Christopher Caruso, consulente di sicurezza cloud e applicativa
Sicurezza cloud per AWS e Azure, dalla diagnosi alla cura
Lavoro con PMI e scale-up che hanno progetti su AWS o Azure. Analizzo l'infrastruttura, ti spiego dove sei esposto e da cosa conviene iniziare, poi lascio al tuo team tutto quello che serve per proseguire.
// Quando intervenire non è più una scelta
Ti riconosci in una di queste situazioni?
-
Servizi cloud in produzione da tempo e nessuno esterno all'azienda ne ha mai controllato la configurazione.
Cloud Security Assessment -
Ti chiedo una mappa dei permessi per ogni risorsa, non sai rispondere in 10 minuti e corri a controllare.
Identity & Access Management -
Il team rilascia ogni settimana e nessuno sa se le librerie usate hanno vulnerabilità note.
DevSecOps SAST e DAST -
Ogni modifica all'infrastruttura si fa a mano e solo una persona sa davvero come è configurata.
Infrastructure as Code
Servizi
Prima di iniziare sai già cosa ricevi e quando
Ogni servizio cura una parte diversa del tuo ambiente. Iniziamo sempre con un progetto definito e in tempi rapidi hai il risultato in mano.
-
Cloud Security Assessment
Accedo in sola lettura al tuo ambiente e controllo accessi, rete, workload, dati, log e monitoraggio. Non modifico nulla, ti indico i rischi in ordine di gravità, ciascuno con la sua correzione.
- Primo passo
- Quick Scan, consegna entro 15 giorni lavorativi
- Poi
- Assessment completo e Remediation a livelli
-
Identity & Access Management
Controllo chi entra nei tuoi sistemi e con quali permessi: account, amministratori, MFA, accesso condizionale. In una PMI è uno dei punti da cui un attacco passa più spesso.
- Primo passo
- Identity Check, consegna entro 10 giorni lavorativi
- Poi
- Hardening Zero Trust
-
DevSecOps SAST e DAST
Leggo il codice, poi osservo l'applicazione mentre è in funzione. Evidenzio solo le vulnerabilità confermate, senza falsi positivi, e ti indico in che ordine sistemarle.
- Primo passo
- Code Review, consegna entro 15 giorni lavorativi
- Poi
- Sicurezza in pipeline
-
Infrastructure as Code
Capisco com'è fatta oggi la tua infrastruttura e come dovrebbe diventare, poi ti preparo un piano a fasi per descriverla nel codice e ricostruirla identica quando serve.
- Primo passo
- Sprint di analisi, consegna entro 20 giorni lavorativi
- Poi
- Progetto IaC
Il percorso
Tre fasi, sempre nello stesso ordine
Qualunque sia il servizio da cui parti, il lavoro segue questa sequenza. Così sai in ogni momento a che punto siamo e cosa viene dopo.
-
01 · Diagnosi
Un primo progetto a perimetro chiuso
Partiamo da un progetto con perimetro e prezzo definiti prima di iniziare. È il modo più semplice per capire se ti trovi bene con me, senza impegni sul seguito.
Può essere un Quick Scan, un Identity Check, una Code Review o uno Sprint di analisi.
-
02 · Cura
Le correzioni, un livello alla volta
Nel report trovi il preventivo per sistemare quello che è emerso, diviso in livelli. Scegli tu fin dove spingerti e quando farlo.
Remediation, hardening, controlli in pipeline o progetto IaC, a seconda del servizio da cui sei partito.
-
03 · Controlli periodici
Il Presidio, ogni mese
Un ambiente cloud cambia di continuo. Se vuoi, lo ricontrollo ogni mese e ti segnalo cosa è cambiato dall'ultima volta.
Lo disdici quando vuoi, con 30 giorni di preavviso.
Come funziona il Presidio
Servizi tramite partner
Quello che non faccio io, lo affido a partner che conosco
Da solo un consulente può andare in profondità oppure coprire molti servizi. Io ho scelto la profondità sui servizi che seguo in prima persona, e l'ampiezza la ottengo con partner di fiducia con cui collaboro. Resto io la persona con cui parli, dalla richiesta alla consegna.
