PSG è una società di private equity specializzata nella crescita aziendale che collabora con aziende operanti nel settore del software e dei servizi basati sulla tecnologia per aiutarle a gestire una crescita trasformazionale, a cogliere opportunità strategiche e a costituire team solidi. Avendo sostenuto oltre 150 aziende e facilitato più di 520 acquisizioni complementari, PSG vanta una vasta esperienza nel campo degli investimenti, una profonda competenza nel settore del software e della tecnologia e un fermo impegno a collaborare con i team dirigenziali. Fondata nel 2014, PSG opera attraverso sedi a Boston, Kansas City, Londra, Parigi, Madrid e Tel Aviv. Per ulteriori informazioni su PSG, visitate il sito www.psgequity.com.
Il PSG adotta un approccio strategico e pragmatico al supporto operativo, compresa la sicurezza. Quando ha deciso di uniformare la sicurezza delle applicazioni in tutto il proprio portafoglio, si è rivolto ad Aikido.
Abbiamo parlato con Adam Glick, responsabile della sicurezza informatica presso PSG, di come Aikido aiuti l’azienda a garantire la sicurezza e del ruolo che la piattaforma svolge attualmente nei processi di due diligence, supervisione e supporto operativo.
Ciao Adam! Potresti iniziare presentandoti e spiegandoci qual è il tuo ruolo al PSG?
Sono il CISO di PSG. Lavoro in azienda da circa due anni. Le mie responsabilità sono duplici: mi occupo della gestione dell’IT interno e della sicurezza informatica presso la stessa PSG, e svolgo anche un ruolo di governance e supervisione per le società in portafoglio. Ciò significa contribuire a garantire che le nostre società in portafoglio (“PortCos” o “società in portafoglio”) investano nella sicurezza, perfezionino i propri programmi e distribuiscano codice sicuro.
In che modo PSG supporta le società del proprio portafoglio in materia di sicurezza?
Abbiamo un team operativo che supporta quotidianamente le nostre PortCos: che si tratti di scelta delle tecnologie, assunzioni, strategia di ingresso sul mercato o, appunto, sicurezza. Lavoriamo al loro fianco per valutare i fornitori, definire le politiche, prepararsi agli audit o affrontare le sfide legate alla conformità.
Sul fronte della sicurezza, siamo al fianco delle aziende del nostro portafoglio per aiutarle a comprendere quali siano le esigenze e a individuare gli strumenti e i partner più adatti per raggiungerle.
Che ruolo riveste la sicurezza delle applicazioni nei framework che raccomandate?
Riteniamo che la sicurezza delle applicazioni (AppSec) sia uno dei principi fondamentali di qualsiasi organizzazione di sviluppo. Ci aspettiamo che le nostre PortCo diano priorità alle pratiche di programmazione sicura, sia per la gestione del rischio organizzativo che per la tutela della reputazione. Il nostro compito è quello di supportare le nostre PortCo nella valutazione e nell'adozione di strumenti di programmazione sicura.
Cosa ha spinto il PSG a valutare un’iniziativa di sicurezza delle applicazioni a livello di portafoglio?
Qualsiasi iniziativa che riusciamo a mettere in atto in tutto il portafoglio è un successo. Se riusciamo a individuare un’esigenza programmatica o sistemica (soprattutto in un ambito come quello della sicurezza), vale la pena affrontarla in modo coordinato.
Come avete individuato gli strumenti più adatti per questo tipo di iniziativa?
Abbiamo contatti regolari con le nostre società portuali e ne conosciamo il livello di maturità. Questo livello di coinvolgimento ci permette di individuare le aree in cui le soluzioni condivise potrebbero essere di supporto a livello di intero portafoglio.
La sfida principale quando si adotta un’iniziativa applicativa a livello di portafoglio è ridurre al minimo gli attriti. Ogni azienda è diversa. La domanda è: qual è il denominatore comune? Avevamo bisogno di una soluzione che potesse funzionare per la maggior parte delle aziende con ostacoli minimi all’implementazione.
Allora, in che modo l’Aikido si è distinto?
La facilità di implementazione è stata un fattore determinante. Una volta completata la nostra due diligence e firmato il contratto, abbiamo potuto collegare un'azienda ad Aikido e iniziare a scansionare nel giro di pochi secondi, letteralmente. Nessuna configurazione complessa, nessun grattacapo. Solo questo ha eliminato un importante ostacolo.
“Una volta completata la due diligence e firmato il contratto, abbiamo potuto connettere un'azienda ad Aikido e iniziare la scansione in pochi secondi, letteralmente.”
