In sintesi
- Ha unificato in un'unica visuale la sicurezza di un patrimonio tecnologico e di team vasto e diversificato
- Implementazione di Aikido per fasi, a partire dal prodotto per il codice
- Aikido risponde alle priorità di sovranità di KEYES, con i dati residenti nell'UE ai sensi della legge belga
- Riduzione del lavoro manuale di verifica dei risultati, liberando tempo per altre priorità
- Ha visto una funzionalità richiesta rilasciata come PR, corretta e distribuita nel giro di pochi giorni
- Ha notato come gli sviluppatori chiedano di integrare Aikido in modo più approfondito nel loro flusso di lavoro
Centralizzazione della sicurezza in un vasto patrimonio IT
KEYES, precedentemente noto come NRB Group, è uno dei gruppi ICT più grandi del Belgio. Con sede a Herstal e fondato nel 1987, impiega circa 3.700 persone, gestisce propri data center in Belgio e fornisce servizi sovrani a un'ampia gamma di team e tecnologie. Questa scala fa da sfondo al suo lavoro sulla sicurezza: un'organizzazione di sicurezza matura che gestisce svariati ambienti.
Fabrice Servais, security engineer presso KEYES, fa parte del team di sicurezza e operations che gestisce SOC, vulnerability management e incident response. Il suo gruppo sta lavorando per integrare ulteriormente la sicurezza applicativa nel ciclo di vita dello sviluppo, e il primo problema da risolvere è stato la visibilità su un ampio insieme di tecnologie e team.
"Supportiamo moltissime tecnologie diverse e differenti stack tecnologici distribuiti tra numerosi team. Aikido ci aiuta a colmare le lacune, centralizzare i risultati della sicurezza e migliorare la nostra postura di sicurezza complessiva."
La sfida
Complessità legata a molteplici tecnologie
KEYES supporta diversi stack tecnologici attraverso numerosi team e gestisce i propri data center con carichi di lavoro in loco. Per un team di sicurezza e operazioni che dispone già di una struttura di sicurezza matura, la difficoltà non è mai stata l'organizzazione, bensì il fatto di dover raccogliere i risultati di ciascuno di questi ambienti in un'unica posizione, anziché monitorarli stack per stack e team per team.
Una visuale unificata per ogni ambiente
I risultati erano distribuiti su più ambienti per scelta, con ogni team vicino al proprio. KEYES voleva che fossero centralizzati anche in un'unica posizione, in modo che il team di sicurezza potesse avere una panoramica di tutti gli ambienti contemporaneamente, e non solo team per team.
Perché KEYES ha scelto Aikido
Meno rumore, triage più rapido
Quando il team ha confrontato le alternative, il costo derivante dall'utilizzo di più strumenti si è tradotto nel carico operativo di dover controllare manualmente i risultati livello per livello. Aikido ha raggruppato i risultati in base a ciò che contava di più e ne ha effettuato il triage all'interno della piattaforma, riducendo il tempo dedicato dal team all'analisi e liberando risorse per altre attività.
La sovranità, una priorità per KEYES
La sovranità rappresenta una priorità strategica per KEYES. In qualità di attore belga dotato di propri data center e di offerte di servizi sovrani, l'azienda si trova a ricevere sempre più spesso le stesse domande dai propri clienti: che ne è dei miei dati, che fine fanno i miei risultati, dove risiede la mia applicazione. Il fatto che Aikido sposasse questa visione, trattandosi di un'azienda belga con dati residenti nell'UE e soggetti alla legge belga, ha rappresentato un ulteriore vantaggio rispetto alla perfetta idoneità della piattaforma. Fabrice ha evidenziato che ci sono margini di ulteriore progresso verso i dati residenti on-premise, che il team intende continuare a esplorare.
"Uno dei commenti che sentiamo più spesso è: che fine fanno i miei dati, dove si trova la mia applicazione. Il fatto che Aikido sia un'azienda belga, con dati residenti nell'UE e gestiti secondo la legge belga, risponde perfettamente a questa priorità."
Un approccio incentrato sul codice e progettato per espandersi
Anziché optare per un'implementazione massiva in un'unica soluzione, KEYES sta introducendo Aikido un modulo alla volta, una scelta ponderata viste le dimensioni dell'infrastruttura. Il team ha iniziato con il prodotto per il codice, dando priorità alla sua adozione da parte degli sviluppatori prima di ampliare il raggio d'azione. La tabella di marcia è già delineata: la scansione cloud e quella degli attacchi saranno le prossime tappe man mano che l'implementazione prosegue, e si prevede che i team di infrastruttura faranno affidamento sulla postura di sicurezza che Aikido costruisce lungo il percorso.
"Stiamo iniziando il nostro percorso per integrare Aikido nel nostro ciclo di vita dello sviluppo partendo dal prodotto per il codice, ma percepiamo chiaramente la necessità di estenderlo anche alla scansione cloud e degli attacchi."
Sviluppatori che hanno chiesto di più
L'accoglienza da parte degli sviluppatori è stata entusiasta fin dalla prima implementazione. Piuttosto che imporre lo strumento ai team, la funzione di sicurezza ha visto gli sviluppatori comprendere autonomamente i benefici e chiedere di integrare ulteriormente Aikido nel loro modo di lavorare.
"Quando abbiamo introdotto Aikido, abbiamo ricevuto una delle accoglienze migliori di sempre. Gli sviluppatori ne hanno compreso i vantaggi in autonomia e ci hanno chiesto di integrarlo ancora di più nel loro flusso di lavoro."
Una correzione rilasciata in pochi giorni
La solidità della partnership è emersa chiaramente durante l'integrazione. KEYES aveva la necessità di una funzionalità mancante per distribuire il broker di Aikido tramite GitOps, in modo da poter eseguire Aikido sui propri repository privati. Dopo che Fabrice ha sollevato la questione, una pull request, una correzione e il conseguente rilascio sono stati completati nel giro di un paio di giorni. Questo ciclo di feedback così rapido ha influenzato la percezione che il team ha di Aikido tanto quanto qualsiasi singola funzionalità.
"Ci mancava una funzionalità per distribuire il broker con GitOps. Ho contattato il supporto e nel giro di un paio di giorni abbiamo avuto una PR, una correzione e un deployment. Il ciclo di feedback è rapidissimo. Dimostra che Aikido ascolta e agisce tempestivamente."
I prossimi passi per KEYES
Attualmente KEYES utilizza Aikido per la scansione del codice. La scansione cloud e quella degli attacchi sono i prossimi moduli pianificati per il proseguimento dell'implementazione. Il pentesting basato su IA è in fase di valutazione come strumento aggiuntivo da affiancare ai servizi di pentesting che KEYES offre già ai propri clienti, integrandolo nel ciclo di vita dello sviluppo in modo più automatizzato anziché eseguendolo separatamente.
Verdetto finale
Secondo Fabrice, il valore del rapporto si è dimostrato solido ben oltre la fase di vendita.
"Il confronto non si interrompe una volta firmato il contratto. Siamo stati supportati prima di iniziare a lavorare con Aikido, e il supporto continua anche ora che pianifichiamo e integriamo le soluzioni."
