Bezpieczeństwo

Audyt, po którym zostaje sam raport, jest wydatkiem. Audyt, po którym ktoś usuwa znalezione problemy, jest inwestycją. Robimy jedno i drugie w tej samej cenie za jedno — bo dopiero zamknięcie tematu ma wartość.

Zakres

• Przegląd infrastruktury — co jest wystawione do internetu, co się z czym łączy, kto ma dostęp i czy nadal powinien.
• Klastry i przestrzenie nazw — izolacja, uprawnienia, ruch między usługami, dostęp administracyjny.
• Remediacja — nie lista rekomendacji do wdrożenia „przez kogoś“, tylko wprowadzone zmiany z opisem, co i dlaczego się zmieniło.
• Sekrety — hasła, klucze i tokeny przenoszone do HashiCorp Vault. W repozytoriach zostają wyłącznie wskaźniki, nigdy wartości.
• Rotacja poświadczeń — harmonogram i wykonanie, żeby klucz sprzed czterech lat nie otwierał produkcji.

Jak to wygląda

Każde zlecenie kończy się dokumentem: co znaleziono, co naprawiono, co świadomie zostało i dlaczego. Ten dokument zostaje u klienta i nadaje się do pokazania audytorowi, ubezpieczycielowi albo kontrahentowi, który pyta o bezpieczeństwo.