En la revisión de agosto de 2026 de la guía del examen Cloud Digital Leader, el primer apartado del dominio 5 (alrededor del 18%) son los conceptos fundamentales de la seguridad en la nube. Pregunta por los tipos de amenazas, del ransomware y el phishing a los ataques a LLM, y su efecto en el negocio; en qué se diferencia la seguridad en la nube de la seguridad on-premises; términos clave como la confianza cero y el privilegio mínimo; el cifrado de los datos en uso, en tránsito y en reposo, y la diferencia entre autenticación, autorización y auditoría. Después pasa a productos de seguridad como Cloud Armor, IAP, Sensitive Data Protection, Confidential Computing y Certificate Manager, y a cómo Google Cloud se gana la confianza con informes de transparencia, soberanía digital y residencia de datos.
Este artículo empieza por los tipos de amenazas y recorre después en qué se diferencian la seguridad en la nube y on-premises, los términos clave de seguridad, la confianza cero, los tres estados del cifrado, la autenticación, la autorización y la auditoría, un mapa de los productos de seguridad y los mecanismos con los que se gana la confianza de los clientes. Fundamentos como la tríada CIA, la estructura de IAM y CMEK se tratan en Fundamentos de seguridad y confianza, y los productos de operaciones de seguridad como Security Command Center y Model Armor, en Operaciones de seguridad y seguridad de la IA.
---
Amenazas contra la nube y su efecto en el negocio
La guía del examen no pide solo el nombre de las amenazas, sino también el efecto que cada una tiene en el negocio.
| Amenaza | Qué es | Efecto en el negocio | |------|------|------| | DDoS | Inunda un servicio de tráfico para dejarlo fuera de servicio | Interrupciones del servicio, pérdida de ingresos | | Ransomware | Cifra y bloquea tus datos y después exige un pago | Se paraliza la actividad, costos del rescate y de la recuperación | | Criptominería | Usa en secreto los recursos de cómputo de otro para minar criptomonedas | Aumentos inesperados de la factura de la nube | | Malware y virus | Programas maliciosos instalados a escondidas para robar información o dañar sistemas | Fugas de datos, sistemas dañados | | Phishing | Roba contraseñas con correos o sitios web falsos | Brechas que empiezan con el robo de una cuenta | | Configuración incorrecta | Errores de configuración como almacenamiento público o permisos excesivos | La causa más común de las fugas de datos | | Sistemas de terceros poco seguros | Ataques que entran a través de socios o de software externo | Brechas a través de la cadena de suministro | | Daños físicos | Desastres como incendios, inundaciones o cortes de electricidad | Caídas del centro de datos y pérdida de datos | | Ataques a LLM | Ataques que engañan a los modelos de IA, como la inyección de instrucciones y los jailbreaks | La IA expone secretos o realiza acciones equivocadas |
Consejo para el examen: "La factura de la nube se disparó de repente y hay máquinas virtuales desconocidas en ejecución" es criptominería. "Los datos están bloqueados y alguien pide dinero" es ransomware. La configuración incorrecta suele ser la respuesta correcta a la causa más común de las fugas de datos.
---
En qué se diferencia la seguridad en la nube de la seguridad on-premises
On-premises es como vigilar tú mismo tu propio edificio; la nube es como instalarte en un edificio gestionado por una empresa de seguridad profesional. La empresa de seguridad vigila las entradas y la estructura, pero sigues decidiendo tú a quién das las llaves de tu oficina.
| Aspecto | On-premises | Nube | |------|------|------| | Seguridad física | La organización vigila su propio centro de datos | Google vigila los centros de datos y el hardware | | Parches y actualizaciones | La organización gestiona ella misma todas las capas | Google se ocupa de la infraestructura, y de más cosas en los servicios administrados | | Límite de seguridad | Centrado en el perímetro de la red corporativa | Centrado en la identidad de usuarios y servicios (quiénes son) | | Escala y experiencia | Limitadas al personal y al presupuesto de seguridad de la organización | Aprovecha una de las mayores organizaciones de seguridad del mundo y herramientas automatizadas | | Responsabilidad del cliente | Casi todo | Datos, permisos de acceso, configuración (el modelo de responsabilidad compartida) |
Consejo para el examen: Incluso después de pasar a la nube, los datos y la configuración de accesos siguen siendo responsabilidad del cliente. Una opción que diga "al pasar a la nube, Google es responsable de toda la seguridad" es incorrecta.
