In sintesi
- Abbiamo sostituito sei strumenti AppSec distinti con un’unica piattaforma unificata
- Riduzione dei falsi allarmi di sicurezza e miglioramento della classificazione delle vulnerabilità in base alla priorità
- Migliore collaborazione tra i team di sicurezza e quelli di ingegneria
- Ha consentito di ottenere più rapidamente il time-to-value e la risoluzione dei problemi
- Ha fornito dashboard di sicurezza chiari per garantire la visibilità ai vertici aziendali
- Ha permesso ai team di sicurezza di fungere da " barriere di protezione" anziché da "ostacoli"
Sfida
In qualità di Chief Information Security Officer virtuale (vCISO) che lavora, tra le altre aziende, per Prove, Amanda Hartle aiuta le organizzazioni a progettare e gestire programmi di sicurezza all’avanguardia. In numerosi contesti ha riscontrato un andamento simile: gli stack di sicurezza delle applicazioni si erano sviluppati in modo organico nel corso del tempo.
Ogni strumento era stato introdotto per risolvere un problema specifico. Presi singolarmente, avevano senso. Ma nel loro insieme creavano un ecosistema frammentato e difficile da gestire.
“In un unico ambiente, solo per l'AppSec, avevamo sei strumenti diversi. Ognuno produceva i propri alert, dashboard e workflow.”
Con il passare del tempo, lo stack di sicurezza ha cominciato ad assomigliare a quello che Amanda definisce un sistema “alla Frankenstein”: un insieme di strumenti diversi, messi insieme alla bell’e meglio, che non erano mai stati progettati per funzionare come un’unica piattaforma.
Questa frammentazione ha comportato diverse difficoltà operative:
- Avvisi che si sovrappongono su più strumenti
- Non esiste una visione univoca dei rischi legati alla sicurezza delle applicazioni
- Difficoltà nel stabilire le priorità delle vulnerabilità
- Attriti tra i team di sicurezza e gli sviluppatori
I programmi di sicurezza che si basano su troppi strumenti non integrati tra loro spesso finiscono per rallentare i team invece di aiutarli a lavorare più velocemente. Per Amanda, questo risultato è in netto contrasto con la filosofia che applica nel suo lavoro di vCISO.
La sicurezza dovrebbe consentire agli sviluppatori
Amanda ritiene che la sicurezza debba supportare i team di ingegneri anziché rallentarli.
«La sicurezza non dovrebbe ostacolare i team di ingegneri. Dovrebbe invece fornire delle linee guida che li aiutino ad agire con maggiore rapidità.»
Ma ciò richiede strumenti che gli sviluppatori vogliano effettivamente utilizzare. Quando gli strumenti di sicurezza generano troppi avvisi o richiedono di passare da un sistema all’altro, diventa difficile per gli sviluppatori capire cosa debba effettivamente essere risolto.
L'obiettivo era quello di semplificare la struttura di sicurezza, garantendo al contempo ai team di sicurezza e di ingegneria una visione più chiara dei rischi reali.
Soluzione
Dopo aver valutato diverse opzioni, Prove ha scelto Aikido Security come base del proprio programma di sicurezza delle applicazioni.
Aikido riunisce diverse funzionalità di sicurezza in un'unica piattaforma e si integra direttamente nei flussi di lavoro degli sviluppatori. Anziché dover mettere in correlazione gli avvisi provenienti da diversi strumenti, i team possono ora visualizzare in un unico posto le vulnerabilità, le indicazioni sulla priorità e le linee guida per la risoluzione.
Questo cambiamento ha permesso al team di sicurezza di concentrarsi sulle vulnerabilità che contano davvero.
Perché Prove ha scelto l’Aikido e l’impatto di questa scelta
Durante il processo di valutazione, Amanda ha dato la priorità agli strumenti in grado di semplificare lo stack di sicurezza e di integrarsi senza intoppi nei flussi di lavoro di ingegneria.
Sono emersi diversi fattori:
- Consolidamento di diversi strumenti di sicurezza delle applicazioni in un’unica piattaforma
- Una chiara definizione delle priorità delle vulnerabilità anziché allarmi fastidiosi
- Integrazione perfetta nei flussi di lavoro degli sviluppatori
- Implementazione rapida e veloce ritorno sull'investimento
La sostituzione di sei strumenti distinti ha semplificato la struttura di sicurezza e ridotto i costi operativi. Gli sviluppatori hanno inoltre potuto risolvere i problemi più rapidamente, poiché le vulnerabilità erano collegate direttamente al codice sorgente.
Amanda descrive spesso questa esperienza con una semplice analogia:
«Se l’Aikido fosse un’auto, sarebbe una Porsche.»
Potente, efficiente e progettato per garantire prestazioni ottimali senza inutili complicazioni.
Verdetto finale
Grazie all’integrazione di sei strumenti distinti in un’unica piattaforma, Aikido ha aiutato Prove a semplificare il proprio programma di sicurezza delle applicazioni, migliorando al contempo la definizione delle priorità relative alle vulnerabilità.
Anziché dover gestire uno stack frammentato, i team di sicurezza hanno ora una visione più chiara dei rischi legati alle applicazioni e possono concentrarsi sulla protezione di ciò che conta di più senza rallentare lo sviluppo.
Come riassume Amanda:
«Quando si trova uno strumento che garantisce questo tipo di time-to-value e una risoluzione più rapida dei problemi, cambia il modo in cui operano i team di sicurezza.»
Il risultato è un modo più semplice per gestire i programmi di sicurezza delle applicazioni: un'unica piattaforma anziché un insieme eterogeneo di strumenti.
AWS e contesto tecnico
Lo stack AppSec frammentato di Prove, composto da sei strumenti tra cui Snyk e Checkmarx, è stato sostituito da Aikido, un software certificato AWS disponibile tramite AWS Marketplace. Aikido si integra con AWS ECR per la scansione delle immagini dei container, mette in correlazione i risultati di AWS Inspector con quelli delle scansioni SAST, SCA, dei segreti e IaC, e collega ogni vulnerabilità direttamente al codice che l’ha generata. Il risultato: un’unica piattaforma, una chiara definizione delle priorità e sviluppatori in grado di agire concretamente sulla base di ciò che vedono.
