In sintesi
- Riduzione dei controlli di sicurezza sui monorepository più grandi di Deel da 14-15 ore a circa 10 minuti
- Riduzione del 99% dei falsi positivi critici e del 92% dei problemi critici rispetto al fornitore precedente nella fase di pilot.
- Onboarding di 400 sviluppatori in un'unica sessione di formazione
- Fornisce agli sviluppatori un accesso limitato in base alle autorizzazioni esistenti del repository
- Assegna la priorità alle vulnerabilità sfruttabili prima che raggiungano i team di sviluppo
- Maggiore diffusione degli ambienti di sviluppo integrati grazie all'implementazione gestita
- Protezione estesa dei dispositivi oltre la fase di progettazione, con il decollo del Vibe Coding
Trasformare i risultati delle analisi di sicurezza in soluzioni
Deel gestisce le operazioni relative alle buste paga e alle risorse umane per oltre 40.000 aziende in più di 150 paesi. I suoi oltre 1.400 sviluppatori integrano più di 20.000 pull request ogni mese, comprese le modifiche ai monorepository con oltre cinque milioni di righe di codice.
Quando Kadir Burak Mavzer è entrato a far parte di Deel in qualità di responsabile del team di sicurezza della piattaforma, l’azienda disponeva già di procedure di controllo della sicurezza delle applicazioni. Le richieste di pull venivano verificate, il codice veniva revisionato ogni notte e i requisiti di conformità erano rispettati.
Ma era difficile mettere in pratica tali risultati.
Gli sviluppatori nutrivano una fiducia limitata nei risultati e le verifiche sui repository più grandi di Deel potevano richiedere quasi un'intera giornata lavorativa. Deel ha scelto Aikido Security per fornire ai team un feedback più rapido, una definizione più chiara delle priorità e un flusso di lavoro che gli sviluppatori potessero utilizzare direttamente.
«Era solo una voce da spuntare per soddisfare i requisiti di conformità. Rispondeva a tutti i requisiti, ma non era utilizzabile.»
La sfida
La sicurezza era ormai diventata un rumore di sottofondo
Il precedente prodotto di Deel dedicato alla sicurezza delle applicazioni svolgeva i controlli previsti, ma i risultati che forniva erano spesso inaffidabili e di difficile utilizzo.
Le richieste di pull venivano esaminate automaticamente e il codice veniva controllato ogni notte. Gli sviluppatori continuavano tuttavia a nutrire scarsi dubbi sul fatto che i risultati riflettessero problemi che valesse la pena risolvere.
«I risultati non erano così affidabili come ci si aspetterebbe da uno strumento di sicurezza delle applicazioni. Avevamo bisogno di risultati su cui il team potesse agire con sicurezza.»
Quella mancanza di fiducia ha comportato un aumento del carico di lavoro per il team di sicurezza e una minore urgenza da parte degli sviluppatori.
Assegni che non sono riusciti a tenere il passo
La portata del problema è emersa chiaramente quando Kadir ha esaminato l'attività dell'intero reparto di ingegneria di Deel.
Alcuni dei monorepository più grandi di Deel contengono oltre cinque milioni di righe di codice. Il fornitore precedente eseguiva un controllo completo per ogni modifica e la revisione di una singola pull request poteva richiedere 14–15 ore.
In caso di modifiche di ampia portata, le verifiche potrebbero protrarsi per gran parte della giornata lavorativa.
«I controlli richiedevano molto tempo sui nostri monorepository di grandi dimensioni, e questo rallentava il lavoro degli sviluppatori. Avevamo bisogno di qualcosa che riuscisse a stare al passo con la rapidità con cui rilasciamo i prodotti.»
Il numero di sviluppatori che hanno adottato la tecnologia è rimasto basso
Anche il fornitore precedente offriva un'estensione per l'ambiente di sviluppo integrato, ma solo circa il 2-3% degli sviluppatori la utilizzava.
La maggior parte dei riscontri relativi alla sicurezza è quindi pervenuta in una fase avanzata del processo di sviluppo, quando il codice era già stato inserito nel sistema di controllo delle versioni.
Perché Deel ha scelto l'Aikido
Deel ha valutato diversi fornitori prima di scegliere Aikido. Tre fattori hanno fatto la differenza: una prioritizzazione più chiara, un'analisi assistita dall'intelligenza artificiale integrata nel flusso di lavoro e l'accesso diretto a un team di prodotto in rapida evoluzione.