Ma oltre a ciò, l'ampiezza delle funzionalità tecniche (SAST, DAST, CSPM, scansione dei secret…), tutte integrate in un'unica piattaforma, è stata davvero convincente. Per PSG l'implementazione ha richiesto poco sforzo ma ha portato grandi risultati.
Anche il rapporto con il management è stato fondamentale. Vogliamo sapere che, se qualcosa va storto, ci sono persone al timone pronte ad aiutarci a risolverlo rapidamente. La nostra esperienza con il team dirigente di Aikido è stata positiva.
Come avete affrontato il rollout all'interno del portafoglio?
Abbiamo preso il rollout molto sul serio. Non si è trattato semplicemente di dire: "Ecco uno strumento, usatelo". Abbiamo organizzato sessioni di sensibilizzazione, office hour, incontri individuali con i responsabili dello sviluppo, documentazione, canali Slack per il supporto in tempo reale… Praticamente tutto il possibile per assicurarci che le nostre PortCo fossero pronte per il successo.
"Non si è trattato semplicemente di dire: 'Ecco uno strumento, usatelo'. Abbiamo organizzato sessioni di sensibilizzazione, office hour, incontri individuali... praticamente tutto il possibile per assicurarci che le nostre PortCo fossero pronte per il successo."
Sia Aikido che PSG avevano dei punti di riferimento dedicati. Eravamo disponibili su più canali per garantire risposte rapide. L'attività di enablement è stata importante quanto la tecnologia in sé.
Che ruolo svolge il Partner Portal di Aikido nella vostra attività di supervisione?
C'è molto potenziale. Oggi lo usiamo per individuare rapidamente le principali CVE (come "Chi ha la CVE-2024-XXXX?") e contattare le aziende interessate.
Detto questo, stiamo spingendo per avere funzionalità di reporting più avanzate. Ci piacerebbe vedere trend più macro, come l'andamento delle vulnerabilità a livello di portafoglio o i tassi di risoluzione azienda per azienda. Aikido si è dimostrata molto ricettiva a questi feedback e stiamo collaborando ai miglioramenti.
Come descrivereste la situazione "prima" e "dopo" il coordinamento della sicurezza in PSG?
Prima gli strumenti erano più frammentati. Ciascuna PortCo sceglieva ciò che funzionava meglio per le proprie esigenze. Non è una cosa negativa in sé, ma rende la supervisione e il supporto molto più complessi.
Ora c'è un punto di riferimento centrale che prima non c'era. Abbiamo ricevuto feedback positivi dagli utenti. Lo strumento è facile da adottare e sinceramente utile. È ancora presto per quantificare l'impatto, ma in base ai riscontri diretti i risultati sono ottimi.
Avete iniziato ad usare Aikido anche per altri scopi al di là della sicurezza del portafoglio?
"Stiamo iniziando a integrare Aikido nei nostri flussi di lavoro per la due diligence… Ci offre una visione più consapevole di ciò che stiamo acquisendo."
Sì. Stiamo iniziando a integrare Aikido nei nostri flussi di lavoro per la due diligence. Quando valutiamo nuove aziende per una potenziale acquisizione, possiamo collegarle ad Aikido e ottenere informazioni immediate sulla loro postura di sicurezza, senza bisogno di accedere direttamente al codice. Riteniamo che questo ci dia una visione più approfondita e consapevole di ciò che stiamo acquisendo.
Qualche consiglio per altri che stanno implementando iniziative tecnologiche in un portafoglio di aziende?
"Non esiste una soluzione unica che vada bene per tutti, ma ce n'è una che si adatta alla maggior parte dei casi, e pensiamo che Aikido centri perfettamente l'obiettivo."
Assolutamente. Una cosa che abbiamo imparato è di non essere eccessivamente prescrittivi in ambito IT. Seguiamo quello che definisco l'approccio "della strada percorsa da Netflix" (basato sullo stile di gestione dell'azienda). Diciamo alle aziende quali risultati vogliamo raggiungere, ad esempio un programma di Secure Coding, ma non imponiamo esattamente come arrivarci.
Aikido è un ottimo esempio: è una forte raccomandazione, non un'imposizione. Se funziona per voi, fantastico. In caso contrario, trovate ciò che fa al caso vostro. Non esiste una soluzione universale, ma ce n'è una che si adatta alla maggior parte dei contesti, e pensiamo che Aikido rappresenti la scelta ideale.
Qualche considerazione finale?
Aikido è stata un partner straordinario. Che si tratti del supporto sul canale Slack, della disponibilità del management o della reattività nello sviluppo del prodotto, hanno sempre mantenuto le promesse. È stata un'ottima relazione.
