Las líneas base de configuración segura que la agencia estadounidense CISA ha definido para Microsoft 365 y Google Workspace pueden comprobarse automáticamente y gratis con dos herramientas de código abierto, ScubaGear y ScubaGoggles, una forma de medir la postura de seguridad de la ofimática en la nube sin contratar una auditoría. Ambas pertenecen al proyecto SCuBA, que CISA inició en 2022, y se dirigen tanto a administraciones públicas como a empresas privadas.
Las claves de las herramientas SCuBA de CISA para la nube en 30 segundos
- CISA publica líneas base de seguridad para Microsoft 365 y Google Workspace dentro de su proyecto SCuBA.
- ScubaGear y ScubaGoggles comprueban automáticamente si un inquilino las cumple y generan informes.
- Los controles están mapeados con NIST SP 800-53 y MITRE ATT&CK, útiles para cumplimiento normativo.
- ScubaConnect automatiza su ejecución periódica para quien gestiona muchos inquilinos.
- Son gratuitas y de código abierto, pero solo detectan desviaciones: no corrigen nada.
La mayor parte de las empresas ya no gestiona su correo, sus documentos y su identidad en servidores propios, sino en plataformas SaaS. Eso traslada buena parte del riesgo a la configuración: un acceso condicional mal definido o un permiso demasiado amplio en SharePoint pueden pesar más que una vulnerabilidad de software. El proyecto SCuBA (Secure Cloud Business Applications) nació para dar a las agencias federales estadounidenses una referencia de configuración segura, y CISA ha publicado tanto las líneas base como las herramientas para comprobarlas.
Configuración como código para la ofimática en la nube
Las dos herramientas siguen el mismo modelo, cercano a la idea de política como código. ScubaGear, para Microsoft 365, usa PowerShell para leer la configuración a través de las API de Microsoft; ScubaGoggles, para Google Workspace, usa Python y la API Admin SDK de Google. En ambos casos, el motor Open Policy Agent compara lo leído con reglas escritas en el lenguaje Rego y el resultado se entrega en HTML y JSON, y en el caso de ScubaGear también en CSV.
ScubaGear cubre Microsoft Entra ID, Exchange Online, Teams, SharePoint, Power BI, Power Platform y las opciones de protección avanzada frente a amenazas. ScubaGoggles revisa la configuración de la organización, los registros y los privilegios de los usuarios en Google Workspace. Opensecurity explica cómo instalar y usar ScubaGear y ScubaGoggles paso a paso. Los resultados en JSON se pueden integrar en paneles de seguimiento o en procesos de cumplimiento, y los controles de SCuBA están mapeados con el catálogo NIST SP 800-53 y el marco MITRE ATT&CK, lo que facilita usarlos como evidencia en auditorías.
Automatizar la revisión con ScubaConnect
Para proveedores de servicios gestionados o grandes organizaciones con varios inquilinos, CISA publica ScubaConnect, una infraestructura nativa de la nube que automatiza la ejecución de ScubaGear y ScubaGoggles. Permite pasar de una revisión puntual a una comprobación periódica, que detecte cuándo un cambio de configuración aleja un entorno de la línea base. ScubaGear incluye además una interfaz gráfica para generar los archivos de configuración YAML con los que se documentan excepciones y riesgos aceptados.
Las herramientas tienen límites. No corrigen la configuración, solo la evalúan, y necesitan permisos de lectura amplios sobre el inquilino, que hay que conceder con cuidado. La documentación de ScubaGoggles recoge problemas conocidos, así que conviene validar manualmente sus resultados. Además, las líneas base reflejan el criterio de CISA para el sector público estadounidense, por lo que cada organización debe decidir qué recomendaciones aplica según su contexto y su normativa, como el Esquema Nacional de Seguridad en el caso de las administraciones españolas.
Preguntas frecuentes
¿Qué es el proyecto SCuBA de CISA?
Secure Cloud Business Applications, un proyecto de CISA iniciado en 2022 que define líneas base de configuración segura para Microsoft 365 y Google Workspace.
¿Qué herramientas incluye?
ScubaGear para Microsoft 365, ScubaGoggles para Google Workspace y ScubaConnect, que automatiza la ejecución de ambas.
¿Cuánto cuestan?
Nada. Son herramientas gratuitas y de código abierto publicadas por CISA en GitHub.
Fuentes:
