Módulo 27: Proyecto final: Cloudsmiths de principio a fin

Capstone · Duración: ~1 h 15 min · Basado en entregables, sin examen de 10 preguntas (a continuación viene el examen final)

Escenario: briefing final

Has incorporado las nubes de Cloudsmiths (Módulos 11-12), configurado programaciones e integraciones (13-17), ajustado las reglas de mute (16), configurado RBAC (18), incorporado IaC (19), Attack Paths (20) y Lighthouse + cumplimiento personalizado (21) al programa, y construido un bucle de detección/remediación/reporting dirigido por IA con Claude Code (22-26). Ahora tienes que demostrar que funciona de principio a fin ante el equipo directivo.

Entregarás cuatro artefactos que, en conjunto, representan un programa completo de seguridad en la nube. Constrúyelos a partir de lo que ya has producido durante la semana (los scans de los Módulos 06 y 13, las mute rules del 16, el PR del 24, el dashboard del 25): la sesión del capstone es para ensamblar y demostrar, no para lanzar scans nuevos.

---

Entregables

1. Informe de postura y cumplimiento de Cloudsmiths (capstone/report.md + report.docx) · ~25 min

Un informe de 6–10 páginas que contenga:

• Resumen ejecutivo (≤ 1 página).
• Inventario de providers y qué escanea cada uno.
• Resumen de findings por provider y severidad.
• Puntuaciones de cumplimiento de CIS, ISO 27001, PCI-DSS, SOC 2 (y tu cumplimiento personalizado).
• Las 5 principales Attack Paths con declaraciones de riesgo en lenguaje de negocio.
• Tiempo medio de remediación (usa una muestra si hay pocos datos).
• Hoja de ruta: mejoras a 30/60/90 días.

Puedes usar Lighthouse AI para redactar secciones, pero cita cada cifra con una llamada a una herramienta de Prowler MCP.

2. YAML de reglas de mute (capstone/mutelist.yaml) · ~15 min

Tu Advanced Mutelist, con al menos 8 entradas, cada una con responsable, justificación, control compensatorio y expiración. Usa comodines/tags cuando proceda.

3. PR de remediación (capstone/remediation-pr.md describiendo el conjunto de cambios) · ~25 min

Elige al menos 3 findings distintos. Para cada uno, propón una corrección:

• 1 mediante un snippet de AWS CLI (con explicación del radio de impacto).
• 1 mediante un cambio de Terraform/IaC (pega el diff).
• 1 mediante el ajuste de un check de Prowler (override de severidad, check personalizado o cumplimiento personalizado).

Muestra la salida del scan de Prowler antes/después que demuestre que el finding pasó a PASS.

4. Dashboard ejecutivo (capstone/dashboard.html o capstone/dashboard.md) · ~10 min

Un artifact de una sola pantalla que el CISO pueda abrir cada mañana, construido según el Módulo 25. Incluye: recuentos de critical/high, variación semanal, las 3 principales rutas, indicadores de puntuación de cumplimiento, antigüedad del último scan y los principales findings silenciados.

---