Framework de Seguridad Cloud Enterprise v3.1

Proposito y audiencia

Dirigido a equipos DevSecOps, arquitectos cloud y responsables de cumplimiento que necesitan una guia practica. Cada control incluye racional de negocio y pasos de implementacion.

Se asume conocimiento basico de AWS, GCP o Azure. Los controles son equivalentes entre proveedores salvo indicacion explicita.

Alcance

Cubre: cuentas cloud de produccion y staging, cargas de trabajo en contenedores e instancias, bases de datos gestionadas y configuracion de red.

Como usar este documento

1. Evalua el nivel actual con el checklist del Anexo A.
2. Prioriza controles segun la matriz de riesgo del Capitulo 2.
3. Implementa por capitulo siguiendo el orden propuesto.
4. Documenta evidencias para cada control implementado.
5. Revisa el framework cada 12 meses o ante cambios arquitecturales.

OWASP Cloud Top 10

Metodologia STRIDE en cloud

STRIDE aplicado a arquitecturas cloud:

• Spoofing: suplantacion via credenciales robadas o SSRF
• Tampering: modificacion no autorizada de datos en storage
• Repudiation: falta de logs que impide atribuir acciones
• Information Disclosure: buckets S3 publicos, snapshots sin cifrar
• Denial of Service: agotamiento de cuotas y ataques volumetricos
• Elevation of Privilege: roles IAM sobredimensionados

Principio de minimo privilegio

Cada usuario, servicio y aplicacion debe tener unicamente los permisos estrictamente necesarios:

• Crear roles especificos por funcion, nunca usar AdministratorAccess en cuentas de servicio
• Revisar permisos cada 90 dias con AWS IAM Access Analyzer
• Eliminar usuarios y roles inactivos por mas de 60 dias
• Nunca compartir credenciales entre servicios o entornos

MFA obligatorio

aws iam create-policy \
  --policy-name RequireMFA \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [{
      "Effect": "Deny",
      "NotAction": [
        "iam:CreateVirtualMFADevice",
        "iam:EnableMFADevice",
        "sts:GetSessionToken"
      ],
      "Resource": "*",
      "Condition": {
        "BoolIfExists": {
          "aws:MultiFactorAuthPresent": "false"
        }
      }
    }]
  }'

Rotacion de credenciales

Las Access Keys no deben vivir mas de 90 dias:

aws cloudwatch put-metric-alarm \
  --alarm-name AccessKeyAge90 \
  --metric-name DaysSinceLastRotation \
  --namespace AWS/IAM --statistic Maximum \
  --period 86400 --threshold 90 \
  --comparison-operator GreaterThanThreshold \
  --alarm-actions arn:aws:sns:us-east-1:ACCOUNT:security-alerts

VPC segura — tres capas

Security Groups por capa

resource "aws_security_group" "alb" {
  ingress { from_port=443; to_port=443; protocol="tcp"; cidr_blocks=["0.0.0.0/0"] }
  egress  { from_port=8080; to_port=8080; protocol="tcp"
            security_groups=[aws_security_group.app.id] }
}
resource "aws_security_group" "app" {
  ingress { from_port=8080; to_port=8080; protocol="tcp"
            security_groups=[aws_security_group.alb.id] }
  egress  { from_port=5432; to_port=5432; protocol="tcp"
            security_groups=[aws_security_group.db.id] }
}

Estandares minimos

KMS con rotacion automatica

resource "aws_kms_key" "app_data" {
  description             = "CMK para datos de produccion"
  deletion_window_in_days = 30
  enable_key_rotation     = true
}
resource "aws_kms_alias" "app_data" {
  name          = "alias/app-data-prod"
  target_key_id = aws_kms_key.app_data.key_id
}

SLA internos por criticidad

Escaneo de imagenes en CI/CD

- name: Scan Docker image
  uses: aquasecurity/trivy-action@master
  with:
    image-ref: ${{ env.IMAGE }}:${{ env.TAG }}
    format: sarif
    output: trivy-results.sarif
    severity: CRITICAL,HIGH
    exit-code: '1'

Arquitectura de logging

• CloudTrail multi-region a S3 centralizado con Object Lock inmutable
• VPC Flow Logs a CloudWatch Logs (retencion 90 dias minimo)
• Application logs a CloudWatch Logs con exportacion a S3
• RDS logs con exportacion a CloudWatch

Alertas criticas

Clasificacion P1-P4

Runbook de incidente P1

1. Confirmar el incidente (max 5 min)
2. Activar canal de war room en Slack / Teams
3. Notificar al responsable de seguridad y CTO
4. Contener: revocar credenciales, aislar recurso afectado
5. Preservar evidencias: no eliminar logs, tomar snapshots
6. Erradicar causa raiz con acciones documentadas
7. Restaurar desde backup limpio verificado
8. Iniciar post-mortem dentro de las 48h siguientes

Mapa de controles cruzados

Calendario de revision

• Mensual: revision de alertas y metricas de seguridad
• Trimestral: revision de accesos IAM y permisos inactivos
• Semestral: prueba de penetracion y revision de politicas
• Anual: auditoria completa del framework