O que analisamos
A auditoria cobre cinco áreas. Cada uma é avaliada a verde, amarelo ou vermelho com base numa lista curta de verificações de sim ou não, para que o resultado seja o mesmo independentemente de quem a faz. A grelha completa é pública (em inglês).
- Segurança. Estrutura de contas, SSO, chaves de longa duração, buckets públicos, audit logging, gestão de secrets e se a base de dados de produção está acessível a partir da internet.
- Custos e desperdício. Quem é responsável pela fatura, linhas que ninguém sabe explicar, custos de NAT e de transferência de dados, cobertura de compromissos, tagging e ambientes de não produção ligados 24/7.
- Infrastructure as code. Quanto da produção está em Terraform, Pulumi ou CloudFormation, como o state é guardado e bloqueado, e se seria possível reconstruir um ambiente a partir do código.
- Observability e on-call. Logs centralizados, métricas de golden signals, alertas que disparam perante problemas visíveis para o utilizador, paging e runbooks.
- Resiliência e recuperação. Backups que já foram de facto restaurados, multi-AZ onde faz diferença e um plano de recuperação que alguém já ensaiou.
Como decorre a semana
- Dia 1: acessos e conversa. A sua equipa dá-nos acesso só de leitura. Percorremos em conjunto a consola, os repositórios, a escala de on-call e os incidentes do último trimestre.
- Dias 2 a 4: análise. Revemos cada área, confrontamos o que encontramos com a grelha e registamos evidências para cada vermelho e cada amarelo.
- Dia 5: o relatório. Uma página de conclusões com um pequeno anexo de evidências, apresentada numa chamada. Recebe também uma lista priorizada do que faríamos primeiro, em segundo e em terceiro lugar.
O relatório fica consigo. Volte a aplicar a mesma grelha daqui a seis meses e verá os verdes a somar-se.
Para quem é
- Equipas que herdaram um setup cloud e não confiam totalmente nele.
- Fundadores a preparar uma ronda de investimento, a revisão de segurança de um grande cliente ou uma aquisição.
- CTOs que querem uma opinião externa antes de uma decisão importante, como uma migração, a passagem para Kubernetes ou uma nova contratação.
E depois?
Depois, nada, se assim preferir: muitas equipas corrigem as conclusões por conta própria. Se quiser ajuda, a auditoria passa a ser o âmbito de um projeto de construção ou migração, de uma avença de operação e suporte ou de um CTO a tempo parcial.
Perguntas frequentes
De que acessos precisam?
Acesso só de leitura às contas cloud (na AWS, um role com as policies ReadOnlyAccess e SecurityAudit), acesso de leitura aos repositórios e ao CI, e uma ou duas horas com as pessoas que operam a produção.
Que clouds auditam?
AWS, Google Cloud e Azure, incluindo Kubernetes em EKS, GKE e AKS. A maior parte das nossas auditorias é em AWS.
Quanto custa a auditoria?
A auditoria tem âmbito fechado, por isso recebe um preço fixo antes de começarmos. Depende sobretudo do número de contas e ambientes. Para um orçamento, escreva para [email protected].
Vão alterar alguma coisa durante a auditoria?
Não. A auditoria é só de leitura. Se encontrarmos algo urgente, como credenciais expostas, avisamos no mesmo dia para que possa agir de imediato.
Em que é que isto difere do AWS Trusted Advisor ou de um scanner de segurança?
As ferramentas listam sintomas. Nós olhamos para a forma como a equipa trabalha de facto: quem é responsável pela fatura, se alguém é acordado à noite por um alerta, se seria possível reconstruir a produção. O resultado é um plano priorizado, e não uma lista de 400 avisos.