CSPM: Detecta Misconfiguraciones Cloud Antes que un Atacante (Guía 2026)

Tienes 850 recursos en AWS, 400 en GCP y una app en Firebase. Cada uno con decenas de configuraciones de seguridad. ¿Cuántos Security Groups tienes abiertos al mundo? ¿Cuántos buckets S3 son públicos? ¿Cuántos usuarios IAM llevan meses sin rotar credenciales? Si no puedes responder con certeza, necesitas CSPM.

No es una pregunta retórica. Las brechas de seguridad en la nube rara vez vienen de un exploit sofisticado o de un zero-day. Vienen de una configuración que alguien dejó abierta y nadie revisó. Un Security Group con acceso SSH desde cualquier IP. Un bucket con ACLs públicas porque "era más fácil para desarrollo". Un usuario de servicio con permisos de administrador porque "lo necesitaba para una migración" hace seis meses.

El problema escala rápido. Con tres o cuatro servicios cloud, decenas de cuentas y cientos de desarrolladores haciendo cambios cada día, revisar configuraciones manualmente deja de ser viable.

¿Qué es CSPM? Respuesta rápida

CSPM (Cloud Security Posture Management) es un conjunto de herramientas que evalúa de forma continua la configuración de entornos cloud (AWS, GCP, Azure) contra benchmarks de seguridad como CIS, NIST 800-53 e ISO 27001, detectando configuraciones incorrectas y riesgos de cumplimiento.

Un CSPM identifica errores frecuentes como buckets S3 públicos, security groups demasiado abiertos, cifrado en reposo deshabilitado o roles IAM con permisos excesivos. Cada hallazgo se mapea al control de cumplimiento que incumple, facilitando la evidencia para auditoría.

CSPM se diferencia de CWPP (Cloud Workload Protection Platform) en que CSPM evalúa la configuración del entorno, mientras que CWPP protege las cargas de trabajo en ejecución contra amenazas activas. Son capas complementarias, no sustitutas.

---

Qué es CSPM (Cloud Security Posture Management)

CSPM es la evaluación automatizada y continua de las configuraciones de seguridad de tu infraestructura cloud. En lugar de que alguien revise manualmente si tus recursos están bien configurados, una herramienta CSPM se conecta a tus cuentas cloud mediante APIs de solo lectura y compara cada configuración contra un conjunto de controles de seguridad reconocidos: CIS Benchmarks, controles de ISO 27001, requisitos de NIS2.

Lo que hace en la práctica es sencillo: lee el estado de tu infraestructura, lo compara con cómo debería estar, y te dice qué está mal, por qué importa y cómo arreglarlo.

No instala agentes en tus máquinas. No toca tu tráfico. No afecta al rendimiento de nada. Solo lee configuraciones y las evalúa. Piensa en ello como un auditor de seguridad que trabaja 24/7 y no necesita café.

---

Las misconfiguraciones más comunes en cloud

Estas son las que vemos una y otra vez en entornos reales. No son edge cases teóricos: son errores que aparecen en la mayoría de auditorías cloud que hemos realizado.

S3 Buckets con acceso público. El clásico. Un bucket creado para servir assets estáticos con una ACL pública, y alguien termina subiendo backups de base de datos al mismo bucket. O un bucket con una policy que permite s3:GetObject a "Principal": "*" sin que nadie se dé cuenta. Un atacante no necesita explotar nada: solo necesita conocer el nombre del bucket.

Security Groups con 0.0.0.0/0 en SSH o RDP. Si tu Security Group permite tráfico entrante en el puerto 22 o 3389 desde cualquier IP, cualquier bot de escaneo del mundo puede intentar fuerza bruta contra tus instancias. Esto es especialmente grave cuando las instancias usan credenciales por defecto o claves SSH débiles.

Usuarios IAM sin MFA. Un usuario IAM con acceso a la consola de AWS y sin MFA es una invitación abierta. Basta con que ese usuario reutilice una contraseña filtrada en otro servicio para que un atacante tenga acceso completo. Y si ese usuario tiene policies de administrador, el impacto es total.

CloudTrail desactivado. Sin CloudTrail no tienes registro de quién hizo qué en tu cuenta de AWS. Si alguien compromete una credencial y empieza a crear recursos o exfiltrar datos, no tendrás forma de saber qué pasó ni cuándo. Es como tener una oficina sin cámaras de seguridad ni registro de accesos.

