cuando se produce una violación a través del almacenamiento mal configurado de un proveedor, la investigación se centrará en la diligencia debida que realizó el responsable del tratamiento para garantizar que el almacenamiento del proveedor estuviera debidamente protegido. Las evaluaciones generales de seguridad de proveedores que no abordaron específicamente la configuración del almacenamiento no cumplirán ese estándar.
- Registros de evaluación de proveedores que documentan los controles de seguridad del almacenamiento (cifrado, controles de acceso, registro) de los proveedores que manejan datos sensibles en almacenamiento en la nube
- Evidencias de configuración recopiladas de los proveedores que confirman que se han implementado controles de seguridad específicos
- Registros de análisis de CSPM de su propio entorno en la nube que confirman que el almacenamiento accesible para los proveedores cumple su línea de base de seguridad
- Requisitos contractuales de manejo de datos que especifiquen las obligaciones de seguridad del almacenamiento, no un lenguaje de seguridad genérico
- Cláusula de notificación de violaciones de datos en los contratos con proveedores, con plazos definidos para los incidentes de exposición del almacenamiento
Conclusión clave
La configuración errónea del almacenamiento en la nube no es un vector de ataque sofisticado: es uno de los modos de falla más sencillos de la seguridad en la nube y ha provocado algunas de las mayores violaciones de datos de la última década. Cuando ocurre a través de un proveedor, la sencillez de la falla agrava la frustración: una sola configuración errónea en un entorno que usted no controla directamente expone datos que usted tiene la obligación legal de proteger. La respuesta no es confiar en que los proveedores configuren bien el almacenamiento, sino incorporar requisitos específicos y verificables de seguridad del almacenamiento como parte estándar de la forma en que usted gobierna el manejo de datos por parte de los proveedores. Acceso público bloqueado, cifrado en reposo habilitado, registro de acceso activo. Tres controles. Exigidos contractualmente, verificados periódicamente, nunca supuestos.