El Incidente De EY: Qué Pasó Y Por Qué Importa
Qué Pasó En El Incidente EY
Un investigador de seguridad descubrió un archivo de copia de seguridad de 4 TB perteneciente a EY, alojado en un contenedor de Azure mal configurado como público y sin restricciones de acceso. En términos sencillos, era como encontrar el plano maestro y las llaves de una cámara acorazada tiradas en la calle. La copia contenía potencialmente el volcado completo de una base de datos corporativa. Entre los datos expuestos se hallaban secretos altamente sensibles:
- Esquemas completos de bases de datos e información de usuarios.
- Claves de API privadas, contraseñas y tokens de autenticación.
En resumen, ofrecía todo lo necesario para que un atacante campase a sus anchas por los sistemas de EY. Por si fuera poco, el backup ni siquiera estaba cifrado, facilitando la lectura directa de su contenido. Se desconoce cuánto tiempo permaneció público el archivo, pero incluso unas pocas horas suponen un riesgo enorme: en la era de los escáneres automatizados, la pregunta no es si alguien encontró los datos, sino cuántos.
Por Qué Este Caso Sacude A Las Empresas
Que esto le ocurra a un gigante como EY pone de manifiesto dos verdades: los errores de configuración en la nube no entienden de tamaño (incluso la empresa más avanzada puede verse superada por la complejidad) y el riesgo para el negocio es real (una filtración conlleva daño reputacional, sanciones y pérdida de confianza).
Para los directivos y fundadores, la lección es clara: la seguridad en la nube es un asunto de juntas directivas, no solo del departamento de IT. En resumen, invertir en gobernanza y seguridad proactiva no es un coste, sino un seguro de continuidad de negocio.
Gobernanza Y Visibilidad: Sin Inventario No Hay Control
Inventario Continuo De Activos Cloud: Visibilidad 360º
La primera lección estratégica es la necesidad de saber qué tenemos en la nube en todo momento. Muchas empresas gestionan inventarios y CMDB de sus activos on-premise, pero en la nube el panorama cambia: recursos efímeros, entornos que crecen con unos pocos clics, equipos de desarrollo que despliegan servicios en minutos. Sin un inventario cloud continuo, es fácil que aparezcan activos fantasma fuera del radar corporativo.
Tomemos el contenedor de Azure expuesto en EY: ¿figuraba en algún registro oficial? Probablemente no. La visibilidad 360º implica tener un mapa completo y actualizado de máquinas virtuales, bases de datos, almacenes de backups, contenedores y cualquier otro recurso en uso. No valen listados estáticos en una hoja de cálculo; se necesitan herramientas automatizadas que escaneen nuestras suscripciones cloud, descubran nuevos recursos e incluso detecten configuraciones peligrosas. Esa visibilidad integral es el primer paso para prevenir sustos mayores.
CMDB Cloud Actualizada: Gobernanza En Tiempo Real
Llevar la CMDB (Base de Datos de Configuración) al mundo cloud es el siguiente pilar. Esto implica adaptar la gobernanza tradicional a la velocidad del entorno cloud. Un buen CMDB cloud registra cada instancia, bucket, contenedor, función sin servidor y servicio gestionado en uso, junto con su dueño y propósito. Así, si mañana un desarrollador habilita un nuevo almacén de datos, queda automáticamente catalogado con un responsable y un nivel de sensibilidad.
La gobernanza en tiempo real requiere políticas claras: por ejemplo, ninguna nueva base de datos o bucket debe crearse sin etiquetas de propietario y clasificación. También supone revisiones periódicas del inventario para identificar recursos huérfanos o mal configurados. Como líder, debes exigir informes fiables sobre el estado de tus activos cloud. En la nube, la visibilidad es poder.
