En la revisión de agosto de 2026 de la guía del examen Cloud Digital Leader, el dominio 5 (alrededor del 18%) se amplió mucho hacia las operaciones de seguridad y la seguridad de la IA. Los términos de operaciones de seguridad (SecOps), la protección de cada capa de la pila de IA, Google Threat Intelligence, Security Command Center, Google Security Operations, Gemini in Security Operations, AI Protection y Model Armor son nombres nuevos en la lista. Si la guía anterior se centraba en fundamentos como IAM y el cifrado, el examen pregunta ahora también "¿cómo se conocen los ataques de antemano, cómo se encuentran y cómo se responde?" y "¿cómo se protege la IA?".
Este artículo empieza por los términos básicos de las operaciones de seguridad y recorre después qué significa incorporar a Google a tu equipo de seguridad, la inteligencia de amenazas, Security Command Center, Google Security Operations y la protección de la pila de IA con Model Armor. Los fundamentos como la tríada CIA, IAM y el modelo de responsabilidad compartida están en Fundamentos de seguridad y confianza, y productos de seguridad como la confianza cero y Cloud Armor, en Conceptos de seguridad y mapa de productos.
---
Los términos básicos de las operaciones de seguridad (SecOps)
Piensa en la seguridad de un edificio grande. Alguien comprueba que puertas y ventanas estén cerradas, se mantiene al día de los métodos delictivos que comparte la policía y vigila las cámaras desde la sala de control, enviando a un vigilante cuando aparece algo sospechoso. Las operaciones de seguridad en la nube hacen el mismo trabajo en un entorno digital.
| Término | Significado | En términos de seguridad de un edificio | |------|------|------| | Postura de seguridad (security posture) | El estado general de lo bien configurados que están tus sistemas ahora mismo | Si puertas, ventanas y alarmas están cerradas y activadas | | Inteligencia de amenazas (threat intelligence) | Información sobre quién ataca qué y cómo | Los últimos métodos delictivos que te comunica la policía | | Detección de amenazas | Encontrar señales de ataque en registros y señales | La sala de control detecta movimientos sospechosos en las cámaras | | Respuesta a amenazas | Detener el ataque, limitar los daños y recuperarse | Enviar vigilantes y bloquear los accesos | | Centro de operaciones de seguridad (SOC) | El equipo que se ocupa de la detección y la respuesta las 24 horas | La sala de control | | SIEM | Un sistema que reúne registros de seguridad de muchas fuentes, los correlaciona y encuentra amenazas | Una pantalla de control que reúne todas las cámaras | | SOAR | Un sistema que ejecuta automáticamente procedimientos de respuesta predefinidos (playbooks) | Un dispositivo que cierra las puertas en cuanto suena la alarma | | Ciberresiliencia | La capacidad de mantener las operaciones clave y recuperarse rápido incluso bajo ataque | Seguir funcionando con un generador de emergencia durante un apagón |
Consejo para el examen: "Lo bien configurado que está todo ahora mismo" es la postura de seguridad, "información sobre los atacantes y sus métodos" es la inteligencia de amenazas y "detener el ataque y recuperarse" es la respuesta a amenazas. Son frecuentes las opciones que intercambian estos tres términos.
---
Incorporar a Google a tu equipo de seguridad: defensa en profundidad
La guía del examen abre este ámbito con "el valor de negocio de incorporar a Google al equipo de seguridad de una organización". Pasar a la nube no significa delegar la seguridad en Google, sino que una de las mayores organizaciones de seguridad del mundo se suma a tu equipo. Debajo está la defensa en profundidad, que detiene los ataques con varias capas.
| Lo que asume Google | Qué incluye | Qué obtiene la organización | |------|------|------| | Infraestructura segura desde el diseño | Centros de datos propios, servidores y equipos de red diseñados a medida y chips de seguridad propios como Titan | Menos riesgo en el hardware y en la cadena de suministro | | Seguridad predeterminada | Los datos en reposo y en tránsito se cifran sin configuración adicional | Se parte de un estado ya protegido | | Visibilidad de amenazas | Datos de ataques recogidos al proteger a miles de millones de usuarios, más la experiencia en respuesta a incidentes de Mandiant | Aprovechar de inmediato la información más reciente sobre ataques | | Herramientas de seguridad con IA | Security Command Center, Google Security Operations, asistencia de Gemini | Defender un entorno amplio con un equipo pequeño |
Seguro desde el diseño (secure by design) significa que la seguridad se incorpora como valor predeterminado desde la fase de diseño, no que se añade después. Si el examen pregunta por qué es segura la infraestructura de Google Cloud, los candidatos son sus centros de datos propios, sus servidores y redes diseñados a medida y su hardware y software de seguridad propios.
