Come Apheris ha unificato sicurezza e conformità in meno di una settimana

Ciao Alejandro! Di cosa si occupa Apheris e qual è il tuo ruolo?

Apheris supporta le reti federate di dati nel settore delle scienze della vita, affrontando la sfida cruciale rappresentata dall’accesso a dati proprietari confinati in silos a causa di preoccupazioni relative alla proprietà intellettuale e alla privacy. Il nostro prodotto è un’infrastruttura informatica federata dotata di controlli di governance, sicurezza e privacy, che consente alle organizzazioni del settore delle scienze della vita di addestrare in modo collaborativo modelli di qualità superiore su dati complementari provenienti da più parti. Siamo un team relativamente piccolo (circa 25 ingegneri), il che ci permette di rimanere agili, sperimentare nuove soluzioni ed essere tra i primi ad adottare tecnologie come Aikido.

Mi chiamo Alejandro e sono responsabile della sicurezza, della privacy e dell’IT presso Apheris. Con oltre 12 anni di esperienza nel settore, sono passato da grandi organizzazioni come Cisco, Rackspace e Auth0 al mondo delle startup, dove sviluppo da zero programmi di sicurezza, privacy e conformità (insieme ai team che li supportano). Mi occupo in particolare di sicurezza del cloud e delle applicazioni, infrastruttura come codice, automazione, nonché di garantire la resilienza dei sistemi e la riservatezza dei dati.

Vivo nella soleggiata Alicante, in Spagna. Quando il tempo me lo permette, mi piace ancora mettermi all’opera: scrivere codice, ottimizzare i sistemi di rilevamento e sviluppare strumenti interni. Ultimamente mi sto dedicando all’intelligenza artificiale e all’automazione, introducendo agenti compatibili con i principi di governance per snellire i flussi di lavoro relativi alla sicurezza e all’IT e rendere il nostro stack un po’ più intelligente (e molto più efficiente).

Che tipo di pressione esercitano i vostri clienti sulle vostre procedure di sicurezza e conformità?

Molto. E a ragione. Abbiamo a che fare con dati sanitari e operiamo in alcuni dei settori più regolamentati al mondo. Per un contratto aziendale, il cliente ci ha chiesto di sottoporci a quattro test di penetrazione indipendenti prima della firma. Si tratta di oltre 100.000 euro spesi dalla loro parte solo per avviare le trattative.

«Non ho mai visto un livello di controllo così rigoroso prima della firma di un contratto. Non c’è spazio per le scorciatoie.»

La sicurezza è integrata nei nostri prodotti e processi sin dall’inizio. Siamo conformi alle norme ISO 27001, SOC 2 Tipo I e II e al GDPR, e abbiamo creato un Trust Center affinché i clienti possano verificare facilmente il nostro livello di sicurezza senza dover scambiare e-mail. L’obiettivo è creare fiducia, in tempi rapidi.

Come gestivate la sicurezza e la conformità in passato?

La nostra configurazione era piuttosto tipica per un team dinamico: frammentata e priva di centralizzazione. Ci affidavamo a una combinazione di strumenti open source per la scansione dei segreti, a Snyk per la sicurezza dei container e la gestione delle dipendenze, e a Detectify per la scansione delle applicazioni web. Ogni strumento aveva una sua funzione, ma la mancanza di coesione ci costringeva a dedicare uno sforzo notevole per tenere tutto insieme con un bel po’ di nastro adesivo e olio di gomito (ride).

«Avevamo questo onere: un piccolo team che si occupava della manutenzione di diversi strumenti open source. Era una vera seccatura.»

Ogni strumento aveva una sua funzione, ma nessuno di essi funzionava in sinergia con gli altri. La scansione segreta era rumorosa e difficile da gestire tra i vari repository, mentre quella dei container rendeva complicato per gli ingegneri intervenire in modo efficace. Anche le attività di conformità di base, come la raccolta di prove o il monitoraggio degli SLA, erano frammentate.

Ad esempio, era difficile mettere in pratica i risultati forniti da Snyk, soprattutto per gli ingegneri che devono conoscere diversi strumenti e interagire con essi in modi diversi. Anche con la nostra infrastruttura GitHub gestita come codice, mantenere questi strumenti aggiornati e funzionanti era diventato un vero e proprio spreco di tempo.

«Se io, in qualità di ingegnere della sicurezza, devo dedicare del tempo a interpretare i risultati, come posso aspettarmi che i nostri ingegneri agiscano di conseguenza? Li ignoreranno e basta.»

Come avveniva il processo di raccolta delle prove di conformità prima dell’integrazione di Aikido con Vanta?

Un processo estremamente laborioso. Le politiche erano archiviate su SharePoint. Le procedure di inserimento e di uscita del personale venivano monitorate separatamente. Per raccogliere le prove di audit era necessario passare da uno strumento all’altro e consultare diversi fogli di calcolo.

«Manuale, manuale e ancora manuale. Ogni ciclo di revisione rappresentava un freno per l’azienda.»

