クラウドの自己診断

部署や個人がカードで契約した環境、検証のために作ったまま残っている環境、制作会社が用意した環境まで含めて数えられるかが目安です。

最後に構成図を直した日が分かるか、変更のたびに記録を直す決まりがあるか、構成をコード（IaC）で管理しているかが目安です。

責任共有モデルの考え方で、設定・アカウント・データ・更新・監視・障害のときの対応のそれぞれについて、誰が担うかを答えられるかが目安です。

強い権限を持つアカウントの数と持ち主を答えられるか、そのすべてに多要素認証があるか、ふだんの作業は権限を絞った別のアカウントで行っているかが目安です。

人事の手続きとクラウドの権限の削除がつながっているか、外部の会社の担当者の権限も対象になっているか、「全部できる」権限が広く配られていないかが目安です。

ソースコードや設定ファイルに鍵を書いていないか、使っていない鍵を止めているか、外部の会社に渡した権限に終わりの日があるかが目安です。

「誰でも見られる」設定のストレージや、インターネットから直接つながるデータベース・管理用の入口がないことを、決まった項目で確かめているかが目安です。

記録が既定でどのくらいの期間残るかを知っているか、それより長く残す設定をしているか、記録を見る人と見る時期が決まっているかが目安です。

誰がいつ更新しているかが決まっているか、重要な修正が出たときに当てる期限があるか、サポートの終わった版が残っていないかが目安です。

クラウドの事業者が自動でデータを守ってくれると考えていないか、本番の管理者が消せない控えがあるか、戻す手順を試したことがあるかが目安です。

監視は仕組みで24時間自動に回し、夜間・休日に通知を受けて手順書で一次対応をする人（社内か外部の会社）と、原因の調査と再発の防止を担う人（自社か運用の委託先）が分かれて決まっているかが目安です。

「できるだけ早く」ではなく、時間で決まっているか、決めた時間と、戻す試験で測った時間を比べているかが目安です。

請求の合計だけでなく、どのサービス・どの環境で増えたかを見ているか、環境や部署を見分けるための目印（タグやラベル）を付けているかが目安です。

予算の通知の設定があるか、通知の宛先が今もいる人になっているか、通知を受けたときの確かめ方が決まっているかが目安です。

管理者のアカウントや手順を知っている人が複数いるか、担当者が休むときの代わりが決まっているか、手順書でほかの人が作業できるかが目安です。