¿Qué es una CNAPP (Cloud-Native Application Protection Platform)?

Una Cloud-Native Application Protection Platform (CNAPP) es una plataforma integrada que reúne las herramientas de seguridad en la nube que antes se compraban por separado (gestión de la postura, protección de cargas de trabajo, gestión de derechos y seguridad de los datos) en un único sistema que cubre el riesgo en la nube desde el código hasta la ejecución y correlaciona sus señales en vías de ataque reales.

¿Comparas una CNAPP con herramientas puntuales por separado? Prueba el selector de CNAPP.

La consolidación que representa la CNAPP

Durante años, la seguridad en la nube se montó con productos puntuales, uno por problema. Una CNAPP consolida cuatro de ellos:

• CSPM: Cloud Security Posture Management. Comprueba la configuración de las cuentas en la nube, los servicios y Kubernetes frente a las buenas prácticas y las líneas base de cumplimiento, y detecta las malas configuraciones y las desviaciones.
• CWPP: Cloud Workload Protection Platform. Protege las propias cargas de trabajo (máquinas virtuales, contenedores y funciones serverless) mediante el escaneo de vulnerabilidades y la protección en tiempo de ejecución.
• CIEM: Cloud Infrastructure Entitlement Management. Analiza las identidades y los permisos para sacar a la luz los accesos con demasiados privilegios, sin usar y arriesgados en todo el entorno de nube.
• DSPM: Data Security Posture Management. Descubre y clasifica los datos sensibles dondequiera que estén en la nube y sigue su grado de exposición.

La mayoría de las CNAPP también adelantan las comprobaciones al desarrollo con el escaneo de infraestructura como código y de imágenes de contenedor, de modo que una mala configuración o una imagen base vulnerable se detectan en la canalización y no en producción.

Por qué Gartner acuñó el término

Gartner presentó la CNAPP en 2021 para dar nombre a un cambio que veía producirse en respuesta a un problema real. Las organizaciones con aplicaciones nativas de la nube habían comprado una herramienta distinta para cada parte de la seguridad en la nube, y cada herramienta producía sus propias alertas aisladas. El problema era que el riesgo en la nube rara vez vive en una sola parte. Una situación explotable suele ser una combinación: un endpoint público, más un rol con demasiados privilegios, más una carga de trabajo vulnerable, más unos datos sensibles al alcance. Cuatro herramientas señalaban cada una su pieza, y ninguna podía ver el conjunto.

El argumento de Gartner era que la seguridad nativa de la nube necesitaba una plataforma integrada que abarcara el desarrollo y la ejecución, capaz de unir esas señales y priorizar por el riesgo real combinado. CNAPP fue el nombre de esa categoría integrada: no una técnica nueva, sino la consolidación de las existentes bajo un motor de correlación.

Qué cubre la CNAPP, de principio a fin

El valor de una CNAPP es la amplitud más la correlación. Por el lado de la amplitud, abarca todo el ciclo de vida: escanear la infraestructura como código y las imágenes antes del despliegue, evaluar la postura de configuración del entorno en vivo, proteger las cargas de trabajo en ejecución, analizar los derechos y descubrir los datos sensibles. Por el lado de la correlación, es la capacidad que justifica la etiqueta de «plataforma»: tomar una mala configuración, una identidad, una vulnerabilidad y una exposición de datos y presentarlas como una única vía de ataque clasificada en lugar de cuatro hallazgos sin relación.

Esa vista de vías de ataque es lo que convierte una avalancha de alertas en una lista corta de cosas que de verdad permiten a un atacante llegar a algo valioso. Refleja la misma lógica que un modelo de amenazas en la fase de diseño: lo que importa no es una debilidad aislada, sino la cadena que une un punto de entrada con un activo. Las organizaciones que formalizan su preparación en la nube suelen empezar evaluando la postura de configuración con una evaluación de preparación para CSPM antes de añadir los componentes de cargas de trabajo, identidades y datos que aporta una CNAPP completa.

CNAPP frente a CSPM

La confusión más habitual es CNAPP frente a CSPM. La CSPM es un componente de una CNAPP, no su competidora. La CSPM responde a una pregunta acotada: ¿está este recurso de la nube configurado de forma segura y conforme? Es valioso, pero por sí sola produce hallazgos aislados de malas configuraciones sin ninguna idea de cuáles son de verdad accesibles o peligrosos.

La CNAPP incluye la CSPM y añade el contexto que la rodea: las vulnerabilidades de las cargas de trabajo (CWPP), el riesgo de identidades y derechos (CIEM) y la exposición de datos sensibles (DSPM), unidos mediante el análisis de vías de ataque. La CSPM te dice que un bucket de almacenamiento es público. La CNAPP te dice que ese bucket público contiene datos sensibles y es accesible mediante un rol con demasiados privilegios asociado a una carga de trabajo con una vulnerabilidad conocida, y que por tanto debe ir al principio de la cola. El equivalente de la CNAPP en el lado de las aplicaciones es la ASPM, que gestiona la postura del código y de la canalización de build, mientras que la CNAPP se ocupa de la ejecución en la nube.

Qué buscar en una plataforma

• Correlación real, no un paquete. La plataforma debe fusionar las señales de mala configuración, vulnerabilidad, identidad y datos en vías de ataque clasificadas; si no, son solo varios paneles con un mismo inicio de sesión.
• Cobertura del código a la ejecución. Escaneo de IaC y de imágenes en la canalización, y postura y protección de cargas de trabajo en ejecución, para que el riesgo se detecte pronto y se vigile en vivo.
• Amplitud y profundidad. Cobertura de tus proveedores de nube y de Kubernetes, descubrimiento sin agentes para una cobertura rápida y sensores de ejecución opcionales para la profundidad.
• Priorización y corrección. Una clasificación sólida para que el equipo trabaje las pocas vías que importan, con asignación de responsables y flujos de corrección, no solo detección.

La conclusión

La CNAPP es la consolidación de la CSPM, la CWPP, la CIEM y la DSPM en una plataforma que abarca del código a la ejecución en la nube y, lo que es crucial, correlaciona sus señales en vías de ataque reales. Gartner le puso nombre porque los productos puntuales no podían ver cómo se combinan los riesgos en la nube. Si tus alertas de seguridad en la nube son abundantes pero inconexas, la CNAPP es la categoría pensada para conectarlas y decirte cuáles, entre unas pocas, importan de verdad.

Preguntas frecuentes

¿Qué es una CNAPP? Una Cloud-Native Application Protection Platform: una plataforma integrada que consolida la CSPM, la CWPP, la CIEM y la DSPM, cubre el riesgo en la nube del código a la ejecución y correlaciona las señales en vías de ataque priorizadas.

¿Qué consolida? La postura de configuración (CSPM), la protección de cargas de trabajo (CWPP), el análisis de identidades y derechos (CIEM) y la postura de seguridad de los datos (DSPM), a menudo más el escaneo de IaC y de imágenes en la canalización.

¿Por qué la acuñó Gartner? Porque los productos puntuales aislados producían alertas sin correlacionar y no podían mostrar cómo una mala configuración, una identidad, una vulnerabilidad y una exposición de datos se combinan en una única vía explotable.

¿En qué se diferencia de la CSPM? La CSPM es un componente, centrado en la postura de configuración. La CNAPP incluye la CSPM y añade la protección de cargas de trabajo, identidades y datos, más la correlación de vías de ataque.

¿Qué debo buscar? Una correlación auténtica en vías de ataque, cobertura del código a la ejecución, amplitud en proveedores y Kubernetes, y una priorización sólida con flujos de corrección.