Waar we naar kijken
De audit beslaat vijf gebieden. Elk gebied krijgt rood, oranje of groen op basis van een korte lijst ja/nee-vragen, zodat de uitkomst hetzelfde is, wie de audit ook uitvoert. De volledige checklist is openbaar (Engelstalig).
- Security. Accountstructuur, SSO, langlevende keys, publieke buckets, audit logging, secrets, en of je productiedatabase vanaf internet bereikbaar is.
- Kosten en verspilling. Wie verantwoordelijk is voor de rekening, onverklaarbare kostenposten, NAT- en data-transferkosten, de dekking van commitments, tagging, en test- en ontwikkelomgevingen die 24/7 aanstaan.
- Infrastructure as code. Hoeveel van productie in Terraform, Pulumi of CloudFormation staat, hoe de state wordt opgeslagen en gelockt, en of je een omgeving vanuit code opnieuw zou kunnen opbouwen.
- Observability en on-call. Centrale logging, golden-signal-metrics, alerts die afgaan bij problemen die gebruikers merken, paging en runbooks.
- Resilience en recovery. Back-ups die ook echt een keer zijn teruggezet, multi-AZ waar het ertoe doet, en een herstelplan dat iemand heeft geoefend.
Zo verloopt de week
- Dag 1: toegang en luisteren. Je geeft ons read-only toegang. Samen met je team lopen we door de console, de repositories, het on-call-rooster en de incidenten van het afgelopen kwartaal.
- Dag 2 tot 4: review. We gaan elk gebied langs, toetsen onze bevindingen aan de checklist en leggen bij elke rode en oranje score het bewijs vast.
- Dag 5: het rapport. Eén pagina met bevindingen en een korte bijlage met bewijs, die we in een call met je doorlopen. Je krijgt er ook een geprioriteerde lijst bij van wat wij als eerste, tweede en derde zouden doen.
Het rapport is van jou. Draai over zes maanden dezelfde checklist nog eens en je ziet het aantal groene vakjes groeien.
Voor wie
- Teams die een cloudsetup hebben geërfd en die niet helemaal vertrouwen.
- Founders die zich voorbereiden op een investeringsronde, de security review van een grote klant of een overname.
- CTO's die een blik van buiten willen vóór een grote beslissing, zoals een migratie, de overstap naar Kubernetes of een nieuwe hire.
Wat er daarna gebeurt
Niets, als je dat wilt: veel teams lossen de bevindingen zelf op. Wil je hulp, dan wordt de audit de scope voor een bouw- of migratieproject, een retainer voor beheer en support of ondersteuning als fractional CTO.
Veelgestelde vragen
Welke toegang hebben jullie nodig?
Read-only toegang tot je cloudaccounts (bij AWS een role met de policies ReadOnlyAccess en SecurityAudit), leestoegang tot je repositories en CI, en een uur of twee met de mensen die productie draaien.
Welke clouds auditen jullie?
AWS, Google Cloud en Azure, inclusief Kubernetes op EKS, GKE en AKS. De meeste van onze audits zijn op AWS.
Wat kost de audit?
De audit heeft een vaste scope, dus je krijgt vooraf een vaste prijs. Die hangt vooral af van het aantal accounts en omgevingen dat je draait. Mail naar [email protected] voor een offerte.
Veranderen jullie iets tijdens de audit?
Nee. De audit is read-only. Vinden we iets urgents, zoals gelekte credentials, dan laten we het je dezelfde dag weten zodat je meteen kunt ingrijpen.
Wat is het verschil met AWS Trusted Advisor of een security scanner?
Tools geven symptomen. Wij kijken naar hoe je team echt werkt: wie verantwoordelijk is voor de rekening, of er 's nachts iemand gebeld wordt, of je productie opnieuw zou kunnen opbouwen. Je krijgt een geprioriteerd plan, geen lijst met 400 waarschuwingen.