Prioritizzazione chiara delle vulnerabilità sfruttabili
Aikido valuta le vulnerabilità nel contesto dell'applicazione e mostra quali problemi sono realmente sfruttabili.
Kadir descrive questo processo come un imbuto: un'ampia serie di vulnerabilità viene ridotta al gruppo ristretto che gli sviluppatori devono effettivamente gestire.
A titolo esemplificativo, descrive una situazione in cui su 1.000 vulnerabilità critiche circa 250 potrebbero essere problematiche e sfruttabili.
“Ci sono le vulnerabilità e poi ci sono le vulnerabilità sfruttabili. Aikido lo mostra in modo molto chiaro. Sappiamo cosa presentare agli sviluppatori, e possiamo dire loro che si tratta di dati verificati e che quindi devono essere risolti.”
Questo ha dato al team di sicurezza maggiore fiducia nei problemi sollevati e ha aiutato gli sviluppatori a concentrarsi sulle segnalazioni con un impatto reale.
Ciò è apparso evidente durante il periodo di prova, in cui Aikido ha risolto il 92% dei problemi critici e ha ridotto i falsi positivi critici del 99% rispetto al fornitore precedente.
Intelligenza artificiale integrata nel flusso di lavoro
Gli sviluppatori di Deel utilizzavano già strumenti di IA per scrivere software. Kadir voleva che il team di sicurezza beneficiasse dello stesso incremento di velocità.
L'analisi assistita dall'IA di Aikido aiuta a verificare i risultati e a ridurre il lavoro manuale necessario prima che un problema raggiunga lo sviluppatore.
“Mi piace il fatto che l'IA sia integrata. Non è un'aggiunta o un componente extra. Gli sviluppatori stanno già usando l'IA per sviluppare, e i team di sicurezza devono fare altrettanto per tenere il passo.”
Accesso diretto al team di prodotto
Anche la velocità nello sviluppo dei prodotti di Aikido è emersa chiaramente durante la fase di valutazione.
Kadir ricorda di aver richiesto una funzionalità e di averla vista pronta il giorno successivo. Deel comunica inoltre direttamente con i vertici di Aikido ogni volta che emergono domande o idee di prodotto.
“Abbiamo un canale di comunicazione in cui persino il CEO e il CTO di Aikido rispondono alle domande nel giro di circa tre minuti. È incredibile vedere quel livello di supporto e quell'ossessione per il cliente.”
Garantire l'accesso diretto agli sviluppatori
Deel ha reso Aikido disponibile per impostazione predefinita a tutti gli sviluppatori.
Chiunque abbia accesso ai sistemi di controllo di versione di Deel può effettuare l'accesso e visualizzare i risultati relativi ai propri repository. Le autorizzazioni esistenti determinano ciò che ciascuna persona può vedere.
“Possono accedere all'applicazione, fare il login e vedere i risultati in prima persona. È già filtrato in base al loro utente, quindi vedono solo ciò di cui hanno bisogno.”
Deel ha supportato il rollout con una sessione di formazione tenuta insieme al team di Aikido, a cui hanno partecipato tra i 300 e i 400 sviluppatori.
Riduzione dei controlli sulle pull request da 15 ore a 10 minuti
Deel ha integrato Aikido in tutti i suoi sistemi di controllo di versione e ora controlla ogni singola pull request.
Per le modifiche di grandi dimensioni, il processo richiede circa 10 minuti. Con lo stesso tipo di monorepository estesi, il fornitore precedente poteva impiegare 14-15 ore.
Gli sviluppatori ricevono le segnalazioni quando il codice e il contesto sono ancora recenti. Possono anche ignorare un problema o fornire un feedback direttamente dalla pull request.
“Ci vogliono al massimo circa 10 minuti sulle pull request di grandi dimensioni, ed è stato una vera svolta. Gli sviluppatori possono rilasciare più velocemente e tu riesci a individuare i problemi molto prima e in modo più efficiente.”
“Gli sviluppatori hanno la possibilità di ignorare o fornire feedback sui risultati direttamente nella pull request. È un aspetto fantastico per la produttività degli sviluppatori e per i team di sicurezza.”
Individuare i problemi nelle prime fasi dello sviluppo
Deel ha distribuito l'estensione per l'ambiente di sviluppo integrato di Aikido tramite il proprio sistema di gestione dei dispositivi.
La precedente estensione aveva raggiunto solo il 2–3% degli sviluppatori. La distribuzione gestita ha registrato un netto aumento dell'adozione e ha reso l'estensione parte integrante dell'ambiente di sviluppo standard di Deel.
