Auditoria de fiabilitat i seguretat de la vostra plataforma
Riscos prioritzats i un pla de millora en 1-2 setmanes. Per a saber on sou abans que us ho pregunte un client, un auditor o una caiguda.
Eines habituals
- Graylog
- MongoDB
- MySQL
- SonarQube
- Wazuh
- WireGuard
En resum
Una auditoria de fiabilitat i seguretat és una revisió tècnica de la vostra plataforma per a trobar el que pot provocar una caiguda, una pèrdua de dades o un accés indegut. Revisem accessos, còpies, desplegaments, vulnerabilitats, monitoratge, exposició a internet i recuperació davant de desastres. Des de 1.500 € (preu orientatiu, sense IVA), amb preu tancat abans de començar, lliurada en 1-2 setmanes, i inclou un informe amb pla de millora prioritzat.
- Idiomes
- Castellà, català o anglés
- Resposta
- El següent dia feiner, en horari laboral
- Mètode
- Al vostre compte i al vostre repositori, en codi i documentat
Què inclou
- Revisió d'identitats i accessos: qui hi entra, amb quins permisos i si hi ha doble factor.
- Còpies i recuperació: què es copia, on i una restauració de prova.
- Exposició a internet: ports, panells, buckets i certificats.
- Desplegaments, secrets i cadena de subministrament d'imatges.
- Monitoratge, alertes i registre d'auditoria.
- Informe amb riscos prioritzats, evidència, recomanació i esforç (S, M o L).
- Pla de millora prioritzat i sessió per a explicar-lo a l'equip.
- Preu tancat abans de començar i lliurament en 1-2 setmanes.
- Respostes de suport per a qüestionaris de seguretat de clients.
Quan convé una auditoria?
Abans que el problema la faça obligatòria. Els moments en què més ens la demanen:
- Un client gran us envia un qüestionari de seguretat o demana ISO 27001, ENS o NIS2.
- Hi ha hagut una caiguda o un esglai i voleu saber què més pot fallar.
- Se n’ha anat la persona que va muntar la plataforma i ningú no en coneix l’estat real.
- Aneu a obrir una ronda d’inversió o a vendre l’empresa i toca revisió tècnica.
- Porteu anys creixent sense revisar accessos, còpies ni exposició.
Què revisem?
L’auditoria cobreix set àrees. En cadascuna busquem el mateix: què pot fallar, quina evidència ho demostra i quant costa arreglar-ho.
| Àrea | Què revisem | Evidència que us lliurem |
|---|---|---|
| Identitats i accessos | Usuaris, rols, claus antigues, doble factor, comptes compartits | Llista d’accessos amb risc i proposta de permisos mínims |
| Còpies i recuperació | Què es copia, freqüència, immutabilitat i restauració real | Resultat d’una restauració de prova amb temps |
| Exposició a internet | Ports, panells, emmagatzematge públic, certificats | Inventari del que està exposat i del que no ho hauria d’estar |
| Desplegaments i secrets | Pipelines, secrets al codi, permisos del CI | Ubicació de cada secret exposat i pla de rotació |
| Imatges i dependències | Origen de les imatges, versions sense suport, escaneig | Imatges i components amb vulnerabilitats conegudes |
| Observabilitat | Alertes, registre d’auditoria, retenció | Quins incidents no es detectarien avui |
| Continuïtat | Punts únics de fallada, pla davant de desastres | Temps estimat de recuperació per servei |
Com és l’informe?
Cada risc va amb la seua prioritat, l’evidència que el demostra, la recomanació concreta i l’esforç estimat: S (hores), M (dies) o L (setmanes). Així podeu decidir què tancar primer i què assumir. L’informe acaba amb un pla de millora prioritzat. Podeu veure’n el format a l’extracte d’auditoria d’exemple, amb dades fictícies.
Com es fa?
Abast
Quins entorns, comptes i aplicacions hi entren, i quin marc us interessa (ISO 27001, ENS, NIS2 o cap). Preu tancat abans de començar.
Accessos de lectura
Usuari nominal, de només lectura i amb data de caducitat.
Revisió
Les set àrees, amb una restauració de prova de les còpies.
Informe i sessió
Riscos prioritzats, pla de millora i una sessió amb el vostre equip per a resoldre dubtes. En 1-2 setmanes des de l’inici.
En acabar retirem els nostres accessos i us ho confirmem per escrit. Si voleu que tanquem nosaltres els riscos, es pot fer com a projecte, amb unes jornades d’SRE per dies dins del vostre equip o dins de l’SRE com a servei.
Quina experiència hi ha darrere?
Qui fa l’auditoria ha auditat infraestructures d’altres empreses i ha muntat bases segures al núvol, i com a CTO i director d’enginyeria ha sigut responsable de la seguretat i la disponibilitat de plataformes en producció. Per això l’informe separa els controls que de veritat redueixen el risc dels que només produeixen paper.
Preguntes freqüents
És una certificació ISO 27001 o ENS?
No. No som entitat certificadora. L'auditoria us diu en quin punt està la vostra plataforma davant dels controls tècnics que solen demanar ISO 27001, ENS o NIS2, i què cal fer per a tancar-los, amb evidències que després serveixen en la certificació.
Necessiteu accés a producció?
Accés de només lectura, nominal i temporal, al compte del núvol i als repositoris. Si les vostres polítiques no ho permeten, treballem amb exportacions i sessions guiades amb el vostre equip.
Feu proves d'intrusió?
No és una prova d'intrusió. Revisem configuració, processos i arquitectura. Si necessiteu una prova d'intrusió, us recomanem encarregar-la a un equip especialitzat i us ajudem a preparar-ne l'abast.
Quant tarda?
Es lliura en 1-2 setmanes, segons el nombre d'entorns i serveis, i inclou un informe amb pla de millora prioritzat. Abans hi ha una trucada gratuïta de 20 minuts per a fixar l'abast i el preu tancat.
Expliqueu-nos el vostre cas
En una trucada gratuïta de 20 minuts veiem on sou i per on començar. Sense compromís.
Revisat el