El activo más crítico de tu infraestructura cloud no es ninguna de tus cargas de trabajo.

Hay algo que me llama la atención cada vez que reviso un entorno cloud nuevo.

La organización ha invertido en securizar sus aplicaciones. Tiene WAF, tiene segmentación, tiene controles sobre los datos. Ha pensado en el perímetro. Ha pensado en las cargas de trabajo. Y casi siempre ha dejado el plano de control prácticamente sin tocar.

El plano de control es la capa desde la que se gobierna toda la infraestructura: las consolas de administración, los roles IAM, las APIs de gestión, las herramientas de aprovisionamiento. Es, en términos simples, el sitio desde el que se puede crear, modificar o destruir cualquier cosa en tu entorno.

Si un atacante llega ahí, el resto da igual. No necesita comprometer ninguna aplicación. No necesita explotar ninguna vulnerabilidad conocida. Con acceso al plano de control tiene las llaves de todo.

Un acceso que no dispara ninguna alerta

Lo que hace que este vector sea especialmente peligroso no es su complejidad técnica. Es que un acceso legítimo al plano de control no dispara alertas. No rompe nada visible. No genera el tipo de ruido que los sistemas de detección están entrenados para identificar.

Un atacante con acceso a una cuenta de administración o a un rol IAM sobredimensionado puede moverse con total normalidad durante semanas. Puede crear identidades nuevas, modificar políticas de acceso, exfiltrar configuraciones enteras, desplegar recursos en regiones que nadie monitoriza o simplemente esperar el momento oportuno.

Y nadie lo ve. Porque nadie está mirando ahí.

El origen del problema casi siempre es el mismo

En las fases tempranas de cualquier proyecto cloud se conceden permisos amplios para mover rápido. Es comprensible, responde a una lógica operativa real. El error es que esos permisos raramente se revisan después. La urgencia del arranque se convierte en deuda silenciosa.

Con el tiempo, hay más cuentas con acceso administrativo del que nadie recuerda haber autorizado. Credenciales de desarrollo que tienen alcance sobre producción. Roles que se crearon para un caso de uso puntual y llevan meses activos sin que nadie los haya revisado. Y una capa de gestión que nadie monitoriza con el mismo rigor que las cargas de trabajo.

Lo que ocurre en esa capa, quién ha modificado una política IAM, qué rol ha asumido qué identidad a las tres de la mañana, qué API de gestión se ha llamado desde una región que no toca nadie, son exactamente los eventos que preceden a los incidentes más graves. Y son los que con más frecuencia pasan desapercibidos.

La regulación ya lo está exigiendo

NIS2 y DORA exigen poder demostrar trazabilidad de operaciones críticas y capacidad de respuesta ante incidencias en plazos concretos. En un entorno cloud, eso pasa inevitablemente por el plano de control.

No es suficiente con tener las políticas documentadas. Hay que poder demostrar que se cumplen, que los accesos privilegiados se auditan de forma continua y que cualquier anomalía en la capa de gestión se detecta y se responde antes de que escale.

Las organizaciones que no han instrumentado esa capa van a tener dificultades para acreditar ese cumplimiento, independientemente de lo bien que tengan securizadas sus aplicaciones. Y eso es un problema que va más allá de lo técnico: es un riesgo regulatorio y reputacional concreto.

No es un problema de herramientas

Hay soluciones maduras para esto. El mercado tiene opciones tanto en el ecosistema de los grandes proveedores cloud como en herramientas especializadas en gestión de identidades y accesos privilegiados. No es un problema de oferta.

Es una cuestión de diseño y de disciplina: tratar el plano de control como la superficie de ataque más crítica del entorno, no como una capa administrativa que se da por segura porque requiere credenciales. Aplicar mínimo privilegio de verdad, no como declaración de intenciones sino como proceso revisado periódicamente. Separar accesos entre entornos de forma estricta. Instrumentar la capa de gestión con el mismo nivel de atención que se dedica a las cargas de trabajo. Y tener visibilidad en tiempo real sobre quién hace qué desde ahí.

La pregunta que yo hago siempre

Cuando llego a un entorno nuevo, hay una pregunta que hago casi siempre al principio: si alguien comprometiera hoy una cuenta con acceso administrativo a vuestra infraestructura cloud, ¿cuánto tardaríais en detectarlo?

No en resolverlo. En detectarlo.

Si la respuesta no llega en segundos, ya tienes el trabajo por delante. Y probablemente también el riesgo que aún no has medido.