Athumi svolge un ruolo centrale nel garantire uno scambio di dati affidabile nelle Fiandre, una delle tre regioni del Belgio (che rappresenta circa il 60% della popolazione belga). In qualità di intermediario di dati, la sua missione richiede i massimi livelli di protezione dei dati, conformità e supporto agli sviluppatori. Abbiamo parlato con il CTO di Athumi, David Van den Brande, per capire come l’azienda abbia potenziato la propria maturità in materia di sicurezza e perché Aikido sia diventato un partner fondamentale in questo percorso.
“L’Aikido è un partner dinamico che reagisce esattamente al momento giusto e con la giusta concentrazione per rispondere alla crescente esigenza di una sicurezza informatica efficace.”
Puoi presentarti e descrivere il tuo ruolo in Athumi?
Lavoro in Athumi sin dall’inizio, quando eravamo ancora un programma all’interno di Digitaal Vlaanderen, un’agenzia del governo fiammingo impegnata nella trasformazione digitale dei servizi pubblici. Mi occupo sia della tecnologia che delle infrastrutture, guidando le decisioni architetturali per garantire coerenza, agilità e allineamento strategico in tutta l’organizzazione.
Ciò che mi ha attratto è stata la portata della sfida: integrare i sistemi legacy con le nuove piattaforme, bilanciando i team di sviluppo decentralizzati con una governance unificata per garantire elevati standard di qualità e la conformità a livello aziendale. Tutto questo va fatto mentre si portano avanti progetti di innovazione ambiziosi e si sfrutta la tecnologia per instaurare e coltivare la collaborazione tra partner pubblici e privati.
Qual è la missione di Athumi e in che modo sostenete il governo belga?
Athumi è nata nell’ambito del Piano fiammingo di resilienza e ripresa durante la pandemia di COVID, con l’obiettivo di sostenere la ripresa economica nelle Fiandre, in Belgio. Operiamo come intermediario di dati, godendo della fiducia di enti governativi e organizzazioni private per garantire un flusso sicuro dei dati personali e aziendali.
Il GDPR e la direttiva NIS2 hanno introdotto importanti misure di protezione, ma hanno anche reso più difficile l’interoperabilità tra i sistemi. Abbiamo individuato una lacuna nel mercato: come sbloccare i dati senza compromettere la fiducia? Athumi contribuisce a colmare questa lacuna dal punto di vista tecnico, legale e organizzativo.
Quanto è importante la sicurezza nel tuo lavoro?
La sicurezza è al centro di tutto ciò che facciamo. Trattiamo sia dati personali che informazioni aziendali riservate. La fiducia è un elemento imprescindibile. Il nostro intero ecosistema dipende da essa.
Ecco perché abbiamo investito sin dall’inizio in un Sistema di gestione della sicurezza delle informazioni (ISMS) dedicato, abbiamo assunto un CISO e abbiamo riorganizzato la nostra struttura aziendale per elevare la sicurezza informatica a responsabilità a livello di consiglio di amministrazione.
Quali difficoltà hai dovuto affrontare prima di iniziare a praticare l’Aikido?
Abbiamo dovuto affrontare diverse sfide:
- Frammentazione: avevamo diverse destinazioni di hosting, ciascuna con la propria pipeline CI/CD e regole di distribuzione specifiche.
- Oneri legati alla conformità: gli audit centralizzati entravano in conflitto con i flussi di lavoro specifici dei singoli team.
- Distanza degli sviluppatori dal rischio: gli sviluppatori non erano sempre consapevoli delle ripercussioni sulla sicurezza fino alle fasi finali del ciclo di sviluppo.
- Mancanza di trasparenza: i vertici aziendali non potevano affermare con certezza: «Il codice che distribuiamo è sicuro».
Il livello di consapevolezza in materia di sicurezza variava notevolmente. Mentre il consiglio di amministrazione aveva bisogno di garanzie chiare, gli sviluppatori necessitavano di strumenti concreti e utilizzabili. Il motto “predica con l’esempio” funziona solo se le persone hanno i mezzi per metterlo in pratica.
«Non volevo essere il CTO “estraneo” che imponeva la sicurezza dall’alto verso il basso. Aikido aiuta gli sviluppatori a crescere imparando a programmare in modo sicuro nel contesto; ogni vulnerabilità che risolvono li rende più capaci di prevenire quella successiva.»
Qual è stato il fattore scatenante che vi ha spinto a formalizzare il vostro approccio alla sicurezza?
Quando abbiamo unificato il nostro panorama di hosting, precedentemente frammentato tra i vari team, abbiamo avuto l’opportunità di ripartire da zero per riprogettare la nostra pipeline CI/CD. Il nostro comitato consultivo, composto da esperti di sicurezza indipendenti, ci ha posto questa sfida:«Come garantirete che questa nuova pipeline sia sicura fin dalla progettazione?»