Instancias RDS sin cifrado en reposo. Una base de datos en RDS sin cifrado at-rest significa que si alguien obtiene acceso a los snapshots o al almacenamiento subyacente, puede leer todos los datos en claro. Activar el cifrado es un checkbox al crear la instancia. No hacerlo es negligencia.

Firebase Firestore con reglas abiertas. El clásico allow read, write: if true en las reglas de Firestore. Lo que empezó como "modo de prueba" lleva meses en producción y cualquier persona con el ID del proyecto puede leer y escribir toda la base de datos. Hemos visto apps con millones de usuarios exponiendo datos personales por esta configuración.

Service Accounts de GCP con permisos de Owner. Un service account que solo necesita leer de BigQuery pero tiene el rol de Owner en todo el proyecto. Si esa clave se filtra (y las claves de service accounts se filtran constantemente en repos de Git), el atacante tiene acceso absoluto a todo el proyecto GCP.

---

CSPM vs. las herramientas nativas de tu cloud

Tanto AWS como GCP tienen sus propias herramientas de seguridad. AWS tiene Security Hub con GuardDuty y Config Rules. GCP tiene Security Command Center. Son buenas herramientas. Pero tienen una limitación fundamental: cada una solo ve su propia nube.

Si tienes infraestructura en AWS y GCP (y la mayoría de empresas medianas la tienen), estás gestionando dos dashboards completamente separados. Con dos conjuntos de alertas, dos sistemas de puntuación y dos formas diferentes de categorizar los problemas. Correlacionar un riesgo que afecta a recursos en ambos proveedores se convierte en un ejercicio manual.

Además, las herramientas nativas tienden a tratar todas las alertas con la misma urgencia. Un Security Group abierto en una instancia de desarrollo sin datos sensibles recibe la misma severidad que uno en el servidor de producción que procesa pagos. Sin contexto de negocio, acabas con cientos de alertas y sin saber por dónde empezar.

Y luego está Firebase. Ni AWS Security Hub ni GCP Security Command Center evalúan las reglas de seguridad de Firestore o Realtime Database de forma significativa. Si tienes una app con Firebase en tu stack (y muchas startups la tienen), es un punto ciego que las herramientas nativas no cubren.

CSPM unifica todo en un solo panel: AWS, GCP, Firebase, y cualquier otro proveedor. Te da una vista consolidada del riesgo real, con priorización basada en el impacto potencial, no solo en la severidad técnica.

---

Cómo funciona CSPM en la práctica

El flujo es más simple de lo que parece:

Conexión. Creas un IAM Role de solo lectura en AWS o un Service Account con permisos de viewer en GCP. La herramienta CSPM usa esas credenciales para leer configuraciones. No necesita permisos de escritura ni acceso a datos. Solo lee metadatos de infraestructura: cómo están configurados tus recursos, no qué contienen.

Descubrimiento automático de activos. Una vez conectada, la herramienta hace un inventario completo: instancias EC2, buckets S3, bases de datos RDS, funciones Lambda, proyectos de Firebase, clusters de GKE, VPCs, subnets, IAM policies. Todo lo que existe en tus cuentas aparece en un inventario centralizado.

Evaluación contra controles. Cada recurso se evalúa contra más de 200 controles de seguridad. ¿Este bucket tiene cifrado? ¿Este Security Group permite acceso desde 0.0.0.0/0? ¿Este usuario IAM tiene MFA? ¿Esta base de datos tiene backups automáticos? Cada control tiene una explicación del riesgo y una referencia al estándar correspondiente (CIS, ISO 27001, NIS2).

Puntuación de riesgo. No todos los hallazgos son iguales. Un bucket S3 público que contiene logs de acceso es muy diferente de un bucket S3 público que contiene datos de clientes. Una buena herramienta CSPM contextualiza: evalúa la combinación de exposición, sensibilidad del recurso y facilidad de explotación para asignar una puntuación real.

Alertas y guías de remediación. Cuando encuentra algo mal, te avisa por los canales que uses (Slack, email, Jira) y te dice exactamente cómo arreglarlo. No solo "este Security Group es inseguro", sino el comando exacto de AWS CLI o el bloque de Terraform que necesitas para corregirlo.

