In sintesi
- AppSec consolidata in tutte le unità aziendali globali su un’unica piattaforma
- Ha raddoppiato il tasso di applicazione delle patch, portandolo dal 20% al 41% nel corso del primo anno
- Ho completato autonomamente la registrazione iniziale su aikido.dev senza alcuna difficoltà procedurale
- Ha integrato la scansione dei container nella stessa schermata dei risultati a livello di codice
- Ho verificato le vulnerabilità CVE recentemente rese note rispetto al codice sorgente
- Ha fornito agli sviluppatori un plugin per l'IDE che consente di risolvere i problemi direttamente senza dover aprire un ticket
Sfida
Una presenza ingegneristica globale con un approccio locale
Believe è un'azienda musicale che si avvale della tecnologia e opera in Francia, a New York e in Giappone. Yolanda Amorim è responsabile della sicurezza delle applicazioni all'interno di questa organizzazione ingegneristica distribuita. Ogni regione aveva il proprio modo di operare e le proprie scelte in termini di strumenti, con il risultato di una copertura AppSec disomogenea su quello che avrebbe dovuto essere un unico prodotto.
Yolanda aveva bisogno di un'unica piattaforma che tutti i team regionali potessero utilizzare senza dover seguire una nuova formazione, di una visione coerente per i responsabili della sicurezza e di un ciclo di feedback con cui gli sviluppatori interagissero effettivamente, anziché aggirarlo.
Believe non aveva bisogno di una valutazione orientata alle vendite. Doveva provare la piattaforma e dimostrarne il valore internamente.
“Volevamo puntare su uno strumento che funzionasse per tutti i nostri team a livello globale. L’opzione self-service offerta da aikido.dev ci ha permesso di iniziare subito, senza dover affrontare un lungo processo di approvvigionamento.”
Soluzione
Il team di Yolanda ha allineato tutte le unità regionali su Aikido, adottando la stessa configurazione e lo stesso flusso di lavoro. SAST, SCA e la scansione dei container erano visibili in un’unica schermata.
Il risultato operativo più evidente è stato il tasso di correzione. Prima di Aikido, Believe correggeva circa il 20% dei problemi individuati. Dopo il consolidamento e l’introduzione di AutoFix e del plugin IDE, tale cifra è quasi raddoppiata.
«Dopo il passaggio, la nostra percentuale di patch è balzata dal 20% al 41%. È la differenza tra considerare la sicurezza come una voce in sospeso e considerarla una vera e propria metrica ingegneristica.»
Quando veniva reso noto un nuovo CVE, il team di Yolanda poteva verificare se li riguardasse e mettere in sicurezza i pacchetti destinati alla versione in fase di rilascio.
«La settimana scorsa uno sviluppatore è venuto da me davvero impressionato. Era stato pubblicato un nuovo CVE e noi avevamo salvato tutti i pacchetti di quella versione.»
Perché Believe ha scelto l'Aikido
Believe ha valutato l'Aikido rispetto al mantenimento del mosaico regionale e rispetto a diversi fornitori già affermati. La decisione è stata determinata da una serie ristretta di fattori.
- Una piattaforma che copre sia il codice che i container
- Onboarding self-service su aikido.dev senza intoppi nella procedura di approvvigionamento
- Copertura delle diverse lingue e dei vari framework utilizzati dai team globali
- Un plugin IDE che consente agli sviluppatori di risolvere i problemi direttamente nel codice
- Un fornitore reattivo quando è necessaria una rapida verifica dei CVE appena resi noti
Risultati
L'Aikido ha trasformato la dinamica da "il team di sicurezza mi chiede di risolvere questo problema" a "questo fa parte del processo di implementazione della modifica". Il team di Yolanda organizza inoltre corsi di formazione mirati per i responsabili della sicurezza, incentrati sulle problematiche che ciascun team deve affrontare con maggiore frequenza.
Per la prima volta, i responsabili della sicurezza di Believe possono confrontare lo stato di sicurezza in Francia, negli Stati Uniti e in Giappone sulla base degli stessi dati e delle stesse definizioni.
L'integrazione della scansione dei container in Aikido, insieme ai risultati a livello di codice, ha colmato una lacuna di lunga data. I risultati non sono più suddivisi tra due console e due modelli di prioritizzazione.
Come Believe sta ampliando l'uso dell'Aikido
Già in uso
- Scansione SAST e SCA
- Scansione dei container
- AI AutoFix
- Plugin IDE per correzioni direttamente nell'editor
- Pentesting AI
Sto pensando di adottare un bambino
Valutazione successiva
- Aikido Zen Firewall
Verdetto finale
“L’Aikido ha cambiato le carte in tavola per me. Un unico strumento, che copre diverse aziende, e siamo riusciti ad aumentare il nostro livello di sicurezza più rapidamente di quanto mi aspettassi.”
