Un’azienda che offre servizi al cliente ha sostituito i processi di sicurezza manuali e i controlli WAF statici con una visibilità in tempo reale sulle applicazioni, aiutando i team di sicurezza a dare priorità alle minacce reali, a migliorare la velocità di risoluzione dei problemi e a sostenere la trasformazione digitale a livello aziendale.
In sintesi
- È stata introdotta la protezione automatica delle applicazioni in fase di esecuzione (RASP) con Aikido Zen Firewall
- Visibilità estesa sulla sicurezza, dall'IDE al CI/CD fino all'esecuzione
- Maggiore velocità di risoluzione dei problemi grazie alla definizione delle priorità e ai suggerimenti di correzione assistiti dall'intelligenza artificiale
- Raggiunti gli obiettivi SLA relativi alla bonifica nel corso di una trasformazione digitale su larga scala
- Attivazione della reportistica sulla sicurezza a livello dirigenziale e di consiglio di amministrazione
- Riduzione delle segnalazioni di sicurezza e concentrazione dei team sulle vulnerabilità più rilevanti
- Sicurezza integrata direttamente nei flussi di lavoro degli sviluppatori
Sfida
Oncourse Home Solutions gestisce servizi digitali rivolti ai clienti che dipendono sempre più dall'infrastruttura cloud, dalle applicazioni moderne e dalle esperienze digitali. Con l'accelerazione della trasformazione digitale su ampia scala da parte dell'azienda, la complessità delle applicazioni è cresciuta rapidamente. I nuovi servizi cloud, le integrazioni e le funzionalità rivolte ai clienti hanno ampliato sia le opportunità di business sia la superficie di attacco dell'organizzazione.
Per Joshy Alappat, responsabile della sicurezza informatica, la sfida consisteva nel garantire che la sicurezza potesse evolversi allo stesso ritmo dell’azienda.
«Stavamo attraversando una fase di trasformazione digitale caratterizzata dall’adozione di numerosi servizi cloud e da una serie di complessità che avevamo integrato nei nostri sistemi, e stavamo assistendo a un cambiamento del nostro profilo di minaccia».
Il team addetto alla sicurezza disponeva già degli strumenti necessari, ma gran parte del processo era ancora svolto manualmente.
Diversi strumenti generavano risultati, i team esaminavano i log e gli analisti della sicurezza dedicavano molto tempo a stabilire quali problemi richiedessero effettivamente attenzione. Ciò che mancava era una visione d’insieme dei rischi e un metodo affidabile per stabilire le priorità nelle attività di sicurezza.
«Avevamo già gli strumenti necessari, ma si trattava di un processo manuale. Non avevamo una visione d’insieme né un criterio per stabilire le priorità».
Allo stesso tempo, l'architettura di sicurezza dell'organizzazione si basava in larga misura sui tradizionali firewall per applicazioni web e sui controlli di rete.
Sebbene fossero efficaci in molti scenari, questi strumenti richiedevano una messa a punto costante e la manutenzione delle regole. Capire cosa venisse bloccato, perché venisse bloccato e in che modo le modifiche avrebbero influito sulle applicazioni di produzione comportava spesso un sovraccarico operativo.
«La sfida con il WAF consiste nell’aggiornare il set di regole e capire cosa viene bloccato e tutto il resto, senza mettere fuori servizio l’applicazione.»
Il team aveva bisogno di una soluzione in grado di garantire visibilità sulle applicazioni in esecuzione, aiutando al contempo gli sviluppatori e i team di sicurezza a lavorare sulla base della stessa fonte di informazioni attendibili.
Soluzione
Nell’ambito del proprio programma di modernizzazione, Oncourse ha valutato diverse piattaforme di sicurezza. Un requisito è emerso subito con chiarezza: la sicurezza doveva andare oltre la tradizionale scansione pre-implementazione. Il team voleva avere visibilità su ciò che accadeva effettivamente all’interno delle applicazioni in esecuzione, non solo su ciò che le scansioni statiche riuscivano a individuare prima del rilascio.