---
Google Threat Intelligence: conocer primero al atacante
La inteligencia de amenazas funciona como un parte meteorológico. Si sabes que va a llover, coges el paraguas; si sabes qué atacantes apuntan a tu sector y cómo, puedes decidir de antemano dónde defenderte. Google Threat Intelligence combina tres fuentes únicas para dar un veredicto unificado sobre si un indicador es una amenaza para tu organización.
| Fuente | Qué observa | Punto fuerte | |------|------|------| | La enorme visibilidad global de Google | El phishing, el malware y los intentos de ataque que ve al proteger a miles de millones de usuarios | Las últimas tendencias de ataque a escala mundial | | La experiencia de primera línea de Mandiant | Información sobre los atacantes obtenida al investigar y responder a brechas reales | Profundidad sobre cómo actúan realmente los atacantes | | La detección colaborativa de VirusTotal | Una gran base de datos de análisis de archivos y URL enviados por usuarios de todo el mundo | Juzgar con rapidez archivos y enlaces sospechosos |
Además, Gemini analiza y resume la enorme cantidad de datos de amenazas para mostrar primero las que más afectan al perfil de riesgo de tu organización. El valor de negocio es el paso de reaccionar después a prepararse antes, junto con la posibilidad de decidir qué alertas atender primero entre la avalancha que llega.
Consejo para el examen: Si las opciones mencionan Mandiant o VirusTotal y la pregunta trata de "información proactiva sobre atacantes y amenazas", la respuesta es Google Threat Intelligence.
---
Security Command Center: la lista de control de seguridad de tu nube
Security Command Center (SCC) es una solución de gestión de riesgos para entornos de Google Cloud. Como una lista de comprobación de seguridad de un edificio unida a un sistema de alarma, encuentra lo que está mal configurado, avisa de las amenazas activas e indica qué arreglar primero.
| Ámbito | Qué hace | Ejemplo | |------|------|------| | Detección de vulnerabilidades | Encuentra configuraciones incorrectas, recursos expuestos públicamente, credenciales filtradas y vulnerabilidades conocidas | Un bucket de Cloud Storage abierto para que cualquiera lo lea | | Detección y mitigación de amenazas | Detecta ataques en curso | Malware, minería de criptomonedas, ataques al entorno de ejecución de contenedores, DDoS | | Posturas y políticas | Define el estado de seguridad deseado y avisa cuando algo se desvía de él | Encontrar cuentas con permisos excesivos | | Cumplimiento | Comprueba el cumplimiento frente a estándares como NIST, HIPAA, PCI-DSS y CIS | Revisiones de PCI-DSS de un sistema de pagos | | Exportación de datos | Envía los hallazgos a BigQuery o Pub/Sub para analizarlos más a fondo | Alimentar un panel de seguridad |
SCC se ofrece en los niveles Standard y Premium. La documentación oficial indica que el antiguo nivel Enterprise dejará de funcionar el 21 de mayo de 2027 y que, a partir de entonces, las organizaciones pasarán automáticamente a Premium. Para el examen de CDL importa más "qué hace el producto" que las diferencias entre niveles.
Consejo para el examen: "Encontrar de forma proactiva configuraciones incorrectas y vulnerabilidades en todo el entorno de Google Cloud, priorizarlas y corregirlas" es Security Command Center. "Bucket público", "permisos excesivos" y "detección de minería de criptomonedas" son las pistas.
---
Google Security Operations: reunir registros, encontrar amenazas y responder
Google Security Operations (Google SecOps, antes Chronicle) es una plataforma unificada de operaciones de seguridad que reúne en un solo lugar la telemetría de seguridad de una organización para detectar, investigar y responder a las amenazas. Si SCC comprueba "¿está nuestra nube configurada de forma segura?", Google SecOps es la sala de control 24/7 que se ocupa de "¿está ocurriendo un ataque en algún sitio ahora mismo y cómo respondemos?".
!El flujo de recopilar, detectar, investigar y responder de Google Security Operations, con el apoyo de la inteligencia de amenazas y Gemini
| Etapa | Qué ocurre | |------|------| | Recopilar | Ingerir grandes volúmenes de registros de entornos on-premises, varias nubes, SaaS y equipos, y conservarlos durante mucho tiempo | | Detectar | Normalizar los datos en el modelo de datos unificado (UDM) y vincularlos con reglas de detección e inteligencia de amenazas | | Investigar | Agrupar las alertas relacionadas en casos y buscar por activo, IP, usuario o dominio | | Responder | Ejecutar con rapidez acciones como aislar, bloquear y notificar mediante playbooks automatizados |
Gemini in Security Operations
Gemini quita carga a los analistas de seguridad. Las funciones que recoge la documentación oficial son:
Convertir una pregunta en lenguaje natural en una consulta de búsqueda y ejecutarla Generar una regla de detección (YARA-L) a partir de una descripción en lenguaje natural Responder y resumir preguntas sobre actores de amenazas e indicadores de compromiso Resumir un