Situación del cliente
Uno de los mayores grupos siderúrgicos de Europa, con plantas en múltiples países y más de 400 suscripciones Azure activas, había crecido en la nube de forma orgánica y no estructurada. Cada planta, división y proyecto había creado sus propias suscripciones con criterios dispares de nomenclatura, tagging, seguridad y costes, generando un entorno ingobernable: nadie en la organización tenía visión completa de qué recursos existían, cuánto costaban o qué riesgos de seguridad presentaban.
El CISO del grupo había escalado al Comité de Dirección los hallazgos de la última auditoría de seguridad: más de 200 recomendaciones críticas de Microsoft Defender for Cloud sin resolver, muchas de ellas con riesgo real de exposición de datos de producción industrial. Simultáneamente, el CFO exigía transparencia sobre un gasto cloud que había crecido un 40% en el último año sin correlación aparente con el crecimiento del negocio.
Retos
- Analizar más de 400 suscripciones Azure con Azure Advisor, Security Center y Cost Management para obtener el inventario completo de recursos, recomendaciones de seguridad y oportunidades de optimización de costes
- Priorizar y remediar las recomendaciones críticas de seguridad de Defender for Cloud sin interrumpir las operaciones de producción industrial, donde muchos sistemas de control (SCADA, MES) tenían integración directa con la infraestructura Azure
- Diseñar el modelo de gobierno unificado (Landing Zone v2) y la jerarquía de Management Groups que permitiera aplicar políticas corporativas de seguridad y costes sobre las suscripciones existentes de forma no disruptiva
- Identificar y cuantificar las oportunidades de rightsizing en el entorno existente, con un proceso de validación con los propietarios de cada carga antes de ejecutar los cambios para evitar impactos en la producción
- Establecer el modelo de etiquetado obligatorio retroactivo sobre los recursos existentes sin etiqueta, para habilitar la atribución de costes que el CFO demandaba
Solución implementada
- Assessment completo con Azure Advisor y Defender for Cloud: análisis automatizado de las 400+ suscripciones con exportación de todas las recomendaciones a un workspace centralizado de Log Analytics, clasificación por criticidad y propietario de carga, y priorización de la remediación según impacto en seguridad y potencial de ahorro
- Remediación de seguridad por oleadas: proceso de remediación de las 200+ recomendaciones críticas organizado en sprints de 2 semanas, con validación técnica de cada cambio con el equipo de OT/IT de cada planta antes de la ejecución para evitar impactos en los sistemas de control industrial
- Landing Zone v2 con políticas heredadas: diseño de la jerarquía de Management Groups (Corporativo → Divisiones → Plantas) y migración de suscripciones existentes a la nueva jerarquía usando técnicas de migración no disruptivas (movimiento de suscripciones sin impacto en los recursos)
- Rightsizing con validación operativa: análisis de utilización de recursos durante 30 días, generación de recomendaciones de rightsizing con ahorro estimado por suscripción, proceso de validación con propietarios de carga y ejecución controlada en ventanas de mantenimiento de las plantas
- Etiquetado retroactivo con Azure Policy: política de deny para nuevos recursos sin etiquetas obligatorias (planta, división, centro de coste, entorno) y proceso de etiquetado retroactivo asistido por scripts de remediación masiva para los recursos existentes
Ventajas para el cliente
180.000€/añoahorro identificado en rightsizing de VMs y servicios sobredimensionados, cuantificado con el modelo financiero que el CFO necesitaba para justificar la inversión en el proyecto de normalización
200+ issues resueltosrecomendaciones críticas de Defender for Cloud resueltas sin interrupción de la producción industrial, elevando el Secure Score del tenant de un nivel crítico a un nivel aceptable para el CISO
Gobierno unificadoLanding Zone v2 con jerarquía de Management Groups que permitió aplicar políticas corporativas de seguridad y costes sobre las 400+ suscripciones desde un único punto de control
Visibilidad de costesmodelo de etiquetado retroactivo que habilitó por primera vez la atribución de costes cloud por planta y división, dando al CFO la transparencia que había exigido al Comité de Dirección
Patrón de arquitectura
// ARCH 25 · Azure · Posture Management
Azure Posture Normalization — 400+ Subscriptions
Normalización completa de la postura Azure para grupo siderúrgico industrial: assessment con AZQR de 400+ suscripciones, resolución de 200+ recomendaciones críticas de seguridad con Defender for Cloud CSPM, reestablecimiento de jerarquía de Management Groups, tagging del 12% al 98% con Azure Policy y rightsizing que identifica 180.000€/año de ahorro con visibilidad FinOps por planta y unidad de negocio.
Defender for Cloud (CSPM)Azure PolicyAZQRManagement GroupsTerraform
// Consideraciones de despliegue · WAF
- AZQR como herramienta de assessment antes de cualquier decisión — en 400 suscripciones es imposible hacer un assessment manual. AZQR genera en minutos un informe con severidad de cada problema. En este proyecto, el informe inicial fue el documento que consiguió el presupuesto del proyecto ante el CIO industrial.
- Priorizar las 200 recomendaciones por impacto en negocio, no por score técnico — Defender for Cloud puntúa por gravedad técnica. En un grupo siderúrgico, una vulnerabilidad en sistemas de control de horno tiene más impacto que una en el portal de intranet con el mismo score. La priorización debe incluir contexto de negocio.
- Tagging retroactivo es imposible sin automatización — pasar del 12% al 98% de tagging en 400 suscripciones requirió scripts de tagging masivo + Azure Policy para prevenir nuevos recursos sin etiqueta. El tagging manual de recursos existentes hubiera tardado meses.
- Management Groups: no intentar la jerarquía perfecta en el primer sprint — en grupos industriales con 50+ años de historia, las suscripciones tienen razones históricas para su estructura. Normalizar en dos fases: primero convergencia mínima viable, luego optimización cuando el equipo ha ganado confianza con el nuevo modelo.
- Rightsizing con 60 días de observación mínimo en entornos industriales — los procesos siderúrgicos tienen ciclos de carga estacionales (campañas de producción, paradas técnicas). 30 días de observación captura solo un ciclo parcial. 60 días da una imagen más representativa del perfil de carga real.
- Terraform como IaC desde el primer recurso normalizado — en un entorno con 400 suscripciones ya existentes, la tentación es gestionar los cambios manualmente para "no complicarlo". En este proyecto, todo cambio de normalización se hizo vía Terraform desde el inicio, lo que permitió auditarlo y revertirlo.
SeguridadCosteExcelencia OperacionalCumplimiento