c1.3 Evalúa la postura de seguridad cloud
Verifica continuamente tus cuentas de AWS contra las mejores prácticas de seguridad con una herramienta de Cloud Security Posture Management (CSPM). AWS Security Hub CSPM ofrece esta capacidad de forma nativa.
Guía de implementación
Automatiza la evaluación de tu postura de seguridad
Leer el CIS AWS Foundations Benchmark y otras mejores prácticas y revisar tus cuentas a mano no escala. Automatiza la evaluación con una herramienta de Cloud Security Posture Management (CSPM) para que las configuraciones incorrectas afloren de forma continua y no solo en una revisión anual.
AWS Security Hub CSPM
Nota sobre el nombre: el servicio que ejecuta estas verificaciones de estándares de seguridad se renombró como AWS Security Hub CSPM (Cloud Security Posture Management) a finales de 2025. Antes se llamaba simplemente "AWS Security Hub". El nombre "AWS Security Hub" ahora designa una oferta más amplia de operaciones de seguridad, así que este control se refiere específicamente a Security Hub CSPM.
Habilitar Security Hub CSPM con sus estándares de seguridad (por ejemplo, AWS Foundational Security Best Practices y el CIS AWS Foundations Benchmark) identifica tus brechas frente a las mejores prácticas y te da guía de remediación. Se activa en pocos clics y, con la configuración central, lo habilitas y gestionas de forma consistente en todas las cuentas y Regiones desde una cuenta de administrador delegado.
Actúa primero sobre lo que importa
Es un control detectivo (se alinea con la función Identify del NIST CSF). La detección solo aporta valor si alguien actúa, así que asigna a una persona o equipo de seguridad para triar y remediar primero los hallazgos críticos y de severidad alta, y luego continuar hacia abajo. Reporta el security score como KPI y vigila que la tendencia mejore con el tiempo.
Alternativas y complementos
Para evaluaciones puntuales (en lugar de continuas), la Self-Service Security Assessment tool integra escáneres open source como Prowler y ScoutSuite. Cloud Custodian puede enviar sus hallazgos de forma nativa a Security Hub CSPM. Los CSPM de terceros (Prowler, Palo Alto Prisma Cloud, Trend Micro, Check Point CloudGuard, Wiz y otros) son comunes en entornos multinube y también pueden centralizar hallazgos en Security Hub CSPM.
Complementa con AWS Trusted Advisor
AWS Trusted Advisor añade una vista complementaria de configuraciones incorrectas y alertas de seguridad críticas. Un conjunto básico de verificaciones de seguridad está disponible para todos; los clientes con Soporte Business o Enterprise obtienen el conjunto completo de verificaciones.
Cómo validar
- ¿Está AWS Security Hub CSPM (u otro CSPM) habilitado en todas las cuentas y Regiones usando configuración central?
- ¿Hay una persona o equipo remediando activamente los hallazgos críticos y de severidad alta?
- ¿Se reporta el security score como KPI y la tendencia mejora con el tiempo?
- ¿O está habilitado de forma inconsistente (por ejemplo solo en producción, o solo donde AWS Config está activo)?
- Si no usas un CSPM: ¿alguien revisa regularmente los hallazgos de Trusted Advisor, y cuál es tu nivel de Soporte (las verificaciones disponibles dependen de él)?
Amenazas que atiende
- Las configuraciones incorrectas son una de las principales causas de incidentes de seguridad en la nube. Un CSPM como AWS Security Hub CSPM identifica continuamente los recursos que se desvían de las mejores prácticas y ofrece guía de remediación, cerrando brechas antes de que un adversario las encuentre.
Servicios AWS
AWS Security Hub 
AWS Trusted Advisor Precios
Las verificaciones de seguridad de Security Hub CSPM se facturan por verificación, por cuenta y por Región, en una escala por tramos: las primeras 100.000 verificaciones/mes cuestan USD 0,001 cada una, de 100.001 a 500.000 son USD 0,0008 y por encima de 500.000 son USD 0,0005. Una prueba gratuita de 30 días reporta el uso que se te facturaría, para que estimes el costo del próximo mes antes de comprometerte. Consulta los precios actuales de Security Hub CSPM.