---

CSPM y compliance: CIS, ISO 27001, NIS2

Si quieres ver exactamente qué checks ejecuta un CSPM contra tu cuenta de AWS o GCP, empieza por los CIS Benchmarks. CIS define más de 200 controles específicos por proveedor cloud — desde verificar que CloudTrail está activado en todas las regiones hasta comprobar que ningún Security Group permite acceso SSH desde 0.0.0.0/0. Un CSPM evalúa tu infraestructura contra estos controles de forma automática y continua, en lugar de que alguien los revise manualmente una vez al trimestre.

Una de las ventajas más prácticas de CSPM es la generación automática de evidencias de cumplimiento. Cada misconfiguración detectada se mapea directamente a los controles de los frameworks que te aplican.

Un disco sin cifrado en reposo no es solo un "hallazgo de seguridad": es un incumplimiento del control A.10.1.1 de ISO 27001 (Política sobre el uso de controles criptográficos) y del control CIS 2.2.1. Cuando un auditor te pide evidencia de que tus sistemas cumplen con estos controles, en lugar de recopilar capturas de pantalla manualmente, exportas un informe del CSPM que muestra el estado actual de cada control, qué recursos cumplen, cuáles no, y desde cuándo.

Con NIS2 ya en vigor para muchas empresas europeas, los requisitos de seguridad de la infraestructura son más estrictos. NIS2 exige medidas técnicas y organizativas para gestionar riesgos de seguridad, incluyendo la seguridad de la cadena de suministro y la gestión de vulnerabilidades. CSPM cubre directamente varios de estos requisitos al monitorizar continuamente el estado de tu infraestructura y generar evidencia auditable de que los controles están implementados.

La alternativa es preparar auditorías a mano: revisar cada recurso, documentar su configuración, mapear manualmente contra cada control. Eso funciona cuando tienes 20 recursos. Con 1.200, es un trabajo de semanas que caduca el mismo día que lo terminas, porque alguien ya hizo un cambio en producción.

---

Qué buscar en una herramienta CSPM

No todas las soluciones CSPM son iguales. Estas son las capacidades que marcan la diferencia cuando evalúas opciones:

• Soporte multi-cloud real. No solo AWS. Si usas GCP, Azure, Firebase o DigitalOcean, necesitas que la herramienta los cubra todos. Muchas soluciones dicen ser multi-cloud pero solo tienen cobertura decente para AWS.

• Cobertura de Firebase y proveedores "menores". La mayoría de herramientas CSPM ignoran Firebase, DigitalOcean o Vercel. Si tienes una app móvil con Firebase, ese punto ciego puede ser tu mayor riesgo.

• Sin agentes. La conexión debe ser por API de solo lectura. Si te piden instalar agentes en cada instancia, el despliegue se complica innecesariamente y introduces un nuevo vector de ataque.

• Puntuación de riesgo con contexto. Las alertas deben tener priorización basada en el impacto real, no solo en la severidad teórica del hallazgo. Un puerto abierto en una instancia aislada sin datos no es lo mismo que un puerto abierto en tu base de datos de producción.

• Guías de remediación concretas. No basta con decir "este recurso está mal configurado". Necesitas el comando exacto, el bloque de Terraform, o el paso en la consola para arreglarlo. Si el equipo que tiene que corregir el problema no sabe cómo hacerlo, la alerta no sirve.

• Mapeo a CIS, ISO 27001 y NIS2. Si necesitas cumplir con alguno de estos frameworks, la herramienta debe generar informes de compliance listos para auditoría.

• Integraciones con Slack y Jira. Los hallazgos tienen que llegar donde tu equipo trabaja. Si la única forma de ver alertas es entrar en un dashboard, nadie las va a revisar.

• Precios razonables para startups. Muchas soluciones CSPM enterprise cuestan más que la propia infraestructura que protegen. Busca opciones con pricing basado en número de recursos, no en licencias por usuario.

Si buscas una solución que cubra estos puntos, puedes ver cómo lo hacemos nosotros en nuestra página de CSPM.

---

---

CSPM como Parte de una Estrategia de Seguridad Completa

CSPM mira tu nube desde dentro. Pero tu seguridad no termina en la configuración de tus cuentas cloud:

• EASM mira tu infraestructura desde fuera — como la vería un atacante. CSPM detecta el Security Group mal configurado; EASM confirma que el puerto está realmente accesible desde internet
• DAST prueba tus aplicaciones web y APIs en ejecución, encontrando vulnerabilidades que ningún análisis de configuración puede detectar
• ISO 27001 controles técnicos te da el mapa completo de los 34 controles tecnológicos — muchos se cubren directamente con CSPM
• Escaneo de vulnerabilidades en la nube profundiza en cómo se complementan el escaneo de configuración (CSPM) y el escaneo de vulnerabilidades

La combinación CSPM + EASM + DAST cubre las tres perspectivas: configuración interna, superficie externa y aplicaciones en ejecución. Es lo que Vulnerabbit unifica en una sola plataforma.

