Ciao Martijn! Puoi raccontarci qualcosa di te e del tuo ruolo in Helin?
Sono il CTO e uno dei fondatori di Helin. Mi occupo di tutto ciò che riguarda la sicurezza e i principi di progettazione di software sicuro. Abbiamo sviluppato una piattaforma che consente alle aziende industriali, in particolare nei settori marittimo e delle energie rinnovabili, di gestire l’intelligenza periferica su larga scala.
Il nostro team di ingegneri è composto da circa 40 persone. La complessità di ciò che realizziamo – sia il software stesso che l’ambiente in cui viene eseguito – richiede un approccio incentrato sulla sicurezza sin dal primo giorno.
Di cosa si occupa Helin e quale problema risolvete?
Stiamo sviluppando una piattaforma per la gestione delle applicazioni industriali. La nostra missione è semplificare l’implementazione e la gestione del software in ambiente edge per i clienti del settore industriale. Pensate alle piattaforme di trivellazione offshore, ai parchi eolici, ai parchi di energia rinnovabile... In sostanza, siamo il sistema operativo per gli impianti di energia rinnovabile.
Beviamo anche il nostro champagne: gestiamo due delle nostre applicazioni sulla piattaforma per testare, convalidare e rafforzare tutto ciò che facciamo. Questo significa anche che siamo il nostro “cliente zero”. Se qualcosa non funziona, lo sappiamo prima di chiunque altro.
In che modo Helin si distingue nel settore del software industriale?
«Nel nostro settore, la sicurezza è una “licenza per operare”. Se non riesci a dimostrare che il tuo software è sicuro, sei fuori.»
La sicurezza è un elemento fondamentale della nostra proposta di valore, perché deve esserlo per forza. I nostri clienti si aspettano una “licenza per operare”. Ciò include la piena trasparenza dell’SBOM, un’infrastruttura rinforzata e la capacità di rispondere rapidamente alle minacce. Il settore delle energie rinnovabili è ancora relativamente immaturo in termini di sicurezza, quindi spesso siamo noi a fare da apripista (con il supporto di strumenti come Aikido).
Quali erano le principali sfide in materia di sicurezza prima dell’introduzione di Aikido?
Abbiamo sempre adottato un approccio rigoroso in materia di sicurezza. Ma la vera sfida era trasformarlo in qualcosa di concreto per gli sviluppatori. Si possono definire tutte le politiche che si vogliono, ma se gli sviluppatori non ne colgono il significato, non cambia nulla.
«Puoi creare tutte le politiche di sicurezza che vuoi, ma se i tuoi sviluppatori non le adottano, non risolverai nulla.»
Abbiamo provato diversi strumenti. Tutti coprivano le funzionalità di base, ma mancavano di trasparenza e flessibilità. Inoltre, nemmeno l’assistenza clienti era all’altezza. Un fornitore, ad esempio, ha impiegato ben sei settimane solo per rispondere a una nostra richiesta. E molti strumenti non potevano essere implementati negli ambienti dei clienti a causa di vincoli di conformità. Questo è stato un fattore determinante.
"Abbiamo provato diversi strumenti. Coprivano tutti le funzionalità di base, ma mancavano di trasparenza e flessibilità. Inoltre, nemmeno il servizio clienti era un granché."
Perché hai scelto l'Aikido?
Perché rispecchia la nostra visione della sicurezza: dovrebbe essere aperta, collaborativa e a misura di sviluppatore. Aikido non si limita a individuare le vulnerabilità, ma aiuta gli sviluppatori a porvi rimedio. Questo cambiamento è stato enorme.
«Agli sviluppatori piace davvero usare Aikido. Ridurre le vulnerabilità è diventato quasi una sorta di sfida.»
Abbiamo apprezzato anche il modello trasparente di Aikido. A differenza di alcuni fornitori, che applicano costi di licenza a sorpresa in seguito a un semplice avviso di Azure, Aikido chiarisce esattamente cosa si sta pagando. È una storia vera: una volta abbiamo ricevuto un avviso di Azure di domenica (solo un avviso!) che ha comportato un costo aggiuntivo in uno dei nostri vecchi strumenti. È stato allora che abbiamo capito: avevamo bisogno di un partner, non di un sistema di penalità.
«A differenza di altri fornitori, Aikido non ti sorprende con avvisi che all’improvviso ti costano denaro.»
Qual è la tua funzione preferita?
Integrazione a livello di codice. Porta i risultati direttamente agli sviluppatori, e non viceversa. Tutto si integra perfettamente nelle nostre pipeline CI/CD. È nativo, non un’aggiunta a posteriori.
Inoltre, la scansione dei container e l’analisi statica del codice funzionano semplicemente. Non ci costringono a riprogettare l’architettura dei nostri sistemi. Questo è molto importante quando l’infrastruttura deve soddisfare rigorosi vincoli di implementazione.
In che modo l’Aikido ha contribuito a migliorare i vostri risultati in materia di sicurezza?
Una delle cose che abbiamo notato è che gli sviluppatori si divertono davvero a ridurre il numero delle vulnerabilità. Diventa quasi un gioco. Questo cambiamento culturale è un grande risultato. Aikido rende più facile tenere sempre presente la sicurezza, senza rallentare il lavoro.
«L’Aikido non ci aiuta solo a spuntare delle caselle. Ci aiuta a sviluppare la giusta forza come squadra.»
E poiché operiamo in contesti caratterizzati da rigorosi controlli sui dati, avevamo bisogno di uno strumento che ci garantisse la piena titolarità dei dati. Le API di Aikido ci consentono di trasmettere e leggere tutti i dati in modo sicuro all’interno dei nostri ambienti.
Che consiglio daresti ad altre aziende produttrici di software industriale che stanno valutando diverse piattaforme di sicurezza?
«Non limitarti a cercare uno strumento di sicurezza. Cerca qualcosa che i tuoi sviluppatori useranno davvero.»
Non scendere a compromessi sulla visibilità. Assicurati che i tuoi sviluppatori possano intervenire in base a ciò che la piattaforma rileva. E se i tuoi clienti attribuiscono importanza ad aspetti quali gli SBOM e gli aggiornamenti di sicurezza (cosa che dovrebbero assolutamente fare), assicurati che il tuo strumento ti aiuti a soddisfare tali esigenze.
Se dovessi descrivere l'Aikido in una sola frase, quale sarebbe?
È l'unico strumento di sicurezza che abbia mai visto in grado di conciliare davvero l'esperienza degli sviluppatori con i requisiti di livello industriale.
