Een Cloud Security Checklist voor Azure, AWS en GCP

Identiteit en toegang

• Zijn IAM-rollen en -beleid afgebakend op least privilege, of worden brede "admin"-rollen standaard toegekend voor het gemak?
• Zijn service-accounts en workload-identiteiten geïnventariseerd, met roterende inloggegevens of vervangen door federated identity?
• Is MFA verplicht voor toegang tot console/portaal, met name voor bevoorrechte accounts?

Opslag en blootstelling van gegevens

• Worden storage buckets/containers (S3, Blob Storage, Cloud Storage) expliciet gecontroleerd op publieke toegang, in plaats van standaard als privé aangenomen?
• Is encryptie in rust ingeschakeld, en is sleutelbeheer gescheiden van brede beheertoegang?

Netwerkconfiguratie

• Worden security groups/NSG's gecontroleerd op te ruime regels (0.0.0.0/0 op gevoelige poorten)?
• Is er netwerksegmentatie tussen productie- en niet-productieomgevingen?

Logging en monitoring

• Zijn CloudTrail / Activity Log / Cloud Audit Logs ingeschakeld en bewaard, niet alleen beschikbaar?
• Is er alerting op hoogrisicoacties: wijzigingen in IAM-beleid, aanpassingen aan security groups, nieuwe root-/eigenaartoegang?

Beveiliging van workloads en containers

• Worden container-images gescand op bekende kwetsbaarheden voordat ze worden uitgerold?
• Is Kubernetes-RBAC geconfigureerd, of draait alles standaard met cluster-admin?

Een opmerking over multi-cloud

Draait u meer dan één cloudplatform, dan telt de consistentie van hoe deze punten worden toegepast zwaarder dan de individuele checklistitems. Een sterk geconfigureerde Azure-omgeving naast een verwaarloosd AWS-account dat bij een ander team hoort, is een veelvoorkomend, vermijdbaar hiaat.