Ehi, Ega! Qual è il tuo ruolo e cosa distingue Faspay nel settore FinTech?
Ciao a tutti del team Aikido! In qualità di responsabile capo dello sviluppo presso Faspay, guido i nostri team di ingegneri nella realizzazione di sistemi scalabili e affidabili che supportino la crescita dell’azienda e le esigenze aziendali in continua evoluzione.
Ciò che contraddistingue Faspay è la nostra forte presenza sia nel settore digitale che in quello tradizionale. Facilitiamo l’adozione dei sistemi di pagamento digitali da parte degli esercenti (in particolare quelli che stanno abbandonando i metodi di pagamento tradizionali) grazie a soluzioni stabili, sicure e facili da integrare. Faspay è uno dei gateway di pagamento più longevi e affermati in Indonesia. Le nostre soluzioni sono sicure, stabili e facilmente integrabili, frutto di anni di comprovata esperienza e della fiducia del mercato.
A quale scopo dovrebbe servire la sicurezza nel settore FinTech?
Sebbene la sicurezza specifica per il settore FinTech debba sostenere l’innovazione e l’inclusione finanziaria digitale, ritengo che anche questo sia un requisito imprescindibile:
- Proteggere i dati degli utenti: le piattaforme FinTech gestiscono informazioni personali e finanziarie sensibili. Un sistema di sicurezza solido garantisce che tali dati non vengano divulgati, rubati o utilizzati in modo improprio.
- Proteggere le transazioni: ogni transazione deve essere al riparo da frodi, manipolazioni o accessi non autorizzati, al fine di garantire l'integrità del sistema.
- Creare fiducia: gli utenti ricorreranno ai servizi finanziari digitali solo se avranno la certezza che il proprio denaro e le proprie informazioni siano al sicuro. La fiducia porta all’adozione e alla crescita.
- Garantire la conformità: il settore FinTech indonesiano è regolamentato da autorità quali l’OJK e la Banca d’Indonesia. Un buon livello di sicurezza aiuta le aziende a rispettare le leggi in materia di protezione dei dati e sicurezza informatica, evitando sanzioni.
- Prevenire le perdite: gli attacchi informatici possono comportare il furto di fondi e un danno alla reputazione. La sicurezza funge da linea di difesa per ridurre tali rischi.
- Garantire la disponibilità del servizio: i tempi di inattività o i guasti del sistema causati da attacchi possono bloccare le operazioni aziendali. La sicurezza garantisce che la piattaforma rimanga affidabile e sempre accessibile.
In che modo l’Aikido può aiutare a far fronte alle crescenti esigenze in materia di regolamentazione e protezione dei dati?
Aikido svolge un ruolo fondamentale nell’aiutarci a proteggere i dati dei clienti. Identifica i rischi nelle prime fasi del ciclo di vita dello sviluppo, quando è più facile (e meno costoso) risolverli. Aikido analizza migliaia di librerie open source, avvisandoci immediatamente quando una dipendenza contiene una vulnerabilità nota che potrebbe mettere a rischio i dati degli utenti. Inoltre, monitora costantemente il codice distribuito e segnala le modifiche quando componenti precedentemente sicuri diventano vulnerabili a causa dell’evoluzione delle informazioni sulle minacce.
C'è stato un momento particolare che ha determinato una maggiore attenzione strategica alla sicurezza?
Negli ultimi 3-4 anni, il settore finanziario indonesiano è diventato bersaglio di hacker e attacchi di vario genere. Da allora, abbiamo adottato un approccio alla sicurezza molto più strategico e proattivo, investendo in processi più efficaci, sensibilizzando il personale interno e adottando strumenti come Aikido per aiutarci a identificare tempestivamente le vulnerabilità e prevenire il verificarsi di incidenti.
Prima di adottare l’Aikido, quali erano le tue principali preoccupazioni in materia di sicurezza? C’erano rischi o lacune specifici che volevi affrontare?
Considerato l’aumento del rischio sul mercato, la nostra priorità immediata è stata quella di colmare le lacune di sicurezza a livello di infrastruttura. Tra le nostre principali preoccupazioni figuravano i sistemi privi di patch, le vulnerabilità note e il rafforzamento generale dell’ambiente. Ci siamo concentrati sull’applicazione regolare delle patch software, sulla risoluzione dei problemi noti e sull’esecuzione di test di penetrazione e valutazioni delle vulnerabilità di routine, al fine di garantire che la nostra infrastruttura fosse sicura e resiliente di fronte a futuri attacchi.
Quali difficoltà avete incontrato nel garantire la sicurezza e la conformità man mano che la vostra piattaforma cresceva?
Man mano che procedevamo, sono emerse due sfide fondamentali:
- Minacce imprevedibili: non sempre riuscivamo a prevedere nuovi tipi di attacchi né il loro livello di sofisticazione.
- Requisiti di conformità in continua evoluzione: le aspettative normative cambiano rapidamente e i nostri sistemi dovevano stare al passo senza creare colli di bottiglia nello sviluppo.
La sfida più ardua è stata quella di garantire un elevato livello di sicurezza senza rallentare il ritmo dei nostri sviluppi.
«La sicurezza è ormai parte integrante della nostra cultura dello sviluppo, non un elemento secondario.»
Prima di implementare Aikido, utilizzavate altri strumenti o servizi di sicurezza?
