CLOUD
5 min
Infraestructuras críticas en la nube: Qué falla cuando la ciberseguridad no va integrada desde el principio
Llevo casi once años en SATEC y he visto cómo las organizaciones adoptaban el Cloud, cómo la ciberseguridad intentaba seguirles el ritmo, y cómo, con demasiada frecuencia, los dos mundos nunca terminaban de encontrarse del todo. Eso, en entornos donde un fallo tiene consecuencias operativas reales, es un problema serio.
El informe CCN-CERT IA-04/25: Ciberamenazas y Tendencias, publicado en noviembre de 2025, lo cuantifica con claridad: las infraestructuras críticas y las empresas estratégicas concentraron el 23,7% de todos los ataques registrados en España durante 2024. Solo la Administración pública recibió más. Y las conclusiones del propio CCN-CERT no dejan mucho margen a la interpretación: la tendencia es al alza, los actores son más sofisticados, y la infraestructura en la nube se ha convertido en un vector de ataque prioritario.
Lo que quiero explicar aquí no es el problema en abstracto, es:
Por qué ocurre
Qué lo provoca
Qué se hace al respecto
Cloud y ciberseguridad como un mismo entorno de riesgo
He entrado en proyectos de organizaciones de todos los tamaños (sector público, energía, transporte, industria, salud…) donde la conversación sobre infraestructura cloud y la conversación sobre ciberseguridad habían transcurrido en paralelo durante años, sin cruzarse nunca del todo.
El resultado es siempre parecido: entornos que crecieron rápido, con deuda técnica acumulada, configuraciones que nadie revisó desde el despliegue inicial, cuentas con privilegios que ya nadie sabe para qué se crearon, y planes de continuidad que sobre el papel existían pero que nunca se habían probado de verdad.
Cuando la nube era un entorno secundario, eso era gestionable. Cuando la nube es donde corren los servicios críticos, y hoy lo es en la mayoría de las organizaciones, esa brecha se convierte en superficie de ataque activa.
El CCN-CERT lo dice explícitamente en sus conclusiones de 2025: es necesario integrar capacidades de prevención, detección y bloqueo de amenazas directamente sobre la infraestructura en la nube. No es una recomendación para el futuro. Es el diagnóstico de lo que faltó el año pasado.
Lo que dicen los datos
Los números del informe de noviembre de 2025 del CCN-CERT son elocuentes. En 2024, los ciberataques aumentaron más de un 75% respecto al año anterior. España ocupó el tercer puesto mundial entre los países más afectados por hacktivismo, con organismos gubernamentales, financieros, de transporte, telecomunicaciones y energía como principales objetivos, exactamente los sectores que operan infraestructuras críticas en entornos cloud.
Más allá del hacktivismo, el informe documenta campañas de grupos con respaldo estatal (Volt Typhoon, Sandworm) cuyo objetivo no es el robo de información sino posicionarse para causar disrupción operativa real en infraestructuras de países de la OTAN. No es ciencia ficción: ya ocurrió en Ucrania antes del conflicto armado, con campañas documentadas desde 2013 que culminaron en cortes reales del suministro eléctrico.
La convergencia OT/IT, que muchas organizaciones industriales están impulsando precisamente para ganar eficiencia operativa, está ampliando la superficie de ataque de forma significativa. Cuando los sistemas de automatización industrial se conectan a entornos cloud, las reglas de seguridad que valían para IT puro no son suficientes.
Para las empresas en general: el ransomware y el Malware as a Service representaron el 57% de las amenazas detectadas en el segundo semestre de 2024. Y el 70% de los ataques identificados contra empresas tuvieron como puerta de entrada el factor humano, principalmente phishing. No hace falta sofisticación extrema para comprometer un entorno si las bases no están bien puestas.
Dónde aparecen los problemas reales
Con los años he aprendido que los incidentes más graves no suelen ocurrir por vulnerabilidades de día cero ni por ataques de máxima sofisticación. Ocurren en los puntos donde nadie estaba mirando: una configuración por defecto que nunca se revisó, un acceso privilegiado que se creó para un proyecto temporal y lleva años activo, una segmentación de red que existía en el diseño original pero que las integraciones posteriores fueron erosionando.
En entornos híbridos y multicloud, que es donde opera la mayoría de las organizaciones hoy, la visibilidad es el primer problema. Si no tienes correlación de eventos entre tu Cloud privada, tu entorno en Azure, AWS (u otros proveedores) y tu infraestructura on-premise, hay zonas ciegas. Y las zonas ciegas son donde se instalan los problemas antes de que sean detectables.
El segundo problema es la respuesta. Muchas organizaciones tienen capacidades de detección razonables, pero carecen de procesos de respuesta que funcionen a la velocidad que requiere un incidente real. La diferencia entre contener un incidente en horas y contenerlo en días depende de haber preparado esos procesos antes, no de improvisar cuando ya hay un problema activo.
Lo que aprendes operando en entornos críticos
En los proyectos donde más he aprendido son aquellos donde la disponibilidad no es un KPI sino una obligación. Infraestructuras donde parar no es una opción, donde las ventanas de mantenimiento son de pocas horas fuera del horario pico, y donde cualquier cambio tiene que estar validado antes de ejecutarse en producción.
Uno de los proyectos internacionales que mejor ilustra este tipo de reto es el que llevamos a cabo para Aramco, donde trabajamos en el diseño e implantación de un modelo de gestión IT y ciberseguridad integrado desde cero: evaluación del modelo operativo existente, diseño de la arquitectura objetivo, despliegue de infraestructura cloud híbrida y puesta en marcha de un SOC con capacidades completas de monitorización, gestión de incidentes, respuesta y formación interna. Un entorno multifabricante, con requisitos de seguridad muy exigentes y sin margen para errores de integración.
Lo que diferencia ese tipo de proyectos no es la lista de herramientas desplegadas. Es haber diseñado la arquitectura de seguridad al mismo tiempo que la arquitectura de infraestructura, no después, el shift-left.
En proyectos en España, organismos del sector de la ciberseguridad nacional, infraestructuras de transporte, entidades sanitarias, el patrón de riesgo más recurrente que hemos encontrado no es técnico, sino organizativo: la seguridad llega tarde porque no estuvo en la mesa desde el principio.
Qué significa operar con cloud y ciberseguridad integrados
No existe un modelo único. Cada organización tiene un perfil de riesgo distinto, una regulación que cumplir, unos equipos internos con capacidades concretas y unas restricciones operativas propias.
Lo que sí es común a todos los entornos críticos es la necesidad de que cloud y ciberseguridad compartan el mismo modelo operativo: que la protección de identidades, la segmentación de red, la monitorización continua y la respuesta a incidentes no sean capas que se añaden encima de lo que ya existe, sino decisiones de diseño que se toman desde el principio.
En Clober trabajamos con ese enfoque: cloud privada, pública, híbrida o multicloud, con una capa de ciberseguridad transversal que cubre protección de infraestructuras, monitorización SOC, gestión de accesos privilegiados y cumplimiento normativo. Con metodologías DevSecOps porque integrar seguridad en el ciclo de vida del software es más eficiente y seguro que auditarlo a posteriori.
Si estás revisando cómo está planteada la integración entre infraestructura y seguridad en tu organización, y quieres contrastar lo que tienes con lo que hemos visto en entornos similares, podemos ayudarte. Sin auditorías genéricas. Con el criterio de quien ha estado antes en proyectos como el tuyo.
Fuente de referencia: CCN-CERT IA-04/25 «Ciberamenazas y Tendencias», Edición 2025. Centro Criptológico Nacional, noviembre de 2025