Por Hackanary — Ethical Hackers
"Mi proveedor cloud ya está certificado en ISO 27001, así que estamos cubiertos." Es una de las confusiones más frecuentes. El proveedor certifica **su** infraestructura; **tu** cuenta, tus permisos, tus buckets y tus aplicaciones son responsabilidad tuya y entran en el alcance de **tu** certificación. Para demostrarlo al auditor, el pentest cloud para ISO 27001 es la evidencia más directa.
El modelo de responsabilidad compartida
En AWS, Azure y Google Cloud, el proveedor protege la nube física y la plataforma. Tú eres responsable de **cómo la configuras**: quién tiene acceso, qué está expuesto a internet, cómo se guardan los secretos y qué corre dentro. La gran mayoría de las brechas en la nube vienen de configuraciones incorrectas del cliente, no de fallos del proveedor.
Qué controles de ISO 27001:2022 toca la nube
- »**A.5.23 Seguridad de la información para el uso de servicios en la nube:** control nuevo en la versión 2022, específico para esto.
- »**A.8.8 Gestión de vulnerabilidades técnicas:** vulnerabilidades en tus máquinas virtuales, contenedores y aplicaciones en la nube.
- »**A.8.9 Gestión de la configuración:** configuraciones inseguras de servicios cloud.
- »**A.8.20 Seguridad de redes:** grupos de seguridad, reglas de firewall y servicios expuestos.
- »**A.5.15, A.8.2 y A.8.5 Control de acceso, privilegios y autenticación:** roles IAM, MFA y cuentas con permisos excesivos.
- »**A.8.24 Uso de criptografía:** cifrado en reposo y en tránsito, gestión de claves.
- »**A.8.15 y A.8.16 Registro y monitoreo:** si los registros de la nube están activos y alguien los revisa.
Existen además dos normas complementarias: ISO/IEC 27017 (controles para servicios cloud) y ISO/IEC 27018 (protección de datos personales en la nube). No son obligatorias para certificar 27001, pero algunos clientes las piden.
Qué probamos en un pentest cloud
- »**Identidad y accesos (IAM):** usuarios, roles y políticas con permisos de más, claves de acceso antiguas, ausencia de MFA y rutas para escalar privilegios dentro de la cuenta.
- »**Almacenamiento:** buckets o blobs accesibles públicamente, snapshots y bases de datos expuestas.
- »**Red y servicios expuestos:** puertos abiertos, balanceadores, VPN, paneles de administración y APIs accesibles desde internet.
- »**Secretos:** claves, tokens y contraseñas en código, variables de entorno, repositorios o imágenes.
- »**Cómputo y contenedores:** máquinas virtuales, funciones serverless y Kubernetes mal configurados.
- »**Aplicaciones desplegadas:** vulnerabilidades web y de API de lo que corre en la nube.
- »**Movimiento lateral:** si comprometer un componente permite llegar a datos críticos.
AWS, Azure y GCP: lo que cambia entre nubes
Los conceptos se parecen, pero los nombres, las políticas por defecto y los vectores de ataque son distintos en cada plataforma: los roles y políticas de IAM en AWS, los roles de Entra ID y de suscripción en Azure, y las cuentas de servicio y la herencia de permisos en GCP. Por eso el pentest se adapta a cada una y no se puede tratar como "un escaneo genérico de nube". También respetamos la **política de pruebas de seguridad de cada proveedor** y dejamos las reglas de compromiso firmadas antes de empezar.
Pentest cloud, CSPM y auditoría de configuración
Las herramientas de **CSPM** (gestión de postura de seguridad en la nube) revisan configuraciones de forma continua y son útiles. Un **pentest** va un paso más allá: intenta **explotar** las debilidades, encadenarlas y medir el impacto real. Las dos cosas se complementan, y para el auditor un pentest independiente aporta algo que una herramienta no: la prueba de un tercero. Si quieres la base conceptual, lee qué es el pentest cloud.
Qué evidencia entregar al auditor
- »Informe del pentest con alcance (cuentas, suscripciones, proyectos y regiones), fechas y metodología.
- »Hallazgos mapeados a los controles de tu SoA (A.5.23, A.8.8, A.8.9, A.8.20 y los que apliquen).
- »Plan de tratamiento con responsables y fechas.
- »Retest que demuestre el cierre de los hallazgos críticos y altos.
- »Si corresponde, aceptación formal de los riesgos que decidiste mantener.
Combínalo con tus aplicaciones y tu perímetro
La forma más eficiente es un alcance único: nube, aplicaciones web y APIs e infraestructura expuesta, con un solo informe consolidado. Y si renuevas tu certificación cada año, el plan anual tiene tarifa preferente para clientes recurrentes.
Preguntas frecuentes
¿Si mi proveedor cloud tiene ISO 27001, necesito igual un pentest cloud?
Sí. El proveedor certifica la seguridad de su plataforma. La configuración de tu cuenta, tus accesos y tus aplicaciones son responsabilidad tuya y entran en el alcance de tu SGSI.
¿Necesito autorización de AWS, Azure o Google para hacer el pentest?
Cada proveedor tiene su propia política de pruebas de seguridad. Revisamos la política vigente, acotamos las pruebas a lo permitido y lo dejamos en las reglas de compromiso firmadas contigo.
¿Qué acceso necesitan a mi cuenta cloud?
Depende del alcance: puede ser una prueba externa sin credenciales o una revisión con una cuenta de solo lectura que tú entregas. Se define en la reunión de alcance.
¿El pentest cloud afecta mi producción?
No debería. Acordamos por escrito horarios, técnicas permitidas y exclusiones, y exploramos de forma controlada.
¿Sirve para la auditoría de vigilancia anual?
Sí. Entregamos informe ejecutivo y técnico con evidencia, mapeo a controles y retest, listo para presentar al auditor.
¿Tu nube está dentro del alcance de ISO 27001? Cotiza tu pentest cloud por WhatsApp. Desde **25 UF + IVA** según el alcance, con 2 retests incluidos.