Visibilidad y gobierno / Nube
Para revisar tu nube no necesitamos entrar a tu nube.
La razón por la que casi nadie manda revisar su nube no es el costo, es el acceso. Darle credenciales a un tercero implica provisionar permisos, justificarlos ante seguridad y después acordarse de revocarlos. Aquí no hay nada de eso. Tu equipo ejecuta un script de lectura con sus propias credenciales, revisa lo que salió y decide qué envía. El análisis se hace sobre esa evidencia.
Lo que se rompe cuando nadie revisa la nube
- Los objetivos de continuidad viven escritos en un plan y nunca se contrastaron contra lo que la plataforma de verdad permite. El compromiso existe en papel y la capacidad para cumplirlo no se ha verificado.
- Hay cargas sin redundancia que nadie identificó como críticas, porque se desplegaron para una prueba y se quedaron en producción.
- Hay respaldos con políticas que nadie ha vuelto a mirar desde que se crearon.
- El gasto crece y las decisiones que lo explican están repartidas entre ambientes que nadie revisa juntos.
- Cada cosa se despliega distinto de la anterior, porque no existe una referencia contra la cual comparar.
Cómo funciona
- Tú generas la evidencia, nosotros la analizamos. Tu equipo ejecuta el script de recolección con sus propias credenciales desde la consola de tu proveedor de nube. El resultado es un archivo con la configuración de tu entorno, legible y revisable antes de compartirlo. Ese archivo es lo único que sale de tu ambiente.
- El script se audita antes de ejecutarse. Es texto legible, sin dependencias, con un modo que imprime la lista literal de cada comando sin ejecutar ninguno. Tu área de seguridad lo revisa línea por línea. Todos los comandos son de consulta, y un guardarraíl interno detiene la ejecución ante cualquiera que no lo sea.
- Se revisan todos los pilares, no sólo el que motivó la llamada. Con el mismo esfuerzo de recolección se evalúan fiabilidad, seguridad, costo, excelencia operativa y rendimiento. Preguntar por una sola cosa y desechar el resto de la evidencia es desperdiciar el ejercicio.
Qué se revisa
- Fiabilidad. Dónde hay redundancia y dónde no, qué se respalda y con qué política, y si lo que está configurado alcanza para cumplir los objetivos de recuperación que tu negocio ya comprometió.
- Seguridad. Cómo entra la gente, qué separa producción del resto, qué está encendido para detectar y registrar, y si ese registro alcanza a todas las cuentas y regiones donde de verdad hay algo corriendo.
- Costo. Dónde se paga por capacidad que no se usa y qué decisiones de arquitectura están detrás del gasto que más crece.
- Excelencia operativa. Cuánto de la plataforma se despliega desde código y cuánto se sigue haciendo a mano, y si existe la instrumentación para enterarte de que algo se rompió antes de que lo reporte un usuario.
- Rendimiento. Si el dimensionamiento corresponde con la carga real y dónde la arquitectura va a doler cuando crezca.
Cómo trabajamos
Encuadre
Se define qué preguntas tiene que responder el informe. Un assessment sin preguntas entrega una lista de hallazgos que nadie sabe cómo priorizar.
Revisión del script con tu área de seguridad
Se entrega el script junto con la lista literal de comandos y se revisa con quien tenga que aprobarlo, antes de que nadie lo ejecute.
Tu equipo recolecta
El script corre con las credenciales de tu gente. Si prefieres no compartir nombres reales, puede sustituir nombres de recursos, direcciones e identificadores por seudónimos, y el mapa de correspondencia se queda contigo.
Análisis y entrevistas de validación
Cada hallazgo se contrasta con el equipo responsable antes de escribirlo. Lo que parece una máquina sin redundancia puede ser un ambiente de pruebas, y afirmarlo sin preguntar es cómo un informe pierde credibilidad en la primera página.
Resultados y priorización
Los hallazgos se presentan con severidad y esfuerzo, cada uno trazable al archivo de evidencia del que salió. Lo que no pudo evaluarse se declara como brecha de alcance, nunca como hallazgo. No se afirma nada que no se haya medido.
Por qué importa lo que pasa después
Un assessment es la foto de una versión de tu nube, y la nube cambia todos los días. La foto empieza a envejecer desde el momento en que se toma.
Lo que convierte un diagnóstico en control es repetirlo y comparar. El mismo método sobre la misma clase de evidencia da un punto de referencia contra el cual medir si la postura mejoró o se degradó. Sostener esa medición y cerrar lo que va apareciendo es una función continua, de la que nuestro equipo puede hacerse cargo.
Preguntas
¿Esto confirma que mi plan de recuperación funciona?
Confirma que la capacidad está configurada, que es una pregunta distinta de si funciona. Verificar que un respaldo restaura, o que un failover levanta, requiere un entorno de destino y una ventana autorizada. Son ejercicios aparte, y el assessment es justamente lo que dice cuál de ellos conviene hacer primero.
¿Por qué no usan una herramienta de escaneo y ya?
Porque una herramienta te dice qué está configurado, no por qué. Buena parte de los hallazgos de una revisión automática se caen en cuanto hablas con el equipo que los desplegó, y otra parte resulta más grave de lo que el tablero indicaba. Sin esa conversación, el informe es una lista de falsos positivos bien formateada.
¿Sirve si tengo más de una nube, o nube y centro de datos propio?
Sí. El método es el mismo y se aplica por entorno. Lo que cambia es el script de recolección de cada plataforma.
Revisa tu nube sin abrirla
Una llamada para definir qué preguntas tiene que responder el assessment y revisar el script con tu área de seguridad.