Ci mancava una visione d’insieme delle vulnerabilità, dell’inventario, dei rischi legati ai fornitori e di tutto il resto. E per un team di piccole dimensioni, questo tipo di attrito operativo può davvero rallentare il lavoro proprio quando è più importante

Come descriverebbe il ruolo che la tecnologia svolge attualmente nel sostenere la vostra strategia di sicurezza e conformità?

La differenza è come il giorno e la notte. La sicurezza è diventata invisibile agli occhi della maggior parte degli sviluppatori, e questa è una cosa positiva. 

Aikido ha permesso agli ingegneri di individuare e risolvere facilmente i problemi senza dover inoltrare le domande al team di sicurezza. Ogni repository contiene informazioni pertinenti e utilizzabili. Gli ingegneri possono facilmente gestire autonomamente e risolvere i problemi, senza che io debba tradurre per loro i rapporti sulla sicurezza. Niente congetture. Niente PDF da interpretare. Le integrazioni con le pull request e gli IDE sono fantastiche.

Aikido e Vanta, insieme, ci offrono sia visibilità che automazione. Aikido esegue continuamente una scansione alla ricerca di problemi e invia dati reali a Vanta. Tra questi figurano:

• Monitoraggio delle vulnerabilità e degli SLA relativi alle patch
• Rilevamento di malware
• Gestione delle modifiche
• Convalida della configurazione di base (tramite Terraform e IaC)
• Applicazione delle politiche di GitHub
• E corsi di formazione automatizzati sulla sensibilizzazione alla sicurezza

«Ora possiamo dimostrare come rispettiamo gli SLA e i controlli, senza dover compilare manualmente i report.»

Vanta funge quindi da unico punto di riferimento per gli audit, le recensioni dei clienti e la supervisione interna in materia di GRC. Mette tutto in relazione grazie a prove pronte per l'audit e utilizzabili.

Cosa è emerso con maggiore evidenza durante la valutazione di entrambi gli strumenti?

Per quanto riguarda Aikido: sono stati la facilità di implementazione e la facilità d’uso per gli sviluppatori. Ci aspettavamo una transizione complessa, ma siamo riusciti a renderlo operativo su tutti i repository in meno di una settimana. Aikido soddisfa gran parte delle nostre esigenze fin da subito. Molti degli strumenti open source che già utilizzavamo erano integrati nella piattaforma, il che ci ha permesso di sentirci a nostro agio e ha ridotto i costi di migrazione. Grazie al nostro approccio “setup-as-code” su GitHub, siamo riusciti a implementarlo su tutti i repository in pochi giorni, molto più velocemente di quanto avessimo inizialmente previsto.

«Sulla base delle esperienze precedenti, ci aspettavamo una transizione graduale. Invece, abbiamo completato la migrazione in una settimana, senza causare alcun disagio a nessuno.»

Per Vanta: sono stati l’ampiezza dell’automazione e la rapidità con cui siamo riusciti a ridurre la raccolta manuale delle prove. Le integrazioni con Aikido, Microsoft Defender, GitHub e altri strumenti lo hanno reso la soluzione ideale per centralizzare la conformità.

Insieme, hanno permesso di ridurre sia lo sforzo che il rischio. Abbiamo ottenuto maggiore visibilità, ridotto il rumore e siamo passati a una configurazione che non richiede la presenza di una persona a tempo pieno che se ne occupi costantemente.

Puoi raccontarci un episodio in cui l’Aikido e Vanta ti hanno fatto risparmiare tempo o ti hanno evitato stress?

Assolutamente sì. Il “Team Comparison Report” di Aikido ci offre un’ottima panoramica sulle prestazioni delle diverse squadre, e pubblichiamo il rapporto anche su Slack. Non si tratta di competizione in senso stretto, ma rende sicuramente la sicurezza più divertente in modo sano.

Detto questo, anche AutoFix si distingue. Non solo per ciò che fa, ma anche per la rapidità con cui il team di Aikido ha dato seguito al nostro feedback. Inizialmente, i nostri standard relativi alle pull request impedivano ad AutoFix di funzionare correttamente, poiché imponiamo criteri rigorosi in materia, come il titolo delle pull request o i messaggi di commit. Nel giro di poche settimane, il team ha aggiunto il supporto per la nostra configurazione specifica.

Proveniamo da soluzioni aziendali che non tengono conto del feedback dei clienti (dato che siamo una piccola azienda), richiedono tempi di risposta molto lunghi per i ticket di assistenza anche per questioni di poco conto e si ha notizia dei propri account manager solo poco prima del ciclo di rinnovo.

«Il team ha tenuto conto dei nostri suggerimenti e ha rilasciato una correzione nel giro di poche settimane. Questo tipo di reattività è fondamentale.»

Per quanto riguarda Vanta, il fatto che i segnali di sicurezza provenienti da Aikido vengano integrati nei nostri dashboard di conformità significa che non dobbiamo più affannarci alla ricerca di risposte quando i clienti ci chiedono: “Come gestite le vulnerabilità?”. Le informazioni sono già disponibili, complete di contesto e monitoraggio degli SLA.

E infine: come riassumeresti l’impatto dell’Aikido e di Vanta?

“Aikido e Vanta ci danno tranquillità. Sicurezza e conformità sono coperte, così i nostri ingegneri possono concentrarsi sullo sviluppo.”