L'Aikido si è distinto perché combinava la protezione in fase di esecuzione tramite Zen Firewall con funzionalità più ampie di sicurezza delle applicazioni lungo l'intero ciclo di vita dello sviluppo software. L'implementazione è iniziata con Zen Firewall e si è gradualmente estesa ai flussi di lavoro di sviluppo e distribuzione.
Oggi la sicurezza è integrata direttamente negli IDE, nelle pipeline CI/CD, nei flussi di lavoro Jira e negli ambienti di esecuzione.
Anziché introdurre un processo di sicurezza separato, Aikido è diventato parte integrante del modo in cui il software veniva già sviluppato e distribuito. L'adozione da parte degli sviluppatori ha giocato un ruolo importante nella decisione. Secondo Joshy, i team di ingegneri hanno rapidamente adottato la piattaforma perché forniva indicazioni concrete invece di creare ulteriori ostacoli.
La combinazione tra visibilità in tempo reale e definizione delle priorità assistita dall’intelligenza artificiale ha inoltre cambiato il modo in cui il team di sicurezza affrontava la gestione dei rischi. Anziché esaminare manualmente grandi volumi di avvisi, i team potevano concentrarsi sulle vulnerabilità che rappresentavano un rischio significativo per i sistemi di produzione. La piattaforma forniva inoltre indicazioni dirette per la correzione, collegate al codice stesso, consentendo agli sviluppatori di passare dall’identificazione alla risoluzione in modo molto più rapido rispetto al passato.
Risultati
Il risultato più significativo è stato il miglioramento dell'efficienza. Anziché dedicare tempo all'analisi manuale dei risultati, alla gestione di regole statiche o alla valutazione delle vulnerabilità che richiedono attenzione, il team di sicurezza può concentrarsi direttamente sui problemi più rilevanti.
«L’Aikido è efficienza. Ci aiuta a dare priorità a ciò che dobbiamo proteggere e a non perdere tempo con cose che non contano.»
La velocità di bonifica è migliorata notevolmente.
In passato, i team individuavano le vulnerabilità e poi dedicavano ulteriore tempo a individuare il codice interessato, a comprenderne l’impatto e a stabilire la correzione adeguata. Oggi, gli sviluppatori ricevono indicazioni chiare su come risolvere il problema direttamente insieme ai risultati dell’analisi.
«I tempi di bonifica hanno cambiato le carte in tavola.»
La piattaforma ha inoltre aiutato l’organizzazione a rispettare costantemente gli obiettivi SLA relativi alle misure correttive durante un periodo di rapidi cambiamenti. Man mano che l’azienda ampliava la propria presenza digitale, gli impegni in materia di sicurezza che un tempo sembravano ambiziosi sono diventati realizzabili. La sicurezza è diventata più facile da implementare e da misurare. Il team ha potuto monitorare i progressi rispetto agli obiettivi di trasformazione, dimostrare la copertura su tutte le applicazioni e comunicare i risultati alla dirigenza e al consiglio di amministrazione.
Secondo Joshy, essere riusciti a mantenere tali impegni è stato uno dei maggiori successi del programma.
«Abbiamo promesso qualcosa e siamo riusciti a mantenerla. È stato davvero importante.»
Anziché affidarsi esclusivamente a controlli perimetrali e insiemi di regole statiche, Oncourse dispone ora di una visibilità continua sull’intero ciclo di vita delle applicazioni, dallo sviluppo alla produzione. Il risultato è un programma di sicurezza che sostiene l’innovazione senza rallentarla.
Come Oncourse utilizza l'Aikido oggi
Attualmente sto utilizzando
- Zen Firewall (protezione delle applicazioni in esecuzione)
- Integrazioni IDE
- Scansione di sicurezza CI/CD
- Linee guida per la classificazione per priorità delle vulnerabilità e la loro risoluzione
- Integrazioni con i flussi di lavoro di Jira
Pianificazione successiva
- Una copertura più ampia delle applicazioni in tutta l'organizzazione
- Ulteriori integrazioni nel flusso di lavoro degli sviluppatori
- Reportistica di sicurezza potenziata a livello dirigenziale e del consiglio di amministrazione
Verdetto finale
«L’Aikido è efficienza. Ci aiuta a dare priorità a ciò che dobbiamo proteggere e a non perdere tempo con cose che non contano.»