Vedi i servizi tramite partner-
Assessment NIS2
Per sapere quanta strada manca ai requisiti della NIS2.Un incontro di circa un'ora in cui si misura quanto l'azienda è vicina ai requisiti della NIS2. Ne escono un punteggio complessivo, uno per ogni area di misure e l'elenco di cosa manca per arrivare alla conformità.
-
XDR e MDR
Per accorgersi di un attacco in corso e bloccarlo.Un sistema che rileva e blocca gli attacchi su endpoint, email e cloud, con un team che lo tiene sotto controllo.
-
Awareness e phishing simulation
Per allenare il personale a riconoscere le email di phishing.Una piattaforma per formare il personale e simulare campagne di phishing, con i report sui progressi.
-
Penetration test
Per scoprire fin dove arriverebbe un attacco vero.Il partner simula un attacco su applicazioni, reti o infrastrutture e ti mostra fin dove è riuscito ad arrivare.
-
Vulnerability assessment
Per trovare le vulnerabilità note su server, reti ed endpoint.Scansione di server, reti ed endpoint alla ricerca di vulnerabilità note, con l'analisi dei risultati.
-
OSINT
Per vedere cosa trova in rete chi vuole colpire la tua azienda.Raccolta e analisi delle informazioni pubbliche su azienda e dipendenti che potrebbero essere usate in un attacco.
- 1 giorno lavorativo
- per risponderti dopo che mi hai scritto
- 30 minuti
- la chiamata in cui ti spiego cosa ho trovato
- 20 giorni lavorativi
- al massimo per consegnarti il primo progetto
- 8 framework
- a cui rimanda ogni conclusione del report
Christopher Caruso
Consulente freelance di sicurezza cloud e applicativa
Parma · da remoto in tutta Italia
- AWS
- Azure
- Microsoft 365
- Cloud Security
- Application Security
- DevSecOps
- IaC
- Zero Trust
Chi sono
Sono un consulente freelance di sicurezza cloud e applicativa e lavoro da Parma con aziende di tutta Italia. Preferisco costruire rapporti basati su stima e fiducia, con clienti che vogliono capire cosa succede nel loro ambiente.
- Fonti verificabili
- Per ogni problema che ti segnalo indico il framework pubblico di riferimento, così puoi verificarlo anche senza di me.
- Parli sempre con me
- Dalla prima email alla consegna, anche quando una parte del lavoro la svolge un partner.
- Il tuo team resta autonomo
- Chiudo ogni progetto con la documentazione e il passaggio di consegne. Se poi vuoi un supporto continuativo, lo decidi tu.
Domande frequenti
Quello che mi chiedono prima di iniziare
Da quale servizio conviene cominciare?
Da dove sei più esposto. Con workload su AWS o Azure di solito si comincia dal Quick Scan, con Microsoft 365 dall'Identity Check, se sviluppi software dalla Code Review. Se non ne sei sicuro, lo capiamo dal questionario.
Mi chiederai accesso in scrittura ai sistemi?
No. Per la diagnosi del cloud mi basta un accesso in sola lettura e non cambio nulla. Chiedo permessi di scrittura solo se mi affidi le correzioni, e li concordiamo prima.
Dopo il progetto il mio team sarà autonomo?
Sì. Ti consegno la documentazione di quello che ho fatto e la ripercorro con chi seguirà l'ambiente. Se preferisci che continui a occuparmene io, c'è il Presidio, ma resta una tua scelta.
Lavori solo con aziende di Parma?
No, lavoro da remoto in tutta Italia. La mia sede è a Parma: se sei in zona possiamo incontrarci di persona.
Il report mi rende conforme alla NIS2?
No, non è una certificazione. Ti aiuta però a dimostrare quali misure tecniche hai adottato, che è una parte di quello che la NIS2 richiede. Per sapere quanto ti manca c'è l'assessment NIS2, che gestisco con un partner.
Quanto costa una consulenza di sicurezza cloud?
Il primo progetto ha un prezzo fisso: 690 € l'Identity Check, 990 € il Quick Scan, 1.490 € la Code Review e 1.790 € lo Sprint di analisi. Per quello che viene dopo ti faccio un preventivo a corpo nel report.
Parlami del tuo ambiente
Lasciami la tua email ed entro un giorno lavorativo ti mando il questionario.
Uso il tuo indirizzo solo per risponderti. Niente newsletter, e non lo passo a nessuno.