Abbiamo migrato l'azienda interamente sul cloud ma da dove dobbiamo iniziare per una valutazione della sicurezza cloud?

La prima cosa in assoluto da fare è controllare i permessi di archiviazione. Su molti provider cloud i repository di file nascono chiusi di default, ma durante le migrazioni vengono spesso aperti in lettura pubblica per comodità operativa. Inoltre controllate se le porte di gestione dei server virtuali (in particolare SSH o RDP) sono rimaste esposte a tutto internet. Limitatele tassativamente al solo IP statico del vostro ufficio.

Abbiamo uno studio di intermediazione finanziaria di dimensioni simili. L'anno scorso, quando abbiamo ricevuto un questionario fornitore analogo, abbiamo ingaggiato un consulente di sicurezza indipendente. Ci hanno fatturato 2.200 GBP per una revisione delle configurazioni durata quattro giorni. Nel report finale sono emerse otto vulnerabilità critiche, sei delle quali erano semplicemente permessi utente configurati male. Facendo una prima pulizia di base da soli, il costo dell'audit esterno scende parecchio.

dite subito al vostro tecnico di mettere l obbligo di chiavetta u2f o app authenticator su tutti gli account admin. comunque gli sms ormai nn li considera piu nessuno sicuri. nei questionari dei clienti la prima cosa ke controllano di solito e proprio la policy mfa.

I report interni preparati con le checklist già pronte scaricate da internet non convincono quasi mai i clienti enterprise. Molte di queste liste chiedono conto di policy esistenti solo sulla carta, ma non mostrano le reali falle del sistema. Se il vostro cliente deve far approvare il modulo di audit al proprio ufficio rischi, senza un report di valutazione esterno e firmato sarà davvero dura chiudere quel contratto.

Ecco cosa dovete assolutamente completare il primo giorno di audit interno: 1) Rendete obbligatoria l'autenticazione a due fattori su tutti gli account dei dipendenti. 2) Revocate le vecchie chiavi API inutilizzate e gli account di servizio creati durante la migrazione. 3) Aprite il pannello degli avvisi di sicurezza nativo del vostro provider cloud e risolvete i rischi ad alta priorità uno per uno. 4) Verificate che i backup dei dati siano isolati e conservati in un'altra region.

Il fornitore che ha seguito la migrazione non vi ha lasciato un documento di handover? Lì dentro dovrebbero essere indicate le risorse virtuali create, dove sono conservate le chiavi di crittografia e come è protetto il database. Se non avete un documento del genere, non dovreste prima ricontattare il fornitore e chiedergli l'inventario completo del sistema?

I questionari di sicurezza inviati dai clienti enterprise si basano solitamente sugli standard internazionali di sicurezza delle informazioni. In questi moduli vi verrà chiesto se il sistema è stato sottoposto a penetration test e se disponete di un piano di incident response. Il vostro tecnico interno può sistemare le falle di configurazione di base, ma ottenere un report indipendente per gli impegni contrattuali con il cliente vi proteggerà da future responsabilità.

La cosa più rapida che potete fare domani mattina è aprire il centro di sicurezza e conformità integrato nel vostro pannello cloud. I provider di solito offrono un punteggio di sicurezza gratuito e un elenco con tutte le criticità. Risolvere gli avvisi rossi e fare qualche screenshot è già un ottimo primo passo per dimostrare al cliente che i lavori sono iniziati.

Mi farebbe piacere se scrivesse il risultato. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

È tutto, scusate se mi sono dilungato.

Riassumo quanto detto finora. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live. Se avete domande, scrivete, rispondo per quanto possibile.

Lo sentiamo dire da tempo, ma da noi non è mai andata così. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Se non lo rendete scritto fin dall'inizio poi nascono discussioni. Naturalmente cambia se la vostra situazione è diversa.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Mi chiedo anch'io. I primi tre mesi vanno bene i problemi emergono al quarto mese.

Questa è la mia opinione non la scrivo come verità assoluta.

Avrei una domanda, non vorrei deviare dall'argomento, ma... La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Confermato dall'esperienza.

C'è una cosa a cui prestare attenzione. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Se avete domande, scrivete, rispondo per quanto possibile.

C'è una trappola qui, non posso non segnalarla. Il vero problema non è il numero, ma su cosa si basa quel numero.

Buon lavoro.

Se scendiamo nei dettagli: Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Come avete risolto questo? boh quando prendi una decisione guarda prima quali dati hai a disposizione.

Io seguirei questa strada.