Gli sviluppatori possono esaminare e correggere le vulnerabilità mentre scrivono il codice, prima che la modifica raggiunga un repository o una pull request.
“Puoi correggere le vulnerabilità prima che arrivino in produzione, persino prima che raggiungano il sistema di controllo di versione. Abbiamo assistito a un'impennata nell'adozione.”
Proteggere una forza lavoro assistita dall'IA
Deel è stata anche tra i primi a implementare Aikido Device Protection.
L'azienda aveva notato come gli attacchi alla supply chain avessero colpito sviluppatori di qualsiasi livello di esperienza. Un pacchetto compromesso può esporre un dispositivo a prescindere da quanto prudente o senior sia il suo utente.
“Non importa quanto tu possa essere prudente. Se il pacchetto è infettato da malware, ne subisci le conseguenze. Dobbiamo proteggere le macchine degli sviluppatori. Credo che tutto cominci da lì.”
Deel sta estendendo questa protezione oltre l'ambito puramente ingegneristico.
Gli assistenti di codifica basati sull'IA stanno semplificando la creazione di script, strumenti interni e applicazioni anche per chi ricopre altri ruoli. Questi utenti potrebbero avere meno esperienza nella valutazione delle dipendenze o nel riconoscere le implicazioni di sicurezza del codice generato.
“Con la diffusione degli assistenti di codifica basati sull'IA, ora chiunque è un po' sviluppatore. Chi non ha un background tecnico ha un'idea e fa di tutto per realizzarla. Credo che siano ancora più vulnerabili degli sviluppatori stessi.”
Device Protection offre a Deel uno strumento per proteggere questa platea più ampia da pacchetti open-source malevoli.
Una visione più chiara della sicurezza del codice
Aikido ha aiutato Deel a identificare problemi di maggiore impatto e a sviluppare una comprensione più approfondita della sicurezza nell'intera codebase.
Gli sviluppatori ricevono segnalazioni su cui possono agire, mentre il team di sicurezza ha maggiore fiducia nei problemi che chiede loro di risolvere.
“Prima di trovare Aikido, ci è apparso molto più chiaro ciò che ci stava sfuggendo. Abbiamo iniziato a trovare più problemi, problemi di maggiore impatto, e abbiamo capito qual è la situazione della nostra codebase in termini di sicurezza.”
Kadir ha anche notato un cambiamento nella reazione degli sviluppatori.
“Ora è tutto molto più orientato all'azione. Gli sviluppatori sono più soddisfatti e collaborativi. Comprendono i problemi in un modo che li aiuta a risolverli.”
I prossimi passi di Deel
Attualmente Deel utilizza Aikido per il testing statico della sicurezza delle applicazioni (SAST), l'analisi della composizione del software (SCA), i controlli sulle pull request, la sicurezza nell'ambiente di sviluppo integrato e Device Protection. Il team utilizza inoltre le linee guida di secure coding di Deel come contesto nelle code review di Aikido.
Il team sta inoltre valutando un'analisi del codice autonoma in grado di esaminare continuamente la codebase di Deel rispetto alle vulnerabilità emergenti.
“Vogliamo analizzare continuamente la nostra codebase per individuare le vulnerabilità che emergono nel tempo. Il fatto che sia una soluzione autonoma e basata su agenti rappresenta un grande vantaggio, perché non abbiamo necessariamente il tempo o la capacità di farlo di continuo.”
Verdetto finale
Kadir descrive un rapporto con Aikido che è rimasto diretto e reattivo anche dopo il processo di vendita.
Deel può interfacciarsi con i vertici di Aikido, discutere delle decisioni di prodotto con le persone che sviluppano la piattaforma e contribuire a definire le funzionalità rilevanti per il proprio programma di sicurezza.
“Non ho mai visto un'azienda che opera come Aikido. Puoi parlare con dirigenti di alto livello su Slack e rispondono alle tue domande in modo molto ponderato. Facciamo ottime discussioni sulle funzionalità del prodotto e hai anche la possibilità di contribuire a plasmarlo.”
Alcuni membri del team inizialmente si chiedevano se quel livello di attenzione sarebbe svanito dopo che Deel fosse diventata cliente. Kadir afferma che il rapporto si è invece consolidato.
“Alcuni temevano che fosse solo una tattica di vendita e che ci avrebbero ignorato dopo la firma del contratto. Non è mai successo. Anzi, i tempi di risposta sono migliorati.”
“È un'aggiunta fantastica al nostro arsenale di strumenti. Gli sviluppatori sono più felici e lavorano in modo più collaborativo.”
