تدقيق سحابي على AWS لشركة ناشئة في مرحلة التوسّع

القطاع

برمجيات كخدمة بين الشركات (SaaS B2B) · شركة ناشئة في مرحلة التوسّع · من 30 إلى 60 موظفًا · بنية متعدّدة الحسابات على AWS · عملاء من الشركات يطالبون بالأدلّة.

الوضع المبدئي

كانت الشركة قد نمت من بيئة AWS وحيدة إلى بنية متعدّدة الحسابات دون عملية رسمية لحوكمة السحابة. كان كل عميل مؤسسي جديد يضيف متطلبات تعاقدية يلبّيها الفريق حالة بحالة. وأدّت حادثة طفيفة لكشف إحدى حاويات التخزين (bucket) إلى قرار داخلي بترسيخ احترافية الوضع السحابي قبل أن يتسبّب في حادثة أكبر.

المقاربة

طبّقنا تدقيقًا مقابل معيار CIS AWS Benchmark يشمل إدارة الهويات والوصول (IAM)، والتسجيل، والمراقبة، وإدارة المفاتيح، والشبكة، والتخزين، وإعدادات الخدمات الحرجة. واستكملناه بمراجعة البنية التحتية ككود (IaC) القائمة لتقييم الفجوة بين البنية المنشورة والشيفرة المصدرية. قابلنا النتائج بأفضل ممارسات إطار العمل جيّد التصميم (Well-Architected Framework) وبالمتطلبات التعاقدية الموثّقة لأكبر ثلاثة عملاء. ميّز التقرير بين نتائج الإعداد الفورية والنتائج الهيكلية.

النتيجة

حدّدنا 23 نتيجة (5 حرجة، و9 عالية، و9 متوسطة إلى منخفضة)، وبنينا خطة مدتها 90 يومًا منظّمة في ثلاث موجات: ترقيع فوري، وإعادة هيكلة IaC، وحواجز وقائية (guardrails). أغلقت المؤسسة الخطة خلال 11 أسبوعًا، وأرست مراجعة فصلية دورية.

الدرس المستفاد

لا تُؤمَّن البنية السحابية بمشروع لمرة واحدة؛ بل تُؤمَّن بحواجز وقائية تمنع العودة إلى الحالة السابقة.

الوقت والجهد

من 3 إلى 5 أسابيع للتدقيق · من 11 إلى 13 أسبوعًا للمعالجة المصحوبة · من 100 إلى 140 ساعة استشارية موزّعة.

الوسوم

أمن السحابة · AWS · CIS Benchmark · IaC · Well-Architected · الحواجز الوقائية