A questão da Cloudflare não é quem consta de uma lista de parceiros. É quem vai alterar uma regra WAF às duas da manhã quando uma aplicação usada pelos clientes está sob ataque.
Uma presença num diretório não afina a proteção contra bots quando uma campanha gera um pico de tráfego, não altera o DNS quando muda o servidor de origem, nem coordena um incidente Cloudflare numa noite de domingo. Esse trabalho precisa de um responsável pela operação.
A equipa de compras assina uma licença. Alguém coloca o serviço em produção. Meses depois, o WAF continua com as regras predefinidas, a gestão de bots está parcialmente ativada e ninguém sabe dizer quem é responsável pela conta. Existe uma licença, mas falta quem a opere.
Comece pelos serviços a proteger, não pelo logótipo
Não comece por um SKU nem por um diretório. Comece pelo que vai realmente colocar na Cloudflare.
Para a maioria das equipas com quem trabalhamos, a lista é curta. O website público e as aplicações associadas. As APIs utilizadas pelos clientes. Os processos de adesão. O acesso dos colaboradores: Zero Trust e quem pode aceder a cada recurso.
Cada um destes elementos tem um risco diferente. Se o site de marketing e uma API de produção estiverem no mesmo projeto sem um responsável pela conta, a licença pode parecer completa, mas a proteção do perímetro não está. Defina primeiro o âmbito e depois quem o opera. Se ainda está a escolher a plataforma de edge, comece por Cloudflare versus Akamai ou Cloudflare versus Imperva. Para perceber a gestão após a entrada em produção, consulte O que é a Cloudflare gerida.
Quem altera as regras e quem responde às duas da manhã
As regras WAF mudam quando lança uma funcionalidade. As definições de bots mudam quando uma campanha gera um pico de tráfego. O DNS muda quando transfere o servidor de origem. O Zero Trust muda quando um fornecedor precisa de acesso. Os incidentes não esperam pela próxima janela de alterações.
Um responsável de segurança normalmente já acompanha identidades, endpoints, fornecedores e o calendário de auditorias. Operar bem a Cloudflare exige dedicação a tempo inteiro. Se o plano é a equipa de TI tratar disso quando tiver tempo, avalie com realismo se essa disponibilidade existe.
Operamos a Cloudflare para as equipas com quem trabalhamos. Dimensionamos, implementamos e continuamos a gerir a conta após a entrada em produção. Para saber como funciona, sem repetir o guia de aprendizagem, consulte quem opera a Cloudflare após a entrada em produção.
O que está realmente a escolher
Está a escolher quem opera a conta, não uma presença num diretório. O Core, a partir de 3 500 USD por mês, oferece governação em horário laboral quando já dispõe de uma equipa nesse horário e não precisa de operação 24/7. O Priority, a partir de 7 500 USD por mês, inclui operação 24/7 e mitigação ativa. O Critical, a partir de 15 000 USD por mês, inclui escalamento imediato e liderança sénior de incidentes. Estes são os preços iniciais públicos apresentados em Cloudflare gerida. Os prazos de resposta constam do SLA.
O Core não é um SKU de desconto. Se o site serve clientes e precisa de alguém às duas da manhã, o Core não é o nível adequado.
Pergunte como pode terminar a relação. Se o prestador não estiver a operar a conta, deve poder sair.
Antes de confiar a conta a alguém
Analise estas questões com TI, segurança e compras na mesma sala. O que está incluído: aplicações públicas, APIs, adesão de clientes, acesso dos colaboradores? Quem altera WAF, bots, DNS e Zero Trust após a entrada em produção: uma equipa identificada ou uma caixa de correio? Quem assume um incidente Cloudflare numa noite de domingo? Como se integram as alterações no processo de controlo, incluindo alterações de emergência? O que vai mostrar à auditoria interna: configuração, histórico de alterações e notas de incidentes, em vez de uma apresentação sobre uma parceria?
Se a questão é escolher quem opera a conta ou um painel SIEM, consulte Vigilbase versus Splunk. Se já está sob ataque e ainda não utiliza Cloudflare, comece pela integração de emergência.
Se não consegue responder a estas questões, ainda não está preparado para confiar a conta a alguém.
Se procura uma equipa que dimensione a conta, implemente os controlos nos serviços que importam e opere WAF, bots, DNS e Zero Trust após a entrada em produção, fale connosco.
