Cliente: Empresa Ejemplo SpA (datos ficticios)
Cuenta AWS: 123456789012 (empresa-ejemplo-prod)
Fecha: 30 de octubre de 2026 · Acceso: rol de solo lectura ConsultaIA-Audit
| Severidad | Hallazgo | Qué hacer |
|---|---|---|
| Alta | Usuarios con consola sin MFA | Exigir MFA a todo usuario con consola, partiendo por los que tienen privilegios altos. |
| Alta | Detección de amenazas (GuardDuty) | Activar GuardDuty en las regiones con recursos (30 días de prueba gratis; costo bajo en cuentas pequeñas). |
| Alta | Cifrado de discos (EBS) | Activar cifrado por defecto por región y migrar los volúmenes sin cifrar (snapshot → copia cifrada). |
| Media | Presupuestos (AWS Budgets) configurados | Crear un presupuesto mensual con alertas al 80% y 100% del monto esperado. |
| Media | Llaves de acceso con más de 90 días sin rotar | Rotar las llaves o reemplazarlas por roles (IAM Roles Anywhere, OIDC, SSO). |
| Media | Puertos administrativos o de base de datos abiertos a Internet | Cerrar los puertos a Internet y entrar por Session Manager o VPN; la base de datos solo debe aceptar conexiones desde la aplicación. |
| Julio 2026 | US$ 2.134,75 |
| Agosto 2026 | US$ 2.200,79 |
| Septiembre 2026 | US$ 2.266,82 |
| Octubre 2026 (en curso) | US$ 2.310,83 |
Variación último mes completo vs. anterior: +3.0%.
Relación entre los controles técnicos evaluados y los deberes de seguridad (art. 14 quinquies) y de reporte de vulneraciones (art. 14 sexies) de la Ley 19.628, modificada por la Ley 21.719, vigente desde el 1 de diciembre de 2026. La ley fija un estándar basado en el riesgo y no enumera controles específicos de AWS: este mapeo es criterio técnico de ConsultaIA sobre qué medidas ayudan a cumplir y demostrar esos deberes.
| Deber legal | Controles | Estado técnico |
|---|---|---|
| Art. 14 quinquies — confidencialidad | COST-10, SEC-01, SEC-02, SEC-03, SEC-04, SEC-06, SEC-07, SEC-11, SEC-12, SEC-15, SEC-19, SEC-17 | No cumple |
| Art. 14 quinquies — cifrado | SEC-13 | No cumple |
| Art. 14 quinquies — integridad | SEC-08, BKP-04, SEC-16 | Parcial / requiere evidencia |
| Art. 14 quinquies — disponibilidad y resiliencia | SEC-17, BKP-01, MON-01 | Parcial / requiere evidencia |
| Art. 14 quinquies — capacidad de restauración | BKP-04, BKP-01, BKP-02, BKP-03 | Parcial / requiere evidencia |
| Art. 14 sexies — detección y reporte de vulneraciones | SEC-08, SEC-09, SEC-10, MON-01, MON-03 | No cumple |
2 de 7 usuario(s) IAM con acceso a consola no tienen MFA.
Recomendación: Exigir MFA a todo usuario con consola, partiendo por los que tienen privilegios altos.
Desactivado en regiones con recursos: sa-east-1, us-east-1.
Recomendación: Activar GuardDuty en las regiones con recursos (30 días de prueba gratis; costo bajo en cuentas pequeñas).
6 de 15 volumen(es) sin cifrar. Cifrado por defecto desactivado en: sa-east-1.
Recomendación: Activar cifrado por defecto por región y migrar los volúmenes sin cifrar (snapshot → copia cifrada).
5 llave(s) activa(s) sin rotar hace más de 90 días. La más antigua tiene 812 días.
Recomendación: Rotar las llaves o reemplazarlas por roles (IAM Roles Anywhere, OIDC, SSO).
2 grupo(s) de seguridad con puertos sensibles abiertos a todo Internet (0.0.0.0/0).
Recomendación: Cerrar los puertos a Internet y entrar por Session Manager o VPN; la base de datos solo debe aceptar conexiones desde la aplicación.
4 de 9 instancia(s) no exigen IMDSv2.
Recomendación: Exigir IMDSv2 en cada instancia (cambio sin reinicio en la mayoría de los casos).
1 función con runtime sin soporte del proveedor.
Recomendación: Actualizar a un runtime con soporte (python3.12) y probar la función.
Largo mínimo 8, exige símbolos: no, exige números: sí.
