Avaliamos ambientes AWS, Azure e Google Cloud para mostrar o que a configuração atual permite a quem não deveria ter acesso, antes que um cliente, uma auditoria ou um incidente mostre.
Os provedores de nuvem protegem a infraestrutura que oferecem. A configuração do que a empresa coloca lá, como contas, permissões, redes, armazenamento e dados, continua sendo responsabilidade da empresa. É o chamado modelo de responsabilidade compartilhada, descrito na página oficial da AWS em https://aws.amazon.com/compliance/shared-responsibility-model/ e adotado, com variações, pelos demais provedores. Na prática, o risco costuma vir de configuração: uma permissão ampla demais, um repositório de arquivos aberto, uma conta esquecida de quando o projeto começou. Nossa avaliação mostra o que a conta, o ambiente e o desenho atual permitem a alguém que consiga entrar. Serve para empresas que estão migrando e querem validar o ambiente novo, e para as que recebem pedido de cliente ou auditoria e precisam de um relatório independente.
O que você recebe
- Relatório com achados, evidências e impacto no negócio, por conta ou assinatura avaliada
- Sumário executivo com o risco geral do ambiente e as prioridades
- Plano de ação separando o que a equipe de TI corrige sozinha do que exige decisão da gestão
- Visão do que um acesso comprometido consegue alcançar dentro do ambiente
- Reteste das correções, com confirmação do que foi resolvido
O que cobrimos
Identidades e permissões
Quem tem acesso a quê, contas esquecidas e permissões maiores do que o necessário.
Dados e armazenamento
Onde estão os dados sensíveis, quem consegue lê-los e se há exposição indevida.
Redes e serviços expostos
O que o ambiente mostra à internet e como as partes se comunicam entre si.
Gestão e registros
Se a empresa consegue ver o que acontece no ambiente e perceber um uso indevido a tempo.
Indicado para
- Empresas que estão migrando sistemas para a nuvem ou concluíram a migração recentemente
- Empresas que recebem pedido de cliente ou de auditoria sobre segurança do ambiente em nuvem
- Times de TI que herdaram contas e projetos de nuvem sem documentação
- Empresas com ambientes em mais de um provedor
Como conduzimos
Escopo e autorização
Definimos contas, assinaturas e projetos avaliados e obtemos as autorizações exigidas, inclusive as do provedor quando necessário.
Levantamento do ambiente
Entendemos como o ambiente foi montado, quais serviços usa e quem administra cada parte.
Avaliação
Verificamos a configuração e testamos o que um acesso indevido conseguiria alcançar, sempre dentro das regras combinadas.
Relatório e devolutiva
Entregamos achados, evidências e plano de ação, e conversamos com TI e gestão.
Reteste
Após as correções, confirmamos o que foi resolvido.
Perguntas Frequentes
O que é o modelo de responsabilidade compartilhada?
É a divisão de deveres entre o provedor e o cliente: o provedor protege a infraestrutura que oferece, e o cliente protege o que configura e coloca nela, como acessos, dados e redes. A AWS descreve esse modelo em sua página oficial, em https://aws.amazon.com/compliance/shared-responsibility-model/.
Meu provedor já é seguro. Preciso de avaliação?
A segurança do provedor não cobre a configuração feita pela sua equipe, que é onde costuma estar o risco. A avaliação olha para a sua parte da responsabilidade.
Precisa de autorização do provedor?
Depende do provedor e do tipo de teste. Cada um publica regras sobre testes de segurança feitos pelos clientes. Conferimos essas regras no início do projeto e as seguimos.
Dá para avaliar antes de migrar ou só depois?
Os dois momentos fazem sentido. Antes ou durante a migração, a avaliação ajuda a corrigir o desenho. Depois, confirma se o ambiente final ficou como o planejado.
Do que dependem o prazo e o custo?
Do número de contas e assinaturas, do volume de serviços em uso, de quantos provedores entram no escopo e da necessidade de reteste. Depois de entender o ambiente, enviamos a proposta.