Ajudamos a empresa a desenhar e configurar sua nuvem com segurança desde a base: contas e permissões, rede, registros, backup e custo, seguindo os frameworks de boas práticas dos próprios provedores.
Os provedores de nuvem protegem a infraestrutura física e a plataforma, mas a configuração do que a empresa coloca lá é responsabilidade de quem contrata. É por isso que muitos problemas em nuvem não vêm de falha do provedor, e sim de uma conta com acesso amplo demais, de um armazenamento aberto ao mundo ou de um registro que ninguém ligou. A consultoria da LDL atua antes e durante a migração, e também em ambientes que já cresceram sem desenho. Trabalhamos sobre as referências que os próprios provedores publicam: o pilar de segurança do AWS Well-Architected Framework, o pilar de segurança do Azure Well-Architected Framework e o pilar de segurança, privacidade e conformidade do Google Cloud Well-Architected Framework. Para cada uma delas, o que importa é traduzir a recomendação em decisões práticas para o seu negócio. O resultado é um desenho de referência, um diagnóstico do que existe hoje e um plano de adequação em etapas que o seu time consiga executar. Esta é uma consultoria de arquitetura e configuração. Quando o objetivo é testar se alguém conseguiria invadir o ambiente, o serviço indicado é o pentest em nuvem.
O que você recebe
- Diagnóstico do ambiente atual em relação às boas práticas do provedor
- Desenho de referência para contas, permissões, rede, registros e backup
- Plano de adequação em etapas, ordenado por risco e esforço
- Sumário executivo para a diretoria, incluindo o efeito de cada decisão sobre custo
- Apoio ao time na implementação das mudanças prioritárias
- Nova avaliação para confirmar o que foi ajustado
O que cobrimos
Contas e permissões
Como as contas da nuvem são organizadas e quem pode fazer o quê, com o princípio de dar a cada pessoa e sistema apenas o acesso de que precisa.
Rede e exposição
O que fica visível na internet, o que deveria ficar restrito e como separar ambientes de produção, teste e desenvolvimento.
Registros e detecção
Quais registros de atividade estão ligados, por quanto tempo são guardados e se alguém consegue notar uma ação suspeita a tempo.
Backup, recuperação e custo
Se as cópias existem, se estão protegidas e se a recuperação foi testada, e quanto custa manter cada camada de segurança.
Indicado para
- Empresas que estão migrando sistemas para a nuvem e querem começar com a configuração certa
- Times que subiram ambientes rápido e nunca revisaram contas, permissões e rede
- Organizações que precisam responder a clientes ou ao regulador sobre a segurança do seu ambiente em nuvem
- Empresas com mais de uma nuvem que querem um padrão único de segurança
Como conduzimos
Levantamento do ambiente
Reunimos a lista de contas, projetos, serviços e responsáveis, inclusive o que o time já não lembra de ter criado.
Diagnóstico
Comparamos o que existe com o pilar de segurança do framework do provedor e com as necessidades do seu negócio.
Desenho de referência
Propomos como o ambiente deveria ser organizado, com as decisões explicadas em linguagem de negócio e o efeito de cada uma sobre custo.
Plano de adequação
Ordenamos as mudanças por risco e esforço, para que o time corrija primeiro o que mais importa.
Acompanhamento e nova avaliação
Apoiamos a implementação e avaliamos de novo o que foi ajustado, para confirmar o resultado.
Perguntas Frequentes
Qual a diferença entre consultoria de segurança em nuvem e pentest em nuvem?
A consultoria cuida do desenho e da configuração: como o ambiente deve ser organizado para ser seguro desde a base. O pentest em nuvem é o teste que tenta invadir o ambiente para mostrar o que um atacante conseguiria. Fazer a consultoria antes do teste costuma reduzir o que o teste encontra, e fazer o teste depois da consultoria mostra se as mudanças funcionaram.
A segurança da nuvem não é responsabilidade do provedor?
Em parte. Os provedores descrevem um modelo de responsabilidade compartilhada: eles protegem a infraestrutura e a plataforma, e o cliente é responsável pela configuração e pelo uso do que contrata, como contas, permissões, dados e rede. A consultoria ajuda a empresa a cumprir a parte que lhe cabe.
Quais referências vocês usam?
Usamos as boas práticas que os próprios provedores publicam: o pilar de segurança do AWS Well-Architected Framework, o pilar de segurança do Azure Well-Architected Framework e o pilar de segurança, privacidade e conformidade do Google Cloud Well-Architected Framework. Elas são ponto de partida, e o desenho final considera o seu negócio, os seus dados e as suas obrigações.
Vocês atendem ambientes com mais de uma nuvem?
Sim. A consultoria cobre AWS, Azure e Google Cloud, e em ambientes com mais de uma nuvem buscamos um padrão único de contas, permissões, registros e backup, em vez de regras diferentes em cada lugar.
A consultoria considera o custo da nuvem?
Considera o custo de segurança: quanto cada camada de proteção, registro e backup pesa na fatura e qual é a combinação que protege bem sem gastar além do necessário. Não é uma consultoria de redução geral de custos de nuvem.