Gobernanza en la nube: guardarraíles para que los equipos avancen sin romper nada

Al principio, una cuenta de nube la crea una persona, con una tarjeta y buenas intenciones. Meses después hay veinte cuentas, recursos sin dueño, permisos de administrador por todos lados y una factura que nadie puede explicar. Es el camino habitual cuando la adopción de la nube crece sin gobierno. La buena noticia: gobernar la nube no exige frenar a los equipos. Exige construir guardarraíles.

El principio: seguridad y autonomía a la vez

Hay dos formas de equivocarse:

• Sin controles: cada equipo hace lo que quiere, rápido, con riesgos y costos fuera de control.
• Controles manuales y tickets para todo: seguro en teoría, lento en la práctica, y los equipos buscan atajos.

Los guardarraíles buscan el punto medio: reglas automáticas que impiden lo peligroso y dejan hacer libremente todo lo demás.

Los pilares

1. Estructura de cuentas

En AWS, la práctica habitual es usar varias cuentas en lugar de una sola, organizadas con AWS Organizations:

• Una cuenta por entorno (desarrollo, pruebas, producción) o por carga de trabajo.
• Cuentas dedicadas para seguridad, registros centralizados y herramientas compartidas.
• Un límite natural de seguridad y costo: un error en desarrollo no toca producción.

AWS Control Tower ayuda a montar este entorno con una configuración base ("landing zone") y buenas prácticas preconfiguradas.

2. Identidad y accesos

• Identidad centralizada con IAM Identity Center o un proveedor de identidad corporativo, en lugar de usuarios locales por cuenta.
• Mínimo privilegio: permisos solo para lo necesario.
• MFA obligatoria, sobre todo en cuentas de administración.
• Credenciales temporales (roles) en lugar de llaves de acceso permanentes.
• La cuenta raíz casi no se usa, y se protege con MFA.

3. Políticas preventivas

Las Service Control Policies (SCP) de Organizations establecen límites que ningún permiso dentro de la cuenta puede superar. Ejemplos de reglas útiles:

• Impedir el uso de regiones no aprobadas.
• Impedir desactivar el registro de auditoría.
• Impedir hacer públicos buckets de S3.
• Exigir cifrado en ciertos recursos.

4. Controles detectivos y cumplimiento continuo

• AWS CloudTrail: registro de las acciones en la cuenta, centralizado y protegido.
• AWS Config: evalúa configuraciones contra reglas y señala las que no cumplen.
• Security Hub y GuardDuty: consolidan hallazgos y detectan actividad sospechosa.

Así pasas de revisar a mano a recibir alertas cuando algo se sale de la norma.

5. Etiquetado y costos

Sin etiquetas no sabes quién gasta qué. Define un conjunto mínimo obligatorio, por ejemplo:

| Etiqueta | Para qué sirve | |---|---| | owner | A quién preguntar | | environment | Dev, pruebas o producción | | project o cost-center | A qué se carga el gasto |

Complementa con presupuestos y alertas, detección de anomalías de costo y revisiones periódicas. La cultura FinOps busca que ingeniería, finanzas y negocio compartan la responsabilidad del gasto.

6. Infraestructura como código y automatización

Si todo se define en código (Terraform, CloudFormation, CDK) y pasa por revisión y pipeline, las políticas se pueden verificar antes de desplegar, y los cambios quedan auditados. Es la mejor manera de que los estándares se cumplan por defecto.

7. Datos

• Clasificación de datos y reglas de dónde pueden vivir.
• Cifrado en reposo y en tránsito.
• Respaldos y retención definidos.
• Requisitos de residencia de datos, si aplican.

Un modelo de operación: plataforma como producto

Muchas organizaciones forman un equipo de plataforma que ofrece a los demás caminos pavimentados: plantillas aprobadas, cuentas listas para usar, pipelines base. Si lo seguro es también lo fácil, los equipos lo eligen sin presión.

Cómo empezar

1. Inventario: qué cuentas, recursos y costos tienes hoy.
2. Estructura de cuentas y acceso centralizado.
3. Controles básicos: MFA, registro de auditoría activo, bloqueo de acceso público.
4. Etiquetado y alertas de presupuesto.
5. Políticas preventivas para los riesgos más graves.
6. Plantillas y automatización para que el camino seguro sea el fácil.
7. Revisión periódica de hallazgos, costos y excepciones.

Errores frecuentes

• Todo en una sola cuenta.
• Políticas tan restrictivas que bloquean el trabajo y generan excepciones permanentes.
• Controles solo en documentos, sin automatización.
• Etiquetas opcionales que nadie usa.
• Sin dueño del gobierno de la nube: si es de todos, no es de nadie.
• Implementar de golpe en lugar de ir madurando por etapas.

Para finalizar

Gobernar la nube es poner límites automáticos donde el riesgo es alto y libertad donde no. Con estructura de cuentas, identidad bien hecha, políticas preventivas, etiquetado y automatización, los equipos avanzan rápido y la organización duerme tranquila. Empieza por lo que más duele hoy, automatiza el control y mejora poco a poco. Los guardarraíles se construyen, no se compran.