Qué revisamos
La auditoría cubre cinco áreas. Cada una se puntúa en rojo, ámbar o verde a partir de una lista corta de comprobaciones de sí o no, así que el resultado es el mismo la haga quien la haga. La rúbrica completa es pública (en inglés).
- Seguridad. Estructura de cuentas, SSO, claves de larga duración, buckets públicos, logs de auditoría, gestión de secretos y si tu base de datos de producción es accesible desde internet.
- Coste y desperdicio. Quién es responsable de la factura, partidas que nadie sabe explicar, cargos de NAT y de transferencia de datos, cobertura de compromisos, etiquetado y entornos que no son de producción encendidos 24/7.
- Infraestructura como código. Cuánto de producción vive en Terraform, Pulumi o CloudFormation, cómo se guarda y se bloquea el state, y si podrías reconstruir un entorno solo a partir del código.
- Observabilidad y on-call. Logs centralizados, métricas de golden signals, alertas que saltan cuando el usuario nota el problema, avisos y runbooks.
- Resiliencia y recuperación. Backups que de verdad se han restaurado alguna vez, multi-AZ donde importa y un plan de recuperación que alguien ha ensayado.
Cómo es la semana
- Día 1: accesos y escucha. Nos das acceso de solo lectura. Repasamos con tu equipo la consola, los repositorios, la rotación de on-call y los incidentes del último trimestre.
- Días 2 a 4: revisión. Analizamos cada área, contrastamos lo que encontramos con la rúbrica y dejamos evidencia de cada rojo y cada ámbar.
- Día 5: el informe. Una página de conclusiones con un breve anexo de evidencias, que repasamos contigo en una llamada. También te llevas una lista priorizada de lo que haríamos primero, después y en tercer lugar.
El informe es tuyo. Vuelve a pasar la misma rúbrica dentro de seis meses y verás cómo se van sumando los verdes.
Para quién es
- Equipos que han heredado un setup de cloud y no terminan de fiarse de él.
- Founders que preparan una ronda de financiación, la revisión de seguridad de un cliente grande o una adquisición.
- CTOs que quieren una opinión externa antes de una decisión importante, como una migración, el salto a Kubernetes o una nueva contratación.
Y después, qué
Nada, si así lo prefieres: muchos equipos corrigen los hallazgos por su cuenta. Si quieres ayuda, la auditoría se convierte en el alcance de un proyecto de construcción o migración, de una cuota mensual de operación y soporte o de un servicio de CTO fraccional.
Preguntas frecuentes
¿Qué accesos necesitáis?
Acceso de solo lectura a tus cuentas de cloud (en AWS, un rol con las políticas ReadOnlyAccess y SecurityAudit), acceso de lectura a tus repositorios y a tu CI, y una o dos horas con las personas que llevan producción.
¿Qué clouds auditáis?
AWS, Google Cloud y Azure, incluido Kubernetes en EKS, GKE y AKS. La mayoría de nuestras auditorías son sobre AWS.
¿Cuánto cuesta la auditoría?
La auditoría tiene un alcance cerrado, así que te damos un precio cerrado antes de empezar. Depende sobre todo de cuántas cuentas y entornos tengas. Escríbenos a [email protected] y te pasamos presupuesto.
¿Vais a cambiar algo durante la auditoría?
No. La auditoría es de solo lectura. Si encontramos algo urgente, como credenciales expuestas, te lo decimos ese mismo día para que puedas actuar.
¿En qué se diferencia de AWS Trusted Advisor o de un escáner de seguridad?
Las herramientas enumeran síntomas. Nosotros miramos cómo trabaja de verdad tu equipo: quién es responsable de la factura, si alguien recibe avisos por la noche, si podríais reconstruir producción. El resultado es un plan priorizado, no una lista de 400 avisos.