Recomendación: Subir a 14+ caracteres con símbolos y números.
3 usuario(s) con privilegio total: admin-ti, usuario-contabilidad, proveedor-erp.
Recomendación: Dejar AdministratorAccess solo a quien administra la cuenta y dar permisos acotados al resto.
Security Hub: inactivo · AWS Config: inactivo (sa-east-1).
Recomendación: Opcional según tamaño: dan evaluación continua de cumplimiento e historial de cambios.
MFA activo en root.
Root no tiene llaves de acceso.
Trail multi-región activo con validación de integridad de los registros.
Recomendación: Crear un trail multi-región con validación de integridad: es la evidencia base para investigar y reportar un incidente.
No hay sitios web servidos desde buckets públicos.
Recomendación: Servirlos vía CloudFront con Origin Access Control y dejar el bucket privado: evita exponer archivos que no deberían publicarse y permite activar el bloqueo público a nivel de cuenta.
Ningún certificado en uso vence en los próximos 30 días.
Ningún bucket de datos es público. Bloqueo de acceso público a nivel de cuenta: ACTIVO.
4 de 6 bucket(s) sin versionado.
Recomendación: Activar versionado (con ciclo de vida) en buckets con datos importantes: protege de borrados y ransomware.
9 de 15 volumen(es) en uso cubiertos por una política automática. 6 sin respaldo automático.
Recomendación: Agregar los volúmenes faltantes a un plan de AWS Backup con retención definida.
No es verificable automáticamente. Entre las medidas que menciona la ley está la capacidad de restaurar la disponibilidad y el acceso a los datos tras un incidente.
Recomendación: Restaurar al menos un respaldo por trimestre en un entorno aislado y guardar evidencia (fecha, tiempo de recuperación, responsable).
Todos los discos con respaldo tienen un snapshot de menos de 7 días.
No hay presupuestos configurados: nadie recibe aviso si el gasto mensual se dispara.
Recomendación: Crear un presupuesto mensual con alertas al 80% y 100% del monto esperado.
3 volumen(es) sin adjuntar a ninguna instancia (180 GB) que se siguen cobrando.
Recomendación: Tomar un snapshot final si hace falta y eliminar los volúmenes.
1 IP elástica reservada sin asociar a ningún recurso.
Recomendación: Liberar la IP si ya no se usa.
8 volumen(es) gp2 (640 GB) migrables a gp3, que cuesta ~20% menos con igual o mejor rendimiento.
Recomendación: Migrar a gp3 desde la consola, sin detener las instancias.
14 snapshot(s) manuales con más de 90 días (1,2 TB).
Recomendación: Revisar si siguen siendo necesarios y reemplazarlos por una política de retención automática.
2 instancia(s) de generación anterior: t2.medium y m4.large.
Recomendación: Cambiar a t3/m6i: más rendimiento por menos costo, con un reinicio programado.
11 grupo(s) de logs guardan datos indefinidamente (38 GB).
Recomendación: Definir retención (ej. 30–90 días). También limita cuánto tiempo se guardan datos personales en logs.
6 instancia(s) con IPv4 pública (~US$21.90/mes en total).
Recomendación: Evaluar si todas necesitan IP pública (balanceador, CloudFront o SSM como alternativas).
9 instancia(s) en ejecución sin compromisos de ahorro.
Recomendación: Si la carga es estable 24/7, un Compute Savings Plan de 1 año sin pago adelantado ahorra ~20–30%.
No hay instancias detenidas con discos cobrándose.
3 de 9 instancia(s) sin ninguna alarma.
Recomendación: Crear al menos alarmas de CPU, estado de la instancia y espacio en disco.
No es verificable automáticamente. Ante una vulneración con riesgo para los titulares, la ley exige reportar a la Agencia sin dilaciones indebidas.
Recomendación: Documentar quién detecta, quién decide y cómo se reporta a la Agencia y a los titulares; probarlo una vez al año.
No hay certificados vencidos sin uso.
Recomendación: Eliminarlos para mantener el inventario limpio.
| Región | AMIs | Alarmas | EBS | EC2 | IP elásticas | Lambda | RDS | Snapshots |
|---|---|---|---|---|---|---|---|---|
| sa-east-1 | 6 | 12 | 13 | 7 | 3 | 5 | 2 | 41 |
| us-east-1 | 1 | 2 | 2 | 2 | 1 | 2 | 0 | 4 |
Regiones revisadas: 17. Regiones con recursos: sa-east-1, us-east-1.