Principio De Mínimo Privilegio: La Regla De Oro En La Nube
Acceso Público: Un Solo Error Anula Toda Tu Seguridad
La segunda gran lección es casi obvia: si expones algo crítico de forma pública, las demás capas de seguridad dejan de importar. En el caso de EY, bastó un clic mal dado, marcar un contenedor como “público”, para echar por tierra cualquier otra salvaguarda. Firewalls, sistemas de detección de intrusos, autenticación multifactor... nada de eso cuenta cuando tus datos están literalmente al alcance de cualquiera en Internet. Es el equivalente a dejar la puerta de la bóveda abierta: por muy gruesas que sean las paredes del banco, el ladrón solo tiene que entrar y llevarse el botín.
Este hecho nos obliga a adoptar una mentalidad de cero acceso por defecto. Cada vez que tu organización crea un recurso en la nube, la pregunta inicial debe ser: “¿Realmente necesita ser accesible públicamente?”. La configuración predeterminada debe ser siempre privada, y abrir la puerta solo tras una deliberación consciente y con medidas compensatorias (por ejemplo, limitar IPs permitidas o habilitar alertas). Para los líderes, esto se traduce en exigir a sus equipos que documenten cualquier excepción: si un almacén o servicio debe estar público, ¿quién lo aprobó y bajo qué condiciones? Así evitamos que la comodidad venza a la seguridad. Diseñemos nuestros procesos para que esos descuidos sean menos probables y más fáciles de detectar antes de que causen estragos.
Privilegios Mínimos: Acceso Solo A Lo Imprescindible
Relacionado con lo anterior está el principio de privilegios mínimos (Principle of Least Privilege, PoLP). Aplicado a la nube, significa que cada usuario, sistema o componente solo debe tener los permisos indispensables para su función, ni uno más. Si este principio se hubiese seguido al pie de la letra, es muy posible que el contenedor de backup de EY jamás hubiera estado accesible para nadie salvo un servicio interno específico, y desde luego nunca abierto a todo Internet.
Implementar los privilegios mínimos implica inculcar en la organización la idea de “acceso por necesidad”, revisar regularmente los permisos concedidos (las cuentas tienden a acumular privilegios con el tiempo) y aprovechar las herramientas de gestión de identidades (IAM) para imponer políticas granulares. Adoptar este enfoque reduce drásticamente la superficie de ataque. Limitar el alcance de cada cuenta y servicio asegura que, aunque se filtre una credencial o un empleado cometa un error, el daño potencial esté acotado. En términos de riesgo, es la diferencia entre un incendio controlado en una sala y que arda todo el edificio. No hace falta que domines cada detalle técnico, pero sí que impulses una cultura donde menos es más en accesos.
Clasificación Y Cifrado: Blindaje Para Tus Datos Sensibles
No Todo Es Igual: Clasifica Para Proteger Lo Crítico
La tercera lección nos lleva al manejo de la información. No todos los datos tienen el mismo valor ni requieren el mismo nivel de protección, por eso es vital establecer un esquema de clasificación de datos en la empresa. Si en EY hubieran catalogado ese backup de 4 TB como “altamente confidencial”, quizá habrían saltado alarmas al verlo expuesto sin cifrar. Clasificar consiste en etiquetar datos y sistemas según su sensibilidad (p. ej., público, interno, confidencial, secreto) y aplicar controles acorde a cada nivel.
¿Qué gana el negocio con esto? Prioridad y foco. Una startup quizás no pueda dedicar los mismos recursos a proteger cada byte, pero sí debe identificar sus “joyas de la corona” digitales, aquellos datos que podrían hundir la empresa si se filtran, y ponerles siete candados. Hablamos de datos de clientes, propiedad intelectual o secretos industriales. En el día a día, una buena política de clasificación obliga a reflexionar antes de almacenar o enviar información sensible: “¿Cómo etiquetamos esto y qué medidas requiere?”. Para los líderes, impulsar esta práctica es sinónimo de gobernanza inteligente: enfocas los recursos donde más importan y evitas gastar esfuerzos protegiendo trivialidades mientras lo esencial queda desprotegido.
