Qué es la nube: historia, IaaS, PaaS y SaaS

Hoy casi cualquier empresa, desde una pyme en Heredia hasta un banco, guarda parte de su información en la nube. Eso no significa que la seguridad quede en manos del proveedor. Antes de hablar de permisos, buckets o registros, conviene tener claro qué es la nube, de dónde salió y por qué cambió el trabajo del defensor.

Qué es realmente la nube

La computación en la nube es el uso de servidores, almacenamiento, bases de datos y redes que pertenecen a un proveedor y que usted alquila por internet, pagando por lo que consume. Los tres proveedores más grandes son Amazon Web Services (AWS), Microsoft Azure y Google Cloud (GCP). Los verá en paralelo, porque en el trabajo real es común encontrarse con más de uno.

El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) define cinco características esenciales: autoservicio bajo demanda, acceso amplio por red, recursos compartidos entre clientes, elasticidad rápida y servicio medido. La consecuencia para la seguridad es enorme: cualquier persona con permisos puede crear un servidor o publicar un archivo en segundos, sin pasar por el área de infraestructura.

Breve historia

En 1961 el informático John McCarthy propuso que algún día la computación se vendería como un servicio público, igual que la electricidad. La idea tardó décadas en hacerse realidad a gran escala:

Año	Hito
1999	Salesforce ofrece su software de gestión de clientes por el navegador, un SaaS temprano
2006	Amazon lanza S3 (almacenamiento) en marzo y EC2 (servidores virtuales) en agosto
2008	Google presenta App Engine, para ejecutar aplicaciones sin administrar servidores
2010	Microsoft abre al público Windows Azure, hoy Microsoft Azure
2011	El NIST publica la definición SP 800-145, la referencia que se cita hasta hoy
2013	Google Compute Engine queda disponible para todos

Los tres modelos de servicio

Se agrupan según cuánto administra el proveedor y cuánto usted.

IaaS (Infraestructura como servicio). El proveedor le entrega máquinas virtuales, discos y redes. Usted mantiene el sistema operativo, los parches, las aplicaciones y los datos. Ejemplos: Amazon EC2, Azure Virtual Machines y Google Compute Engine.

PaaS (Plataforma como servicio). El proveedor administra también el sistema operativo y el entorno de ejecución. Usted sube su código o crea su base de datos y se ocupa de la configuración y los datos. Ejemplos: Amazon RDS, Azure App Service o Google App Engine y Cloud SQL.

SaaS (Software como servicio). Usted usa una aplicación terminada por el navegador y solo administra usuarios, permisos y lo que decide guardar. Ejemplos: Microsoft 365, Google Workspace o un sistema de facturación electrónica en línea.

Una analogía útil es la comida. IaaS es alquilar una cocina equipada: usted compra los ingredientes y cocina. PaaS es pedir un kit de comida con todo medido: usted solo arma el plato. SaaS es ir al restaurante: solo decide qué pide y con quién comparte la mesa.

Capa	IaaS	PaaS	SaaS
Datos y accesos	Usted	Usted	Usted
Aplicación	Usted	Usted	Proveedor
Sistema operativo	Usted	Proveedor	Proveedor
Hardware y centro de datos	Proveedor	Proveedor	Proveedor

Fíjese en la primera fila: los datos y quién accede a ellos siempre son responsabilidad del cliente. Volverá a esta idea en el módulo 2.

Por qué importa en ciberseguridad

En un centro de datos tradicional, exponer un servidor a internet exigía cables, cambios en el firewall y permisos. En la nube es una opción en una consola web. Por eso la mayoría de los incidentes en la nube no vienen de fallas del proveedor, sino de configuraciones incorrectas del cliente: un contenedor de archivos público por error, una clave de acceso subida a un repositorio o un administrador sin verificación en dos pasos.

La buena noticia es que casi todo lo que ocurre en la nube queda registrado y se puede revisar de forma automática. Analistas de SOC, ingenieros de seguridad en la nube y auditores de sistemas revisan a diario permisos, registros y alertas de configuración.

Dónde se usa

• Tiendas y sitios en línea: servidores web, bases de datos y balanceadores de carga.
• Correo y ofimática: Microsoft 365 y Google Workspace.
• Respaldos: copias de seguridad, documentos escaneados y facturas electrónicas.
• Aplicaciones móviles: casi todas guardan sus datos en servidores en la nube.
• Herramientas de seguridad: muchos SIEM y antivirus corporativos son servicios en la nube.

Conceptos clave

Concepto	Qué significa
Proveedor	La empresa dueña de la infraestructura: AWS, Azure o GCP
Consola	El sitio web del proveedor donde se configuran recursos con clics
CLI	Command line interface: la herramienta de línea de comandos del proveedor (aws, az, gcloud)
API	Application programming interface: la puerta por la que la consola, la CLI y las aplicaciones piden operaciones al proveedor
Recurso	Cualquier cosa creada en la nube: un servidor, un bucket, una base de datos o una regla de red
IAM	Identity and access management: quién puede entrar y qué puede hacer
Configuración incorrecta	Un ajuste que deja un recurso más expuesto de lo necesario