Qué mide un CSPM

Una herramienta de gestión de la postura de seguridad en la nube (CSPM, por sus siglas en inglés) consulta las interfaces de administración de cada cuenta con un rol de solo lectura, arma un inventario de recursos y evalúa la configuración de cada uno contra reglas: un almacenamiento sin cifrar, un puerto de administración abierto, un usuario sin segundo factor. Cada resultado es un hallazgo: un recurso, una regla y un estado.

Lo que no mide es igual de importante. No lee el contenido de tus datos, no ve el tráfico, no detecta que alguien esté usando una credencial robada ni responde a un ataque en curso: eso lo hacen otros controles. Una plataforma que además reúne el análisis de cargas de trabajo, de código de infraestructura y de identidades en un solo lugar suele llamarse CNAPP; dentro de ella, la parte de postura sigue siendo lectura de configuración.

Un escaneo solo mira donde se le dice que mire. Las nubes permiten crear recursos en muchas regiones, y es habitual que una región se habilite para un proyecto y nadie la añada después al alcance de la herramienta. El resultado es un punto ciego: allí pueden vivir recursos mal configurados que ningún informe mostrará.

La primera comprobación de cualquier informe de postura es comparar lo que la cuenta tiene habilitado con lo que la herramienta escanea.

El resumen de un escaneo suele traer tres cifras: recursos inventariados, recursos evaluados y recursos sin evaluar. La cobertura es la proporción de lo inventariado que se evaluó de verdad. Una cobertura baja no es un fallo de la nube sino de la medición: el informe no puede garantizar nada sobre lo que no evaluó.

Calcula la cobertura del escaneo de la cuenta de producción.

La causa más común de una cobertura baja es de permisos: el rol de lectura que usa el conector se creó cuando la cuenta tenía menos servicios, y los tipos de recurso nuevos quedaron fuera. La herramienta no se queja: simplemente no los ve, y los cuenta como «sin evaluar» o, peor, no los cuenta.

Compara los 60 recursos sin evaluar con el resumen de permisos de lectura del conector.

El resumen dice «hallazgos críticos: 0» para mutis-prod. Es la frase que más se cita en una reunión y la que menos se examina. Antes de repetirla hay que preguntarse sobre qué universo se dijo: aquí, sobre 180 de 240 recursos, y los 60 restantes son un tipo concreto que el conector no puede leer.