Questo ci ha portato a cercare soluzioni in grado di supportare i team decentralizzati, senza imporre un unico modello di pipeline valido per tutti.
Come hai scoperto l'Aikido?
Abbiamo scoperto Aikido grazie a una combinazione di consigli da parte di colleghi e suggerimenti del comitato consultivo. Stavamo definendo il processo CI/CD ideale e sicuro, valutando le modalità di lavoro dei team. Aikido si è distinto per la sua flessibilità: si è integrato perfettamente con i flussi di lavoro esistenti dei team, sia che si trattasse di MOB sul ramo principale, di lavorare con i rami delle funzionalità o di effettuare il rilascio tramite PR.
Il team potrebbe mantenere il controllo, continuando al contempo a beneficiare di controlli di sicurezza chiari e automatizzati.
Cosa ti ha colpito di più durante la tua valutazione?
Tre aspetti hanno attirato particolarmente l'attenzione:
- Feedback degli sviluppatori sul campo: i nostri team imparano con la pratica, non frequentando corsi formali sulla sicurezza. L’Aikido si adatta perfettamente a questa mentalità.
- Non invasività: funziona come un sidecar. Integra i nostri flussi di lavoro senza ostacolarli.
- Vantaggio immediato: gli sviluppatori ottengono informazioni rapide che li aiutano a risolvere i problemi direttamente durante il flusso di lavoro.
«Il ciclo di feedback è immediato. Gli sviluppatori non hanno bisogno di corsi di formazione, imparano sul campo, e l’Aikido favorisce questo approccio.»
Com'è andata l'integrazione?
Abbiamo iniziato in modo semplice: plugin per IDE, notifiche su Slack, integrazione con Jira, in modo che i team potessero iniziare a vedere subito i risultati. La facilità di accesso è stata fondamentale. Ora abbiamo ampliato la nostra offerta alla sicurezza in fase di esecuzione e alla configurazione cloud. Potete scalare la soluzione secondo i vostri ritmi, team per team.
«Non è integrato, è un sistema complementare. Tu mantieni il controllo del tuo percorso di produzione, mentre Aikido rende la sicurezza visibile e gestibile.»
In che modo l'Aikido ha cambiato il tuo modo di lavorare?
La sicurezza non è più un ostacolo né un’attività isolata. È ormai un’abitudine: fa parte del modo in cui i nostri team distribuiscono il codice. Stiamo attivamente mettendo in atto:
- Maggiore consapevolezza tra gli sviluppatori
- Risoluzione più rapida delle vulnerabilità
- Maggiore preparazione alle verifiche contabili
- Pannelli di controllo centralizzati per garantire la trasparenza
“L’Aikido ci aiuta a mettere in pratica ciò che predichiamo, trasformando il nostro impegno in materia di sicurezza in azioni concrete sia negli ambienti di sviluppo che in quelli di esecuzione.”
Ha contribuito al rispetto delle norme?
Assolutamente sì. Stiamo lavorando per ottenere la certificazione ISO e l’Aikido svolge un ruolo fondamentale nella documentazione, nel monitoraggio e nella comunicazione del nostro livello di sicurezza.
La sicurezza non è una semplice voce da spuntare: con Aikido, la miglioriamo a livello strutturale e dimostriamo la nostra maturità senza sforzo, in qualsiasi momento.
Cosa diresti agli altri responsabili tecnologici della pubblica amministrazione?
Partite dalla fiducia. Non imponete strumenti, ma fornite ai vostri team quelli giusti. La sicurezza non è una funzione di back-office. È una questione che riguarda il prodotto, la piattaforma e un fattore abilitante per il business.
L'Aikido si evolve insieme a noi. Non ci vincola a un unico modo di operare. Questa flessibilità è fondamentale quando si gestiscono team decentralizzati e, al contempo, si amplia la conformità.
Perché è importante che l’Aikido sia europeo?
È più importante di quanto si possa pensare. La sicurezza è una questione strategica. Sostenere l’innovazione europea è in linea con i nostri valori di resilienza economica, sovranità, fiducia e conformità al quadro normativo europeo in continua evoluzione. Avere un partner europeo (e, nel nostro caso, belga) che comprenda il nostro contesto rappresenta un grande vantaggio.
Come descriveresti l'Aikido in una sola frase?
«L’Aikido è un partner dinamico che si rivela con la giusta attenzione proprio quando ne hai più bisogno: in un contesto caratterizzato da elevati standard di sicurezza interna, normative e dinamiche geopolitiche.»
