Cosa analizziamo
L'audit copre cinque aree. Ognuna riceve un voto rosso, giallo o verde in base a una breve lista di controlli sì/no, così il risultato è lo stesso chiunque lo esegua. La griglia completa è pubblica (in inglese).
- Sicurezza. Struttura degli account, SSO, chiavi a lunga durata, bucket pubblici, audit logging, gestione dei secret, e se il database di production è raggiungibile da internet.
- Costi e sprechi. Chi è responsabile della bolletta, voci che nessuno sa spiegare, costi di NAT e data transfer, copertura degli impegni di spesa, tagging e ambienti non di production accesi 24/7.
- Infrastructure as code. Quanta parte della production vive in Terraform, Pulumi o CloudFormation, come viene salvato e bloccato lo state, e se riusciresti a ricostruire un ambiente partendo dal codice.
- Observability e on-call. Log centralizzati, metriche sui golden signal, alert che scattano sui problemi visibili agli utenti, paging e runbook.
- Resilienza e recovery. Backup che sono stati davvero ripristinati almeno una volta, multi-AZ dove serve, e un piano di recovery che qualcuno ha provato.
Come si svolge la settimana
- Giorno 1: accessi e ascolto. Ci dai un accesso in sola lettura. Con il tuo team passiamo in rassegna la console, i repository, la rotazione on-call e gli incident dell'ultimo trimestre.
- Giorni 2-4: analisi. Esaminiamo ogni area, confrontiamo quello che troviamo con la griglia e annotiamo le evidenze per ogni rosso e ogni giallo.
- Giorno 5: il report. Una pagina di risultati con una breve appendice di evidenze, che ripercorriamo insieme in una call. Ricevi anche una lista con le priorità: cosa faremmo per primo, per secondo e per terzo.
Il report resta a te. Rifai la stessa valutazione tra sei mesi e vedrai i verdi aumentare.
Per chi è
- Team che hanno ereditato un setup cloud e non si fidano del tutto.
- Founder che si preparano a un round di investimento, alla security review di un grande cliente o a un'acquisizione.
- CTO che vogliono un parere esterno prima di una decisione importante, come una migrazione, il passaggio a Kubernetes o una nuova assunzione.
Cosa succede dopo
Niente, se preferisci: molti team sistemano da soli quello che emerge. Se vuoi una mano, l'audit diventa il perimetro di un progetto di build o migrazione, di un contratto di gestione e supporto o di un supporto come fractional CTO.
Domande frequenti
Di quali accessi avete bisogno?
Accesso in sola lettura ai tuoi account cloud (su AWS, un ruolo con le policy ReadOnlyAccess e SecurityAudit), accesso in lettura a repository e CI, e un'ora o due con le persone che gestiscono la production.
Su quali cloud fate l'audit?
AWS, Google Cloud e Azure, incluso Kubernetes su EKS, GKE e AKS. La maggior parte dei nostri audit è su AWS.
Quanto costa l'audit?
L'audit ha un perimetro fisso, quindi ricevi un prezzo fisso prima di iniziare. Dipende soprattutto da quanti account e ambienti hai. Scrivi a [email protected] per un preventivo.
Modificate qualcosa durante l'audit?
No. L'audit è in sola lettura. Se troviamo qualcosa di urgente, come delle credenziali esposte, te lo diciamo il giorno stesso così puoi intervenire.
In cosa è diverso da AWS Trusted Advisor o da uno scanner di sicurezza?
Gli strumenti elencano i sintomi. Noi guardiamo come lavora davvero il tuo team: chi è responsabile della bolletta, se qualcuno viene chiamato di notte, se riusciresti a ricostruire la production. Il risultato è un piano con delle priorità, non una lista di 400 warning.