Ciao Eric! Puoi raccontarci qualcosa di te e di HiringBranch?
Certo! Sono il CTO di HiringBranch. Ho iniziato come unico sviluppatore circa 12–15 anni fa, e oggi siamo diventati un team piccolo ma affiatato di 10 ingegneri, tra cui alcuni specialisti di machine learning.
Abbiamo iniziato la nostra attività nel settore dell’istruzione, ma oggi siamo specializzati nelle valutazioni pre-assunzione, in particolare nella valutazione delle capacità comunicative e delle competenze trasversali tramite la PNL e l’apprendimento automatico. Ciò che ci contraddistingue è il fatto che lasciamo ai candidati la possibilità di rispondere in forma aperta. Anziché ricorrere a domande a scelta multipla, analizziamo ciò che le persone dicono effettivamente per valutare le loro competenze. Si tratta di un modo molto più naturale e accurato per valutare le qualità umane.
Che ruolo svolge la sicurezza nel settore delle assunzioni nel campo della tecnologia?
È tutta una questione di fiducia. Quando le aziende utilizzano la nostra piattaforma, ci affidano i dati sensibili dei candidati. Abbiamo la responsabilità di proteggere tali dati, non solo perché è la cosa giusta da fare, ma anche perché ciò si riflette sul nostro marchio e sulla nostra credibilità.
C'è stato un momento in cui ti sei reso conto che: «Dobbiamo prendere sul serio la sicurezza»?
Sì, assolutamente. All’inizio, soprattutto quando lavoravamo principalmente con clienti di piccole dimensioni, la sicurezza non era una priorità assoluta. Ma quando abbiamo iniziato ad affacciarci al settore aziendale, forse 5 o 6 anni fa, la situazione è cambiata rapidamente. I clienti ci ponevano domande alle quali non sapevamo dare risposte adeguate. Quello è stato un campanello d’allarme.
Come erano i vostri flussi di lavoro relativi alla sicurezza prima di Aikido?
«Avevamo strumenti open source, piattaforme Microsoft, scansioni basate su Docker… e niente comunicava con nient’altro. Era il caos.»
Avevo un'immagine Docker che eseguivo localmente per analizzare il codice. Poi generavo un report e lo caricavo manualmente da qualche parte. Era un processo macchinoso e soggetto a errori.
Abbiamo utilizzato un mix alla Frankenstein di strumenti: scanner open source, qualcosa di Microsoft su Azure, SonarQube, AWS Security Hub… tutti messi insieme alla bell’e meglio. E, ovviamente, nessuno di essi comunicava con gli altri. Era un sistema disordinato e difficile da gestire.
E come hai scoperto l'Aikido?
Abbiamo iniziato a interessarci ad Aikido forse due anni fa. Ma eravamo molto impegnati, quindi non ci siamo buttati a capofitto fin da subito. Quando alla fine abbiamo assunto un ingegnere della sicurezza, lui ha iniziato ad approfondire Aikido e ci ha detto: «Questo fa proprio tutto ciò di cui abbiamo bisogno». A poco a poco, abbiamo iniziato a sostituire i vecchi strumenti. Non è stato un cambiamento dall’oggi al domani, ma una migrazione pratica e ponderata.
Cosa ha reso l’Aikido la scelta giusta?
«Tutto è in un unico posto. Le integrazioni con Slack e Azure DevOps rappresentano una vera e propria rivoluzione.»
Per noi la differenza era la seguente:
- Consolidamento: da cinque strumenti a uno solo.
- Automazione: le vulnerabilità vengono segnalate su Slack, dove possiamo taggare gli sviluppatori e intervenire rapidamente.
- Reportistica: «A ogni riunione sulla sicurezza, preparo un report completo con tutto ciò che dobbiamo sapere. Le novità, le correzioni apportate: c’è tutto lì».
- Facilità d'uso: funziona e basta. Non servono corsi di formazione né configurazioni complesse.
Parliamo di conformità. Come gestivi la conformità prima di iniziare a praticare l’Aikido?
Sì, abbiamo ottenuto ufficialmente la certificazione SOC 2 Tipo II. Il processo è iniziato circa due anni fa e, mentre per ottenere la certificazione Tipo I si trattava principalmente di documentare le politiche, quella di Tipo II è stata tutta un’altra storia. È lì che sono entrati in gioco il vero rigore operativo e la fatica della raccolta delle prove.
Prima dovevamo esportare manualmente i report da vari strumenti e caricarli su Vanta. Era una procedura macchinosa e dispendiosa in termini di tempo. Adesso? La sincronizzazione avviene automaticamente. È un processo fluido.
Era un processo macchinoso e manuale. Avevamo previsto di esportare i report di sicurezza da vari strumenti per poi caricarli su Vanta, la nostra piattaforma di conformità.
Che ruolo ha avuto l’Aikido nel tuo percorso verso la conformità?
Aikido, e in particolare la sua integrazione con Vanta, ha fatto davvero la differenza durante il nostro processo SOC 2 Tipo II. Non appena l’abbiamo attivato, ha automatizzato l’intero flusso di lavoro relativo alla raccolta delle prove di sicurezza. Vulnerabilità, misure correttive, copertura dei controlli: tutto ha iniziato a sincronizzarsi in background senza che dovessimo occuparcene manualmente.
«Non abbiamo adottato Aikido per motivi di conformità, ma quando abbiamo visto con quanta facilità si integrasse con Vanta, la scelta è stata ovvia. Basta cliccare su qualche pulsante e i dati sono già lì.»
Ciò significava non dover più esportare report, caricare file PDF o preoccuparci della documentazione mancante durante gli audit. Anziché dover dimostrare la conformità, potevamo concentrarci sul miglioramento effettivo del nostro livello di sicurezza.
“Aikido ha eliminato lo stress legato alla conformità. L’automazione funziona alla perfezione: mantiene tutto pronto per gli audit, senza bisogno di affannarsi.”
Quella che un tempo era una corsa frenetica trimestrale si è trasformata in un processo tranquillo e continuo: sempre attivo, sempre pronto. Proprio come dovrebbe essere.
In che modo è cambiata la mentalità della tua squadra in materia di sicurezza da quando avete adottato Aikido?
Siamo diventati molto più proattivi. Invece di reagire ai problemi, o peggio ancora, di ignorarli, ora riceviamo avvisi in tempo reale. La scansione è continua. C’è meno caos, meno approssimazioni. Tutto è strutturato e visibile.
Come è stata la tua esperienza di collaborazione con il team di Aikido?
Onestamente, è fantastico. Abbiamo incontri mensili, che sono utilissimi per scoprire le nuove funzionalità. Il team di assistenza è reattivo e abbiamo persino un canale Slack dedicato con loro, il che rende la comunicazione facile e veloce.
E infine, se dovessi riassumere l’Aikido in una sola frase?
“Tranquillità per l’intero processo di sicurezza.”
Davvero. Prima era un vero e proprio caos di strumenti e attività. Ora, invece, è tutto tranquillo, ordinato e sotto controllo.