Cifrado Permanente: Tu Última Línea De Defensa
Incluso con todos los cuidados previos, debemos asumir que algún día algo puede exponerse. Para ese escenario límite existe un salvavidas crucial: el cifrado de datos. Si los datos sensibles están correctamente cifrados, una filtración no tiene por qué convertirse en catástrofe, ya que quien obtenga la información no podrá leerla sin las claves. En el caso de EY, el backup expuesto no estaba cifrado, un descuido grave considerando que cifrar bases de datos y backups en reposo es hoy una práctica estándar con impacto mínimo en rendimiento.
El cifrado debe ser obligatorio y por defecto en todos los almacenes donde residen datos críticos. Las principales plataformas cloud ofrecen cifrado transparente, gestión centralizada de claves (KMS) y otras facilidades, así que no hay excusa para no usarlas. Como directivo, tal vez no manejes los detalles criptográficos, pero puedes exigir que todas las unidades de negocio cumplan con políticas de cifrado en reposo (y en tránsito). También conviene auditar que no haya datos sensibles en claro en ningún entorno. Piensa en el cifrado como la última puerta de la bóveda: aunque alguien acceda, no podrá abrir el cofre que guarda tus valores. Y no olvides que de nada sirve cifrar si las llaves se dejan al alcance de cualquiera; la gestión de claves es parte integral de esta defensa.
Factor Humano: Concienciación Y Formación Continua
Concienciación Constante: Creando Una Cultura De Seguridad
La tecnología puede fallar si las personas fallan. Detrás de cada “error humano” suele haber una oportunidad de mejorar la concienciación y la cultura organizativa. ¿Por qué un técnico de EY pudo dejar un contenedor crítico abierto? Por prisa, exceso de confianza o falta de conciencia del impacto real. Construir una cultura de seguridad significa que cada empleado, desde TI hasta marketing, entienda su papel en la protección de la empresa.
La concienciación debe ser continua, no un cursillo anual. Requiere campañas internas permanentes: boletines con casos recientes (como el de EY), recordatorios en comunicaciones corporativas, incluso entrenamiento con pequeñas pruebas o simulaciones de errores. El objetivo es que la seguridad deje de ser “cosa del departamento de informática” y se incorpore a la toma de decisiones diaria. Cuando logras ese cambio cultural, los errores disminuyen porque la gente piensa dos veces antes de actuar: ese es el verdadero cortafuegos humano que complementa cualquier herramienta técnica.
Formación Continua: Del Error Humano A La Excelencia
Junto a la concienciación está la formación técnica continua. Las amenazas evolucionan al igual que las plataformas cloud; un plan de formación sólido garantiza que tus equipos estén al día en buenas prácticas y sepan cómo prevenir y responder ante incidentes. No se trata solo de cursos teóricos: talleres prácticos, simulacros de ataque y auditorías sorpresa ayudan a preparar a tu personal para lo inesperado.
La formación, bien enfocada, convierte errores potenciales en oportunidades de mejora. Cada incidente, interno o ajeno, debería servir para actualizar las capacitaciones: aprendemos de los fallos para no repetirlos. Un personal bien entrenado es una ventaja competitiva: permite adoptar nuevas tecnologías con confianza y seguridad. Formar continuamente a tu gente es invertir en la excelencia operativa de tu negocio.
Tu Próximo Paso Hacia La Seguridad Estratégica
En BESAP sabemos que adaptarse a estas exigencias lleva tiempo. Nuestro compromiso es acompañarte para lograr una gobernanza cloud madura y una gestión del riesgo empresarial proactiva. Junto a ti, diseñaremos políticas robustas, implementaremos controles a medida y capacitaremos a tus equipos para crear un entorno digital donde la seguridad impulse y no frene la innovación. ¿Hablamos sobre cómo fortalecer la seguridad de tu nube?
Javier Martínez
