Cloud Security Posture Management: serve davvero per un'azienda di 10 persone?

Quello che fanno i tool enterprise non è altro che inviare query regolari agli endpoint API del provider. Uno script di scansione di sicurezza open source eseguito dal proprio terminale una volta a settimana elenca gli storage scoperti e le porte esposte in dieci secondi. Aggiungendolo come step nella vostra pipeline di sviluppo ottenete lo stesso risultato a costo zero.

Siamo un team SaaS di otto persone a Monaco. L'anno scorso ci siamo fatti spillare 4.500 Euro da un fornitore simile. Sulla dashboard che ci avevano dato comparivano ogni giorno gli stessi tre avvisi: la porta SSH aperta su due server di test e una chiave di sicurezza inutilizzata. Dopo sei mesi non abbiamo rinnovato il contratto; siamo passati al centro notifiche gratuito nativo del provider e non abbiamo sentito minimamente la mancanza del resto.

Le aziende di sicurezza fanno leva benissimo sulle paure dei piccoli team. La solita storia del "se c'è un data breach vi beccate multe salate" è pura tattica commerciale. In un'infrastruttura con 15 server, il numero di porte esposte all'esterno è ben definito. Una volta mappata chiaramente la rete e blindate le regole di base, il valore reale che vi darebbe un tool esterno di posture management è praticamente zero.

Prima di comprare un tool costoso completate questi passaggi: 1) Chiudete del tutto a livello di pannello l'accesso pubblico a tutti gli spazi di storage. 2) Collegate le porte di gestione dei server esclusivamente alla VPN aziendale. 3) Rendete obbligatoria l'autenticazione a più fattori per l'accesso al pannello di controllo. 4) Applicate il principio del minor privilegio per i ruoli utente. Questi quattro step abbattono già gran parte dei rischi.

Capisco benissimo la vostra preoccupazione, le normative a volte fanno davvero paura. Però, se avete due sviluppatori senior, basterà che si concentrino solo sull'hardening delle configurazioni per un singolo sprint lavorativo. Seguendo le checklist gratuite che si trovano online possono ripulire e mettere in sicurezza la vostra infrastruttura in due giorni.

Ma questi tool di posture management trovano anche le falle nel codice dei software sui server, oppure controllano solo le impostazioni nel pannello cloud del server? comunque i nostri programmatori guardano solo la parte di codice, non ho capito bene la differenza tra le due cose.

Fatelo già da domani: andate nella scheda sicurezza del pannello di controllo del vostro provider cloud. Lanciate l'audit di sicurezza di base offerto gratuitamente. Scaricate il report e passate ai vostri programmatori le voci contrassegnate come critiche. Tenetevi in tasca i 6.000 Euro e usateli per lo sviluppo del prodotto.

Ottimo lavoro. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Concordo pienamente. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Buon lavoro.

Racconto la mia esperienza. Cercare di farlo da soli è la strada più costosa.

Lascio una nota, potrebbe servire.

a me è successo l'esatto contrario, per questo scrivo... comunque più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

prendere misure senza fare un inventario lscia aperta una porta che non vedi ma naturalmente cambia se la vostra situazione è diversa.

salvato.

Riassumo l'argomento perché sono state date diverse risposte. cioè se ricevete tre risposte diverse su un argomento la domanda è posta male.

Ha ragione. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

È tutto, scusate se mi sono dilungato.

Il mio dubbio è stato chiarito, grazie.

Ho vissuto la stessa cosa.

Argomento molto attuale.

Vi spiego come si fa in pratica. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Se scrivete qui il risultato, sarà utile anche ad altri.