---

CSPM vs CNAPP: qué diferencia hay en 2026

CSPM es una pieza dentro de CNAPP (Cloud-Native Application Protection Platform), no una alternativa. CNAPP empaqueta CSPM con protección runtime (CWPP), gestión de permisos cloud (CIEM), escaneo de IaC y seguridad de contenedores — todo lo que CSPM no toca porque se queda en configuración estática.

¿Cuál te toca? Si tu stack es serverless o solo EC2/RDS/S3 sin contenedores en producción, un CSPM bien implementado cubre el 80% del riesgo de configuración. Si operas Kubernetes con pipelines que despliegan imágenes a diario y IAM federada entre cuentas, CNAPP empieza a tener sentido. Para la decisión completa con tabla por tamaño de equipo y stack, lee la guía CSPM vs CNAPP.

---

CSPM para AWS Security Hub: cuándo necesitas otra herramienta

AWS Security Hub agrega Config Rules, IAM Access Analyzer, GuardDuty e Inspector contra CIS AWS y FSBP, y entra "gratis" con la factura AWS. Te basta si vives 100% en AWS, tus cuentas se cuentan en decenas no en cientos, y los frameworks que AWS publica cubren tu alcance de compliance.

Te quedas corto cuando necesitas multi-cloud en un solo panel, evidencia vendor-agnostic para auditoría (un informe que el auditor pueda leer sin saber qué es Security Hub), o que los hallazgos lleguen a stakeholders no técnicos sin ARNs ni JSON. Para el desglose completo de Security Hub + CIS sobre AWS — qué activar, en qué orden, y dónde Security Hub deja huecos reales — lee la guía CSPM para AWS con CIS.

---

Auditoría de misconfiguraciones cloud en España: ENS, ISO 27001 y CSPM

En España, las auditorías de seguridad cloud no son opcionales para la mayoría de empresas que operan con administración pública o manejan datos personales a escala. ENS (Esquema Nacional de Seguridad) exige, en su operativa de seguridad de nivel medio y alto, revisiones periódicas de la configuración de los sistemas — y "periódicas" en cloud, donde la infraestructura cambia varias veces al día, significa continuas. Un CSPM automatiza exactamente este punto: en lugar de capturas manuales una vez al trimestre, tienes evidencia continua de qué control se cumple y cuándo dejó de cumplirse.

Para ISO 27001:2022, los controles clave son A.8.9 (Gestión de la configuración) y A.5.23 (Seguridad de la información para el uso de servicios cloud). El primero pide configuraciones de hardware, software y red establecidas y mantenidas — un CSPM lo cubre evaluando cada recurso contra una baseline. El segundo exige supervisar específicamente los servicios cloud que usas, algo que las herramientas on-premise no tocan. Cuando el auditor pide evidencia de A.5.23, un informe CSPM con histórico mensual le ahorra horas de entrevistas con tu equipo de plataforma.

El detalle local: muchos auditores en España — AENOR, BSI, y certificadoras menores — siguen pidiendo evidencia que se pueda imprimir. Capturas de pantalla, CSVs exportables, informes con timestamp. No es un capricho: es lo que la metodología del ENS y los esquemas de acreditación AENOR esperan ver en el expediente. Las plataformas CSPM modernas exportan dashboards a PDF y permiten descargar el listado completo de controles con su estado (pass/fail/skipped) y la fecha de última evaluación. Eso satisface a un auditor más rápido que cualquier walkthrough en consola. Si vas a entrar a una auditoría ISO 27001 con cloud, conviene preparar antes el mapping a controles ISO 27001 técnicos en cloud — sabrás qué exportar de tu CSPM y para qué control sirve cada informe.

---

Para cerrar

Si usas más de un proveedor cloud o tienes Firebase en tu stack, necesitas una herramienta que vea todo desde un solo lugar. No para generar más alertas, sino para saber exactamente qué está mal configurado, por qué importa y cómo arreglarlo antes de que alguien lo encuentre por ti.

Empieza con un escaneo externo gratuito para ver qué es visible de tu infraestructura desde fuera. Es un buen primer paso para dimensionar el problema.