Ciao Aki! Puoi presentarti e spiegarci qual è il tuo ruolo in Midaxo?
Mi chiamo Aki Hänninen, sono CISO e responsabile DevSecOps presso Midaxo. Ho scelto di separare deliberatamente questi due ruoli: quello di CISO riguarda principalmente la sicurezza aziendale, la governance e le certificazioni come la ISO 27001, mentre quello di DevSecOps si concentra sulla sicurezza dei prodotti e delle piattaforme. Il nostro team di ingegneri è composto da circa 15 persone (suddivise in 5 team) distribuite tra la Finlandia e gli Stati Uniti.
In realtà ho iniziato a lavorare in Midaxo come architetto software quando abbiamo ricostruito da zero la nostra piattaforma cloud. Man mano che l’azienda si è consolidata, mi sono orientato verso le operazioni e la sicurezza, e ora mi considero un “architetto software in via di recupero” (ride). Sono ancora a stretto contatto con il codice, ma mi concentro sul garantire la sicurezza in tutta l’organizzazione.
E di cosa si occupa Midaxo?
Midaxo è una piattaforma software centralizzata creata appositamente per i team che si occupano di fusioni e acquisizioni e di sviluppo aziendale. È stata progettata per gestire processi complessi quali acquisizioni, cessioni, gestione della proprietà intellettuale e altro ancora.
Mentre molti team continuano ad affidarsi a Excel e PowerPoint per gestire queste iniziative, Midaxo offre un sistema centralizzato che sostituisce tali strumenti manuali con un flusso di lavoro più strutturato, collaborativo e ripetibile. Riunisce tutto in un unico posto, consentendo ai team di agire più rapidamente, ridurre i rischi e prendere decisioni migliori grazie alla visibilità in tempo reale e alla tracciabilità lungo l’intero ciclo di vita dell’operazione.
Quanto è importante la sicurezza per la tua azienda?
È assolutamente obbligatorio. La maggior parte dei nostri accordi prevede valutazioni dei rischi da parte di terzi e le aspettative in materia di protezione dei dati e riservatezza sono elevate (soprattutto data la natura dell’attività dei nostri clienti). La sicurezza è per noi un importante fattore di differenziazione. Infonde nei nostri clienti la fiducia necessaria per scegliere Midaxo come partner nella gestione di processi sensibili e di grande importanza.
Non si tratta solo di conformità o di spuntare caselle in una valutazione della sicurezza. Consideriamo la sicurezza parte integrante del prodotto. Ciò comprende il modo in cui sviluppiamo, implementiamo e gestiamo internamente gli incidenti o le vulnerabilità. Ecco perché abbiamo investito così massicciamente nella sicurezza a tutti i livelli: dal prodotto all’infrastruttura.
Quali erano le tue principali preoccupazioni in materia di sicurezza prima di utilizzare Aikido?
Siamo un’azienda fortemente orientata al cloud e facciamo ampio ricorso ai servizi gestiti da AWS e all’infrastruttura serverless, il che ci consente di delegare parte della sicurezza dell’infrastruttura. Tuttavia, ciò sposta anche la nostra attenzione interna verso la sicurezza delle applicazioni.
Gestire le vulnerabilità era una vera seccatura. Risultati SCA, SAST, DAST… tutto era frammentato tra diversi strumenti (AWS Inspector, SonarCloud e Detectify, solo per citarne alcuni). Era diventato il classico gioco del “colpisci il topo”: “Ehi, qualcuno ha già dato un’occhiata a questa vulnerabilità?”.
«Prima dell’Aikido, gestire la sicurezza era il classico gioco del “colpisci la talpa”: “Ehi, qualcuno ha già dato un’occhiata a questa vulnerabilità?”»
Ogni strumento funzionava in modo isolato. Non esisteva una visione d’insieme. Le vulnerabilità dovevano essere classificate e assegnate manualmente. Questo rallentava l’intero processo. Il nostro team di sicurezza si faceva carico della maggior parte del lavoro, mentre l’adozione di strumenti e pratiche di sicurezza da parte del resto del team di ingegneri era scarsa.
Cosa ha fatto risaltare l'Aikido durante la tua valutazione?
Aikido sembrava essere stato progettato proprio pensando ad aziende come la nostra, dotate di solidi team di ingegneri interni ma con risorse limitate in termini di personale addetto alla sicurezza, e non esclusivamente per le grandi imprese (come alcuni degli altri fornitori del settore).
«Gli sviluppatori hanno iniziato a risolvere i problemi da soli, perché Aikido ha reso facile capire cosa fare e chi dovesse farlo.»
La configurazione è stata semplice, la governance è diventata più chiara e la responsabilità è emersa con evidenza. La piattaforma ci ha aiutato a portare all’attenzione dei team giusti le questioni rilevanti, senza tutte quelle informazioni superflue. Quello che mi è piaciuto di più è che ha semplificato il nostro flusso di lavoro. Che sollievo non dover più passare continuamente da una dashboard all’altra e da uno strumento all’altro.
