Ce que nous examinons
L’audit couvre cinq domaines. Chacun reçoit une note rouge, orange ou verte à partir d’une courte liste de contrôles oui/non, si bien que le résultat est le même quel que soit l’auditeur. La grille complète est publique (en anglais).
- Sécurité. Structure des comptes, SSO, clés longue durée, buckets publics, journaux d’audit, gestion des secrets, et la question qui fâche : votre base de production est-elle joignable depuis Internet ?
- Coûts et gaspillage. Qui est responsable de la facture, les lignes que personne n’explique, les frais de NAT et de transfert de données, la couverture des engagements, le tagging, et les environnements hors production qui tournent 24 h/24.
- Infrastructure as code. Quelle part de la production vit dans Terraform, Pulumi ou CloudFormation, comment le state est stocké et verrouillé, et si vous pourriez reconstruire un environnement à partir du code.
- Observabilité et on-call. Logs centralisés, métriques golden signals, alertes qui se déclenchent sur des problèmes visibles par les utilisateurs, astreinte et runbooks.
- Résilience et reprise. Des sauvegardes qui ont réellement été restaurées, du multi-AZ là où c’est nécessaire, et un plan de reprise que quelqu’un a déjà répété.
Le déroulé de la semaine
- Jour 1 : accès et écoute. Vous nous ouvrez un accès en lecture seule. Nous parcourons avec votre équipe la console, les dépôts, la rotation d’on-call et les incidents du dernier trimestre.
- Jours 2 à 4 : revue. Nous passons chaque domaine au crible, confrontons les constats à la grille et documentons les preuves pour chaque point rouge ou orange.
- Jour 5 : le rapport. Une page de constats et une courte annexe de preuves, que nous parcourons ensemble lors d’un appel. Vous recevez aussi la liste priorisée de ce que nous ferions en premier, en deuxième et en troisième.
Le rapport vous appartient. Repassez la même grille dans six mois : vous verrez les verts s’accumuler.
Pour qui
- Les équipes qui ont hérité d’un environnement cloud et ne lui font pas entièrement confiance.
- Les fondateurs qui préparent une levée de fonds, la revue sécurité d’un grand compte ou une acquisition.
- Les CTO qui veulent un avis extérieur avant une décision importante : une migration, un passage à Kubernetes, un recrutement.
Et après
Rien, si vous le souhaitez : beaucoup d’équipes corrigent elles-mêmes les points relevés. Si vous voulez de l’aide, l’audit sert de cahier des charges pour un projet de build ou de migration, un contrat de run et support, ou un accompagnement en CTO à temps partagé.
Questions fréquentes
De quels accès avez-vous besoin ?
Un accès en lecture seule à vos comptes cloud (sur AWS, un rôle avec les policies ReadOnlyAccess et SecurityAudit), un accès en lecture à vos dépôts et à votre CI, et une heure ou deux avec les personnes qui gèrent la production.
Quels clouds auditez-vous ?
AWS, Google Cloud et Azure, y compris Kubernetes sur EKS, GKE et AKS. La plupart de nos audits portent sur AWS.
Combien coûte l’audit ?
Le périmètre de l’audit est fixe : vous avez donc un prix ferme avant que nous commencions. Il dépend surtout du nombre de comptes et d’environnements. Écrivez à [email protected] pour recevoir un devis.
Allez-vous modifier quelque chose pendant l’audit ?
Non. L’audit se fait en lecture seule. Si nous trouvons quelque chose d’urgent, par exemple des identifiants exposés, nous vous prévenons le jour même pour que vous puissiez agir.
En quoi est-ce différent d’AWS Trusted Advisor ou d’un scanner de sécurité ?
Les outils listent des symptômes. Nous regardons comment votre équipe travaille vraiment : qui est responsable de la facture, si quelqu’un est réveillé la nuit en cas de panne, si vous pourriez reconstruire la production. Vous repartez avec un plan priorisé, pas avec une liste de 400 alertes.