PSG è una società di private equity specializzata nella crescita aziendale che collabora con aziende operanti nel settore del software e dei servizi basati sulla tecnologia per aiutarle a gestire una crescita trasformazionale, a cogliere opportunità strategiche e a costituire team solidi. Avendo sostenuto oltre 150 aziende e facilitato più di 520 acquisizioni complementari, PSG vanta una vasta esperienza nel campo degli investimenti, una profonda competenza nel settore del software e della tecnologia e un fermo impegno a collaborare con i team dirigenziali. Fondata nel 2014, PSG opera attraverso sedi a Boston, Kansas City, Londra, Parigi, Madrid e Tel Aviv. Per ulteriori informazioni su PSG, visitate il sito www.psgequity.com.
Il PSG adotta un approccio strategico e pragmatico al supporto operativo, compresa la sicurezza. Quando ha deciso di uniformare la sicurezza delle applicazioni in tutto il proprio portafoglio, si è rivolto ad Aikido.
Abbiamo parlato con Adam Glick, responsabile della sicurezza informatica presso PSG, di come Aikido aiuti l’azienda a garantire la sicurezza e del ruolo che la piattaforma svolge attualmente nei processi di due diligence, supervisione e supporto operativo.
Ciao Adam! Potresti iniziare presentandoti e spiegandoci qual è il tuo ruolo al PSG?
Sono il CISO di PSG. Lavoro in azienda da circa due anni. Le mie responsabilità sono duplici: mi occupo della gestione dell’IT interno e della sicurezza informatica presso la stessa PSG, e svolgo anche un ruolo di governance e supervisione per le società in portafoglio. Ciò significa contribuire a garantire che le nostre società in portafoglio (“PortCos” o “società in portafoglio”) investano nella sicurezza, perfezionino i propri programmi e distribuiscano codice sicuro.
In che modo PSG supporta le società del proprio portafoglio in materia di sicurezza?
Abbiamo un team operativo che supporta quotidianamente le nostre PortCos: che si tratti di scelta delle tecnologie, assunzioni, strategia di ingresso sul mercato o, appunto, sicurezza. Lavoriamo al loro fianco per valutare i fornitori, definire le politiche, prepararsi agli audit o affrontare le sfide legate alla conformità.
Sul fronte della sicurezza, siamo al fianco delle aziende del nostro portafoglio per aiutarle a comprendere quali siano le esigenze e a individuare gli strumenti e i partner più adatti per raggiungerle.
Che ruolo riveste la sicurezza delle applicazioni nei framework che raccomandate?
Riteniamo che la sicurezza delle applicazioni (AppSec) sia uno dei principi fondamentali di qualsiasi organizzazione di sviluppo. Ci aspettiamo che le nostre PortCo diano priorità alle pratiche di programmazione sicura, sia per la gestione del rischio organizzativo che per la tutela della reputazione. Il nostro compito è quello di supportare le nostre PortCo nella valutazione e nell'adozione di strumenti di programmazione sicura.
Cosa ha spinto il PSG a valutare un’iniziativa di sicurezza delle applicazioni a livello di portafoglio?
Qualsiasi iniziativa che riusciamo a mettere in atto in tutto il portafoglio è un successo. Se riusciamo a individuare un’esigenza programmatica o sistemica (soprattutto in un ambito come quello della sicurezza), vale la pena affrontarla in modo coordinato.
Come avete individuato gli strumenti più adatti per questo tipo di iniziativa?
Abbiamo contatti regolari con le nostre società portuali e ne conosciamo il livello di maturità. Questo livello di coinvolgimento ci permette di individuare le aree in cui le soluzioni condivise potrebbero essere di supporto a livello di intero portafoglio.
La sfida principale quando si adotta un’iniziativa applicativa a livello di portafoglio è ridurre al minimo gli attriti. Ogni azienda è diversa. La domanda è: qual è il denominatore comune? Avevamo bisogno di una soluzione che potesse funzionare per la maggior parte delle aziende con ostacoli minimi all’implementazione.
Allora, in che modo l’Aikido si è distinto?
La facilità di implementazione è stata un fattore determinante. Una volta completata la due diligence e firmato il contratto, siamo stati in grado di collegare un’azienda ad Aikido e avviare la scansione in pochi secondi, letteralmente. Nessuna messa a punto, nessun grattacapo. Questo da solo ha eliminato un ostacolo importante.
“Una volta completata la due diligence e firmato il contratto, abbiamo potuto connettere un'azienda ad Aikido e iniziare la scansione in pochi secondi, letteralmente.”
Ma al di là di questo, l’ampiezza delle funzionalità tecniche – SAST, DAST, CSPM, scansione dei dati sensibili… tutte integrate in un’unica piattaforma – è stata davvero convincente. Per PSG, l’implementazione ha richiesto uno sforzo minimo ma ha prodotto risultati eccezionali.