---
Términos de seguridad que debes conocer
La guía del examen nombra cinco aspectos que importan en un modelo de seguridad: control, cumplimiento, confidencialidad, integridad y disponibilidad. Además, tienes que saber definir con precisión los siguientes términos.
| Término | Significado | |------|------| | Privilegio mínimo | Conceder solo los permisos mínimos necesarios para el trabajo | | Acceso con privilegios | Derechos de administrador muy potentes que pueden cambiar la configuración del sistema o ver todos los datos; hay que gestionarlos con la máxima rigurosidad | | Arquitectura de confianza cero | No confiar por defecto en ningún usuario ni red y verificar cada solicitud | | Seguridad predeterminada | Se aplica una configuración segura desde el principio sin ajustes adicionales (por ejemplo, el cifrado predeterminado) | | Postura de seguridad | El estado general de lo bien configurados que están ahora mismo los sistemas de la organización | | Ciberresiliencia | La capacidad de mantener las operaciones clave y recuperarse rápido incluso bajo ataque | | Firewall | Permite o bloquea el tráfico de red según reglas definidas | | Cifrado y descifrado | Convertir los datos en algo ilegible sin una clave, y devolverlos a su forma original con la clave | | Prevención de pérdida de datos (DLP) | Encontrar datos sensibles y enmascararlos o bloquearlos para que no se filtren |
---
Confianza cero: nunca confíes, verifica siempre
Antes, la seguridad funcionaba como un castillo con murallas y foso. Se confiaba en cualquiera que estuviera dentro, así que, en cuanto caía una sola muralla, el atacante podía moverse libremente por dentro. La confianza cero funciona como la seguridad de un aeropuerto: comprueba la identidad y la tarjeta de embarque en cada puerta, cada vez.
!El paso de la seguridad perimetral, que confía en el interior como un castillo con foso, a la confianza cero, que verifica cada solicitud
Google adoptó primero internamente un modelo de confianza cero llamado BeyondCorp para que sus empleados pudieran trabajar con seguridad desde cualquier lugar sin VPN, y ahora lo ofrece como productos.
| Producto | Qué hace | |------|------| | Identity-Aware Proxy (IAP) | Una capa central de autorización que controla el acceso a aplicaciones y máquinas virtuales según la identidad y el contexto del usuario, en lugar de firewalls de red | | Chrome Enterprise Premium | Aplica en toda la organización el acceso al estilo BeyondCorp, comprobando incluso el estado del navegador y del dispositivo |
Consejo para el examen: "Permitir que los trabajadores remotos accedan con seguridad a las aplicaciones internas sin VPN" es confianza cero, como IAP o BeyondCorp. "Conceder el acceso según el usuario y el dispositivo en lugar de la ubicación de red" es la frase clave de la confianza cero.
---
Los tres estados del cifrado
Los datos pasan por tres estados: guardados, en movimiento y en proceso, y cada estado se protege de forma distinta. Piensa en el dinero guardado en una caja fuerte, el dinero transportado en un furgón blindado y el dinero que se está contando en la ventanilla de un banco.
| Estado | Significado | Protección predeterminada de Google Cloud | Qué puedes añadir | |------|------|------|------| | Datos en reposo | Datos guardados en discos y almacenamiento | Se cifran automáticamente con AES-256, sin configuración | Claves de cifrado administradas por el cliente (CMEK) en Cloud KMS | | Datos en tránsito | Datos que se mueven por una red | Se cifran con métodos como TLS y se autentica a la otra parte | Administrar certificados TLS con Certificate Manager | | Datos en uso | Datos que se procesan en memoria | En las máquinas virtuales normales se procesan en memoria en texto sin formato | Confidential Computing (como Confidential VM) |
Confidential Computing cifra incluso los datos que se están procesando, mediante un entorno de ejecución de confianza (TEE) basado en hardware. La documentación oficial lo llama "la última pieza del cifrado de extremo a extremo". Como los datos en reposo y en tránsito están protegidos de forma predeterminada, si el examen pregunta cómo proteger los tres estados, la clave es la pieza que falta: los datos en uso.
Consejo para el examen: "Nadie, ni siquiera el proveedor de la nube, puede ver los datos mientras se procesan" es Confidential Computing.
---
Autenticación, autorización y auditoría
Las tres palabras se parecen, pero responden a preguntas distintas. En términos de acceso a un edificio, son comprobar tu documento de identidad, comprobar a qué plantas puedes entrar y llevar un registro de quién entró y salió.
| Concepto | Pregunta | Ejemplos en Google Cloud | |------|------|------| | Autenticación | ¿Quién eres? | Contraseñas más verificación en dos pasos (2SV) o autenticación multifactor (MFA) | | Autorización | ¿Qué puedes hacer? | Roles y permisos de IAM | | Auditoría | ¿Quién hizo qué, cuándo y dónde? | Cloud Audit Logs, registrados en Cloud Logging |
La verificación en dos pasos (2SV) añade a la contraseña un segundo paso, como una confirmación en el teléfono, mientras que la autenticación multifactor (MFA) usa dos o más tipos de factores distintos: algo que sabes (una contraseña), algo que tienes (una llave de seguridad o un teléfono) y algo que eres (una huel