Encuesta de SANS revela una brecha preocupante: ¿por qué las empresas siguen sin estar preparadas para proteger la nube?

La adopción de servicios en la nube avanza más rápido que la capacidad de muchas organizaciones para protegerlos.

Aunque las empresas han trasladado aplicaciones, datos y procesos críticos a estos entornos, sus estrategias de ciberseguridad no siempre han evolucionado al mismo ritmo.

Una encuesta de SANS Institute, publicada el 21 de octubre de 2026, pone sobre la mesa esta diferencia: el 93% de los participantes utiliza cargas de trabajo de producción en la nube, pero solo el 40% considera que su estrategia de seguridad está en un nivel avanzado u optimizado.

Estos resultados plantean una pregunta importante para los responsables de seguridad:

¿Qué está impidiendo que la protección de la nube avance al mismo ritmo que su adopción?

1. Configuraciones incorrectas: un riesgo que comienza desde dentro

Uno de los desafíos más persistentes de la seguridad en la nube es la configuración de los servicios.

Permisos demasiado amplios, almacenamiento expuesto o políticas de acceso mal definidas pueden generar vulnerabilidades incluso cuando se utilizan plataformas con controles de seguridad robustos.

El problema no siempre está en la tecnología, sino en cómo se implementa y administra.

Para reducir estos riesgos, las organizaciones necesitan:

Establecer configuraciones seguras desde el despliegue.
Automatizar revisiones.
Detectar cambios que puedan exponer información sensible.
Corregir desviaciones antes de que se conviertan en incidentes.

2. Falta de visibilidad sobre los entornos digitales

A medida que las empresas incorporan más servicios y proveedores de nube, mantener una visión completa de sus activos se vuelve más complicado.

Una organización puede contar con herramientas de monitoreo y, aun así, desconocer:

Qué recursos están activos.
Quién tiene acceso a ellos.
Qué información almacenan.
Qué cambios se realizaron recientemente.
Qué servicios están expuestos a internet.

Esta falta de visibilidad dificulta identificar amenazas y responder oportunamente ante incidentes.

La seguridad en la nube comienza por conocer qué se está protegiendo.

Por ello, es fundamental mantener inventarios actualizados, centralizar registros y establecer mecanismos de monitoreo continuo.

3. Gestión de identidades y accesos: más usuarios, más riesgos

En la nube, las identidades se han convertido en un componente central de la seguridad.

Empleados, proveedores, aplicaciones y servicios automatizados necesitan acceder a distintos recursos. Sin controles adecuados, esta diversidad puede ampliar la superficie de ataque.

Las organizaciones deben prestar especial atención a:

Cuentas con privilegios elevados.
Accesos que permanecen activos innecesariamente.
Credenciales utilizadas por aplicaciones.
Usuarios externos o terceros.
Permisos que ya no corresponden con las funciones actuales.

Implementar autenticación multifactor, aplicar el principio de mínimo privilegio y revisar periódicamente los permisos son medidas esenciales para disminuir la exposición.

4. Entornos híbridos: cuando la complejidad supera a los controles

Muchas empresas no operan exclusivamente en la nube.

Sus infraestructuras combinan sistemas locales, servicios públicos, plataformas privadas y aplicaciones distribuidas.

Esta arquitectura ofrece flexibilidad, pero también introduce desafíos de integración y supervisión.

Cuando cada entorno utiliza herramientas, políticas y procesos diferentes, pueden surgir puntos ciegos que dificultan mantener una protección consistente.

El reto consiste en establecer una estrategia de seguridad coordinada, con:

Políticas comunes.
Visibilidad integral.
Controles consistentes.
Responsabilidades claramente definidas.
Procesos de respuesta coordinados.

5. Más inversión no siempre significa mayor seguridad

La encuesta de SANS también revela que el 70% de los participantes reportó un aumento en el presupuesto destinado a seguridad en la nube respecto al año anterior.

Sin embargo, invertir más no garantiza una mejor protección cuando las herramientas operan de forma aislada o los equipos carecen de procesos claros para corregir vulnerabilidades.

El estudio señala además que:

El 49% necesita más de 24 horas para solucionar una brecha crítica conocida.
Las configuraciones incorrectas representan el 45% de los incidentes críticos reportados.
El robo de credenciales representa el 22%.

Estos datos refuerzan la necesidad de priorizar la prevención, la automatización de controles y la coordinación entre equipos, en lugar de depender exclusivamente de nuevas herramientas.

¿Qué deben priorizar los CISOs?

Los resultados de SANS permiten identificar cuatro acciones fundamentales:

1. Prevenir errores de configuración

Integrar controles automáticos antes de desplegar nuevos recursos y establecer configuraciones seguras desde el inicio.

2. Mejorar la visibilidad

Unificar el monitoreo de activos, identidades y cargas de trabajo para contar con una visión integral del entorno.

3. Fortalecer el control de accesos

Aplicar verificaciones continuas, autenticación robusta y límites claros sobre los privilegios asignados.

4. Reducir la fragmentación

Integrar herramientas y establecer responsables claros para corregir los riesgos detectados.

Conclusión: estar en la nube no significa estar protegido

La encuesta SANS 2026 Cloud Security Survey Insights, basada en las respuestas de más de 400 profesionales de TI y seguridad de distintas regiones, evidencia que la adopción tecnológica y la madurez de seguridad no necesariamente avanzan juntas.

Para los CISOs, el desafío ya no consiste únicamente en proteger nuevas infraestructuras, sino en garantizar que los controles existentes funcionen de manera consistente, medible y efectiva.

La verdadera madurez en seguridad en la nube no se mide por cuántas herramientas tiene una empresa, sino por su capacidad para prevenir, detectar y corregir riesgos oportunamente.

En CISOCLUB seguimos impulsando el intercambio de conocimientos y experiencias que permiten fortalecer la resiliencia digital de las organizaciones.

Fuente principal

SANS Institute. 2026 Cloud Security Survey Insights, 21 de octubre de 2026.