Auditamos identidades, red, datos y cadena de despliegue en tus cuentas AWS. Priorizamos por riesgo real, corregimos en código y dejamos la detección funcionando para que el siguiente hallazgo lo veas tú antes que nadie.
Extracto de nuestra lista de comprobación. Cada hallazgo se puntúa por probabilidad de explotación e impacto en tu negocio, no solo por la severidad genérica de la herramienta.
| Hallazgo típico | Riesgo | Cómo lo cerramos | Control |
|---|---|---|---|
| Claves de acceso IAM de larga duración en usuarios humanos | Crítico | Migración a IAM Identity Center con SSO y roles temporales; rotación y eliminación de claves | CIS 1.4 · ENS op.acc |
Políticas con * en acción y recurso | Crítico | Mínimo privilegio a partir de IAM Access Analyzer y actividad real de los últimos 90 días | CIS 1.16 |
| Buckets S3 o snapshots RDS accesibles públicamente | Crítico | Block Public Access a nivel de cuenta, políticas de bucket revisadas y alerta ante cambios | CIS 2.1 |
| CloudTrail sin cobertura multirregión o sin integridad | Alto | Trail organizacional, validación de integridad y retención en cuenta de logs aislada | CIS 3.1 · ENS op.exp |
| Grupos de seguridad abiertos a 0.0.0.0/0 en SSH o RDP | Alto | Acceso vía Systems Manager Session Manager; eliminación de puertos de administración expuestos | CIS 5.2 |
| Secretos en variables de entorno o en el repositorio | Alto | Secrets Manager con rotación, escaneo de secretos en CI y revocación de los expuestos | — |
| Imágenes de contenedor sin escanear ni firmar | Medio | Inspector en ECR, firma con Signer y política de admisión en EKS | SLSA |
| Sin plan de respuesta ni pruebas de restauración | Medio | Runbooks, simulacro de incidente y prueba trimestral de restauración de backups | ENS op.cont |
Diez días con acceso de solo lectura. Informe priorizado por riesgo, con evidencia por hallazgo y plan de remediación estimado en esfuerzo.
Cerramos los hallazgos en Terraform o CDK, con revisión de tu equipo y despliegue por entornos. Nada se cambia a mano en consola.
GuardDuty, Security Hub, Inspector y Config con reglas ajustadas a tu entorno para reducir ruido, y respuestas automáticas para lo repetitivo.
Mapeamos tus controles técnicos a ENS o PCI DSS y generamos evidencia automática para que la auditoría no pare a tu equipo.
Definimos cuentas y sistemas en alcance. Solicitamos un rol de solo lectura con la política publicada; nunca credenciales de administrador.
Herramientas automáticas más revisión manual de IAM, red y arquitectura. Cada hallazgo lleva evidencia reproducible.
Presentación a dirección y a técnicos por separado: riesgo de negocio para unos, pasos concretos para otros.
Cerramos primero lo crítico y lo que menos esfuerzo requiere. Verificamos con una segunda pasada al final.
Un rol con las políticas gestionadas SecurityAudit y ViewOnlyAccess, asumible desde nuestra cuenta con ExternalId. Publicamos la política exacta y la retiras al terminar.
No. La auditoría es de solo lectura. Las pruebas de intrusión activas se acuerdan aparte, con ventana y alcance firmados.
Revisamos la cadena de despliegue, dependencias y configuración. La revisión de código de aplicación en profundidad la coordinamos con un socio especializado cuando hace falta.
El informe completo con evidencias, la priorización y el plan de remediación estimado. Es tuyo y tu equipo puede ejecutarlo por su cuenta.
Una auditoría de diez días te da la respuesta con evidencias.
Indícanos cuántas cuentas tienes, qué normativa te aplica y si hay una auditoría externa en el horizonte. Te respondemos en 48 horas.
Lo que hemos escrito sobre esto, a partir de proyectos que hemos hecho.
La elección no va de funcionalidades. Va de si eres multinube de verdad, de si necesitas credenciales de base de datos de vida corta y de cuánta carga operativa aguanta tu equipo.
California marcó la plantilla y una lista creciente de estados la copió con variaciones. Qué se diferencia del RGPD, por qué la señal de exclusión del navegador es lo que se olvida, y cómo construirlo una sola vez.
Casi todas las herramientas de inventario piden acceso de solo lectura y confían en que lo hayas hecho bien. En Skyline lo comprobamos antes, porque la política ReadOnlyAccess que te entrega un equipo muchas veces no es lo que creen que es.