Prima di Aikido avevamo provato diversi strumenti, tra cui Checkmarx e Snyk. Ognuno presentava dei limiti: alcuni erano lenti, altri non fornivano informazioni utili su cui agire, mentre altri ancora avevano un costo elevato che non rispecchiava il loro valore. Questo ci ha spinto a cercare qualcosa di più intuitivo per gli sviluppatori ed efficiente, e alla fine ci ha portato ad Aikido.
«Abbiamo provato Checkmarx e Snyk, ma Aikido si è rivelato più veloce, più pratico e più facile da usare.»
Cosa ha colpito di più dell’Aikido durante la valutazione?
Ciò che ci ha colpito di più di Aikido durante la nostra valutazione è stata la sua forte attenzione all’esperienza degli sviluppatori. La funzione AutoFix si è rivelata un vero punto di forza, consentendo al nostro team di risolvere rapidamente i problemi senza intervento manuale. Aikido fornisce inoltre report chiari e fruibili, che facilitano la definizione delle priorità e la risoluzione delle vulnerabilità. Inoltre, la sua perfetta integrazione con gli strumenti che già utilizziamo (come Jenkins, Slack e vari editor di codice) ha reso l’adozione estremamente semplice. A ciò si aggiunge una velocità di scansione notevolmente elevata, che ci ha aiutato a mantenere il nostro ritmo di sviluppo senza compromettere la sicurezza.
«Alcuni problemi vengono risolti automaticamente, senza bisogno di alcun intervento umano. Noi ci limitiamo a controllare e integrare il codice.»
Come è stata la tua esperienza di collaborazione con il team di Aikido?
Lavorare con il team di Aikido è stata un’esperienza straordinaria. Non solo sono reattivi, ma sono anche proattivi, disponibili e davvero interessati al nostro successo. Ogni interazione riflette la loro profonda competenza in materia di sicurezza e un impegno sincero nell’aiutarci a crescere con fiducia. È raro trovare un partner che ispiri tanta affidabilità e che sia così in sintonia con i nostri valori.
Quanto è stato facile o difficile integrare l'Aikido nei vostri flussi di lavoro e processi di sviluppo già esistenti?
È stato semplicissimo. La documentazione è chiara e il processo di configurazione è filato liscio, anche per gli sviluppatori che non conoscevano lo strumento. Aikido si è integrato perfettamente nelle nostre pipeline senza interferire con i nostri processi. Questo era fondamentale. Avevamo bisogno di una maggiore sicurezza, ma non a scapito della produttività.
Qual è la tua funzione o caratteristica preferita?
A mio parere ce ne sono tre. Sicuramente la funzione di scansione delle API. È preziosissima, dato che la maggior parte dei nostri servizi è basata su API. Ci aiuta a garantire che qualsiasi nuova API che rilasciamo sia sicura fin dall’inizio. In secondo luogo, la funzionalità AutoFix ci fa davvero risparmiare tempo. Ci ha permesso di risparmiare una notevole quantità di tempo risolvendo automaticamente molte vulnerabilità comuni, consentendo al nostro team di concentrarsi maggiormente sul rilascio del codice senza preoccupazioni. Nei casi più rapidi, le correzioni vengono effettuate all’istante: dobbiamo solo revisionare la modifica e integrarla.
«Grazie al plugin IDE, possiamo individuare il codice errato prima ancora che venga caricato su GitHub.»
Inoltre, il plugin IDE ci aiuta a individuare il codice errato prima ancora che venga caricato su GitHub. Non dobbiamo più controllare manualmente ogni singola riga, e questo ha avuto un impatto notevole sull'efficienza degli sviluppatori.
In che modo l’Aikido ha cambiato l’approccio di Faspay alla sicurezza e alla gestione delle vulnerabilità?
Aikido ha migliorato in modo significativo il nostro approccio alla sicurezza e alla gestione delle vulnerabilità in Faspay. Siamo più attenti alla sicurezza del nostro codice, soprattutto quando si tratta di identificare ed eliminare i dati sensibili hardcoded. Ci ha inoltre resi più proattivi nella gestione delle nostre dipendenze, assicurandoci che siano aggiornate e sicure. Grazie ad Aikido, la sicurezza è diventata parte integrante della nostra cultura di sviluppo, non più un aspetto secondario.
Hai riscontrato risultati tangibili?
Aikido ci ha aiutato a individuare molte vulnerabilità nel nostro codice legacy che erano rimaste inosservate. Già solo questo ha giustificato il passaggio. Non disponiamo ancora di dati precisi, ma abbiamo sicuramente risparmiato tempo.
Avete riscontrato miglioramenti in termini di velocità o di risparmio sui costi?
Non ancora in termini di velocità di sviluppo: ci stiamo ancora concentrando sulla riorganizzazione del codice legacy. E anche se non abbiamo ancora quantificato i risparmi sui costi, possiamo già affermare che Aikido sta riducendo l’onere legato alla gestione manuale della sicurezza.
Se dovessi descrivere l'impatto dell'Aikido in una sola frase, quale sarebbe?
Aikido ha integrato perfettamente la sicurezza nel nostro processo di sviluppo, aiutandoci a individuare tempestivamente le vulnerabilità e consentendo al nostro team di programmare in modo più sicuro ed efficiente.