E il rapporto con i dirigenti era importante. Vogliamo avere la certezza che, se qualcosa dovesse andare storto, ci siano persone al comando pronte ad aiutarci a risolvere rapidamente il problema. La nostra esperienza con il team dirigenziale di Aikido è stata positiva.
Come avete gestito l'implementazione in tutto il portafoglio?
Abbiamo preso molto sul serio l'implementazione. Non ci siamo limitati a dire: «Ecco uno strumento, usatelo». Abbiamo organizzato sessioni di formazione, orari di ricevimento, incontri individuali con i responsabili dello sviluppo, documentazione, canali Slack per l'assistenza in tempo reale… Insomma, abbiamo fatto tutto il possibile per garantire che i nostri PortCo avessero tutte le carte in regola per avere successo.
“Non si è trattato semplicemente di dire: ‘Ecco uno strumento, usatelo’. Abbiamo organizzato sessioni di formazione, orari di ricevimento, incontri individuali… insomma, abbiamo fatto tutto il possibile per garantire che i nostri PortCos avessero tutte le carte in regola per avere successo.”
Sia Aikido che PSG presentavano punti di contatto. Eravamo disponibili su diversi canali per garantire risposte rapide. L'aspetto dell'assistenza era importante tanto quanto la tecnologia stessa.
Che ruolo svolge il Portale dei partner di Aikido nella vostra attività di supervisione?
C'è un grande potenziale in questo ambito. Oggi lo utilizziamo per identificare rapidamente le principali vulnerabilità CVE (ad esempio: “Chi ha la vulnerabilità CVE-2024-XXXX?”) e contattare le aziende interessate.
Detto questo, stiamo spingendo per ottenere funzionalità di reporting più avanzate. Ci piacerebbe vedere più tendenze a livello macro, come ad esempio l’andamento delle vulnerabilità a livello di portafoglio o i tassi di correzione per singola azienda. Aikido si è dimostrata molto ricettiva nei confronti di questo feedback e stiamo collaborando per apportare miglioramenti.
Come descriveresti il “prima” e il “dopo” del coordinamento in materia di sicurezza al PSG?
In passato, gli strumenti erano più frammentati. Ogni PortCo sceglieva quelli che funzionavano meglio per le proprie esigenze. Questo non è di per sé un male, ma rende molto più difficili il controllo e l’assistenza.
Ora è presente una funzionalità fondamentale che prima mancava. Abbiamo ricevuto riscontri positivi dagli utenti. Lo strumento è facile da utilizzare e davvero utile. Siamo ancora nelle prime fasi di valutazione dell’impatto, ma, a giudicare dai riscontri aneddotici, è stato molto positivo.
Hai iniziato a utilizzare Aikido in altri modi oltre alla sicurezza del portafoglio?
«Stiamo iniziando a integrare l’Aikido nei nostri processi di due diligence… Ci offre una visione più approfondita di ciò che stiamo acquisendo.»
Sì. Stiamo iniziando a integrare Aikido nei nostri flussi di lavoro di due diligence. Quando valutiamo nuove aziende in vista di una potenziale acquisizione, possiamo inserirle in Aikido e ottenere immediatamente informazioni dettagliate sul loro livello di sicurezza, senza bisogno di accedere al codice stesso. Riteniamo che questo ci offra una visione più completa di ciò che stiamo acquisendo.
Qualche consiglio per chi sta implementando iniziative tecnologiche in un portafoglio di progetti?
«Non esiste una soluzione valida per tutti, ma ce n’è una che va bene per la maggior parte delle persone, e riteniamo che l’Aikido rappresenti proprio quella soluzione ideale.»
Assolutamente sì. Una cosa che abbiamo imparato è quella di non essere eccessivamente prescrittivi in ambito IT. Adottiamo quello che io chiamo l’approccio “la strada ben battuta di Netflix” (ispirato allo stile di gestione dell’azienda). Indichiamo alle aziende quali risultati ci aspettiamo – ad esempio, un programma di codifica sicura – ma non imponiamo esattamente come raggiungerli.
L'Aikido ne è un ottimo esempio: è una forte raccomandazione, non un obbligo. Se per te funziona, fantastico. Altrimenti, trova ciò che fa al caso tuo. Non esiste una soluzione valida per tutti, ma ce n'è una che va bene per la maggior parte delle persone, e pensiamo che l'Aikido rappresenti proprio quella soluzione ideale.
Qualche considerazione finale?
Aikido si è rivelato un partner eccezionale. Che si tratti del supporto offerto sul canale Slack, della disponibilità dei dirigenti o della reattività del team di prodotto, hanno sempre mantenuto le promesse. È stato un rapporto eccellente.