Com'è andata l'implementazione? È stato difficile integrarla con la vostra configurazione esistente?
«A dire il vero? L'installazione è stata quasi impercettibile. Tutto calza a pennello.»
Per noi è fondamentale garantire l’autonomia dei team, e la funzionalità di filtraggio dei team di Aikido è stata fondamentale per me in qualità di CISO. Ognuno dei nostri cinque team ora vede solo i risultati di sicurezza rilevanti per il proprio codice, e questo si allinea perfettamente al nostro modo di operare. Questo da solo ha reso l’adozione molto agevole.
Come è stata la tua esperienza di collaborazione con il team di Aikido?
Il team è stato eccezionale. Quando finalmente ho avuto il tempo di provare lo strumento, il team era subito pronto ad aiutarmi. Tutte le persone con cui abbiamo interagito hanno dimostrato una vera mentalità orientata al cliente. Ascoltano i nostri feedback, agiscono di conseguenza e ci fanno sentire dei veri partner.
Onestamente, un livello di reattività del genere è raro e ci ha lasciato un ricordo indelebile.
Cosa è cambiato nel modo in cui gestisci la sicurezza?
Ha trasformato il nostro processo di gestione delle vulnerabilità in qualcosa di molto più proattivo e a misura di sviluppatore. Ora inviamo i risultati critici direttamente ai canali Slack specifici per ogni team. La consapevolezza è maggiore, il “rumore” è minore e il processo è finalmente sostenibile. Il team di sicurezza può così fare un passo indietro e concentrarsi sulla governance, anziché sui follow-up quotidiani.
“Prima dell’Aikido, l’AppSec mi sembrava un ostacolo. Ora è semplicemente parte del flusso. La sicurezza non è più vista come qualcosa di esterno o fastidioso. È semplicemente parte integrante del modo in cui i team rilasciano il software.”
Prima era difficile convincere i team ad agire. Ora stiamo assistendo a un calo costante dei problemi critici e di elevata gravità. Abbiamo in programma di definire un valore di riferimento entro la fine dell’anno per monitorare la nostra capacità di mantenere nel tempo questo miglioramento.
Inoltre, il risultato più importante è di natura culturale: la sicurezza non è più vista come un elemento esterno o fastidioso. È semplicemente parte integrante del modo in cui i team distribuiscono il software.
Come hanno reagito gli sviluppatori?
È proprio questo il bello. Nella cultura finlandese, se qualcosa è rotto, te lo fanno sapere. Se invece funziona, non te lo dicono.
«Il fatto che nessuno si lamenti dell’Aikido? È praticamente il miglior riscontro che si possa ricevere qui in Finlandia.»
E, se mi è consentito aggiungere una nota culturale: nella cultura finlandese non siamo molto inclini a fare complimenti. Ma quando i nostri sviluppatori dicono “non è una schifezza e funziona”, è praticamente il massimo elogio che si possa ricevere (ride). Ed è proprio così che il nostro team vede Aikido: è utile, discreto e fa il suo dovere.
Qual è la tua funzione preferita?
Come già detto, il filtraggio per team è la priorità assoluta per me. Supporta il nostro modo di lavorare decentralizzato e semplifica notevolmente il mio lavoro di supervisione della sicurezza tra i vari team.
Ma vorrei dedicare un ringraziamento speciale alla funzione di ignoramento automatico . Elimina silenziosamente una serie di risultati irrilevanti, facendoci risparmiare tempo ed energie mentali. A volte controllo il numero solo per sentirmi bene.
«A volte controllo il numero dei messaggi ignorati automaticamente solo per farmi un piacere. È tutto lavoro che non abbiamo dovuto fare.»
Ultimo ma non meno importante: se dovessi riassumere l’Aikido in una sola frase, quale sarebbe?
«Funziona e basta». E per un team di sviluppo finlandese? È un grande complimento.
AWS e contesto tecnico
Midaxo opera su servizi gestiti da AWS e su un'infrastruttura serverless, il che sposta l'attenzione in materia di sicurezza direttamente sul livello applicativo. Aikido ha sostituito AWS Inspector, SonarCloud e Detectify con un'unica piattaforma, che acquisisce e deduplica i risultati relativi ai CVE di AWS Inspector insieme ai risultati delle scansioni SAST, SCA, dei segreti e dei container, aggiungendo inoltre controlli CSPM sui ruoli IAM, sui gruppi di sicurezza e sulle configurazioni S3.
Disponibile su AWS Marketplace, Aikido offre ora a ciascuno dei cinque team di ingegneri di Midaxo una vista filtrata dei risultati che li riguardano specificatamente.
