Cloud Security Posture Management: siendo una empresa de 10 personas, ¿de verdad lo necesitamos?

Lo que hacen las herramientas enterprise es simplemente lanzar peticiones periódicas a las API del proveedor. Con un script de escaneo open source ejecutado una vez a la semana desde tu terminal, listas en diez segundos los buckets expuestos y los puertos abiertos. Si lo añades como un paso más a tu pipeline de desarrollo, consigues lo mismo con coste cero.

Somos un equipo SaaS de ocho personas en Múnich. El año pasado le regalamos 4.500 euros a un proveedor similar. En el panel que nos dieron salían todos los días las tres mismas alertas: dos servidores de prueba con el puerto SSH abierto y una clave de seguridad sin usar. A los seis meses no renovamos el contrato; nos pasamos al centro de alertas gratuito del proveedor y no hemos echado en falta nada.

Las empresas de seguridad juegan muy bien con los miedos de los equipos pequeños. El discurso de 'si se filtran datos les cae una multa enorme' es pura táctica de ventas. En una estructura de 15 servidores el número de puertos expuestos es limitado. Si definen bien su mapa de red y aseguran las reglas básicas, el valor real que les aportará una herramienta externa de gestión de postura es prácticamente cero.

Antes de comprar una herramienta cara, completen estos pasos: 1) Bloqueen del todo el acceso público a los almacenes de datos a nivel de panel. 2) Conecten los puertos de gestión de los servidores solo a la VPN de la empresa. 3) Exijan autenticación de doble factor para entrar al panel de control. 4) Apliquen el principio de mínimo privilegio en los roles de usuario. Estos cuatro pasos ya reducen drásticamente su riesgo.

Entiendo perfectamente su preocupación, las normativas imponen bastante. Pero si tienen dos desarrolladores senior, basta con que se dediquen un solo sprint a asegurar la configuración. Siguiendo las listas de verificación gratuitas que hay en internet, pueden dejar la infraestructura impecable en dos días.

A ver, ¿estas herramientas de gestión de postura también buscan fallos dentro del código del software de los servidores o solo revisan la configuración del panel cloud? la verdad los devs de aquí solo miran la parte del código no me queda muy clara la diferencia.

Háganlo mañana mismo: vayan a la pestaña de seguridad en el panel de su proveedor cloud. Ejecuten el análisis de seguridad básico que ofrecen gratis. Descarguen el informe y pásenle los puntos críticos a los devs. Quédense con esos 6.000 euros en el bolsillo y úsenlos para desarrollar el producto.

Buen trabajo. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

También me gustaría saber si alguien lo hace de otra manera.

Estoy totalmente de acuerdo. Que todo el mundo haga algo no significa que sea lo correcto.

Ánimo.

Voy a contar mi experiencia. Intentar hacerlo solo es la vía más cara.

Lo dejo como nota, por si sirve.

a mí me pasó justo al revés por eso escribo y cuanto más difícil sea revertir una decisión más despacio debéis tomarla.

tomar medidas sin hacer inventario es dejar abierta una puerta que no ves. por supuesto, cambia si tu situación es diferente.

guardado.

Voy a resumir el tema porque se han dado varias respuestas diferentes... Si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada.

Tiene razón. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Eso es todo, disculpa si me he extendido demasiado.

Me han quedado claras las dudas, gracias.

Me pasó lo mismo.

Tema muy oportuno.

Os explico cómo se hace en la práctica. Si decidimos sin medir, siempre acabamos en el mismo punto.

Si escribís el resultado aquí, también servirá de ayuda a otros.