L'auditor chiede una policy di security audit per AWS — cosa deve contenere in realtà?

Dal punto di vista dell'auditor la questione è semplice: la policy dice 'cosa si deve fare', la procedura spiega 'come farlo', l'evidenza dimostra 'che è stato fatto'. Da voi vogliono il primo passaggio. Nel documento scriverete 'la nostra azienda rende obbligatorio l'MFA hardware o software per tutti gli utenti AWS', poi come prova presenterete la tabella dello stato MFA dal pannello IAM.

I quattro punti principali che i revisori aziendali cercano subito nel documento sono questi: 1) Come vengono protetti i log di CloudTrail dalla cancellazione. 2) Chi accede all'ambiente di produzione e con quale meccanismo di approvazione. 3) Entro quanti giorni al massimo vengono applicate le patch di sicurezza. 4) La clausola che garantisce la revoca degli accessi AWS agli ex dipendenti il giorno stesso delle dimissioni.

Abbiamo affrontato un audit simile lo scorso trimestre per un cliente del settore finanziario con un budget di 80.000 $. Abbiamo preparato una policy semplice di 6 pagine. Dopo averla letta, il revisore ha chiesto la prova pratica di due sole cose: la data dell'ultimo accesso dell'account Root e gli allarmi di accesso non autorizzato impostati su CloudWatch. Se entrambi sono a posto, di solito il processo viene approvato entro 48 ore.

Non sbattetevi a scrivere il testo da zero. Cercate su internet "CIS AWS Foundations Benchmark". Prendete i punti di controllo di questa guida, metteteli in un file Word e trasformateli nelle regole interne della vostra azienda. Metteteci l'intestazione con il nome dell'azienda, il numero di versione e firmatelo in PDF.

La trappola più grande qui è copiare e inviare i template aziendali già pronti da 30 pagine scaricati da internet. Se nel documento scrivete "le scansioni delle vulnerabilità vengono eseguite ogni settimana" e poi non lo fate, nel momento in cui il revisore chiede le prove il vostro processo di vendita salta. Scrivete solo ciò che riuscite a fare, poco ma reale.

Al nostro primo audit aziendale avevamo scritto nella policy "le chiavi di accesso vengono rinnovate ogni 90 giorni". È arrivato il revisore, ha visto che una chiave API nel sistema era attiva da 410 giorni e ha inserito subito una non conformità nel report. L'accordo è slittato di un mese. Per questo ogni singola frase scritta deve avere un riscontro effettivo nel pannello.

È puramente un documento Word/PDF, non è codice tecnico; dichiarate con un linguaggio formale le vostre regole di infrastruttura e la disciplina di logging.

È fondamentale che il testo redatto sia conforme ai processi di gestione della sicurezza delle informazioni aziendali. La presenza nel documento della data di entrata in vigore della policy, del numero di revisione e della firma di approvazione del senior management costituisce un requisito obbligatorio ai fini degli standard di audit.

Riassumo quanto detto finora. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente. Buon lavoro.

Ha ragione. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Questa è la mia opinione non la scrivo come verità assoluta.

Grazie mille, proverò oggi.

Grazie per averlo scritto, è proprio così. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Io seguirei questa strada.

Ci proverò.

corretto.

Esattamente così. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Sono passato da qui, vi racconto. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Spero che le sia utile.

esatto, e non è nemmeno così noto ma la risposta varia moto in base al settore, non esiste una regola generale.

naturalemnte cambia se la vostra situazione è diversa.