Métricas de exposición por cuenta

Una métrica sin definición se discute para siempre. El panel de la empresa declara qué cuenta cada columna: las identidades con permisos, los permisos efectivos, los usados, el porcentaje sin uso, los administradores declarados, los administradores en la sombra y las identidades inactivas. Cuando se cambia la definición, la serie histórica deja de ser comparable.

Una segunda regla del panel: las cifras se leen por cuenta y no se promedian entre nubes. Cada nube registra la actividad con una cobertura distinta, así que un promedio mezcla datos que no miden lo mismo.

ls metricas
cat metricas/definiciones.txt

El porcentaje sin uso es la proporción de permisos efectivos que no se usó en la ventana. Se calcula con la resta de efectivos menos usados, dividida por los efectivos. Un porcentaje alto no dice que todo sobre; dice que el potencial de daño de una credencial comprometida es grande frente a lo que el negocio necesita.

Abre la tabla de exposición, calcula el porcentaje de cada cuenta y busca la mayor.

cat metricas/exposicion-por-cuenta.csv

Algunas cifras sí se suman entre nubes: las que cuentan cosas del mismo tipo, como las identidades inactivas. Esa suma sirve para el plan de trabajo, porque dice cuántas cuentas hay que revisar con sus dueños, aunque no sirva para comparar la salud de cada nube.

Suma las identidades inactivas de todas las cuentas del panel.

Un porcentaje se entiende mejor cuando se traduce a cantidad: no es lo mismo el 85 % de cien permisos que el 85 % de diez mil. La cantidad de permisos sin uso dice la escala del recorte que habría que hacer y ayuda a priorizar la cuenta donde el esfuerzo rinde más.

Calcula cuántos permisos efectivos sin uso tiene la cuenta de AWS de las tiendas.

La foto de un día dice dónde se está; la tendencia dice hacia dónde se va. En la serie mensual, las dos cuentas que se siguen empeoran un poco cada mes: el porcentaje sin uso sube. Eso suele ocurrir cuando se conceden permisos nuevos y nadie retira los viejos, y es lo que un programa de reducción debe revertir.

Al presentar a la gerencia conviene un conjunto corto y estable: el porcentaje sin uso por cuenta, los administradores en la sombra y las inactivas, siempre con la misma definición y la fecha del informe.

cat metricas/tendencia-sin-uso.csv