In sintesi
- Sicurezza integrata fin dalla progettazione nella piattaforma interna per sviluppatori di Serko
- Eliminazione dei falsi positivi, ripristino della fiducia nei risultati relativi alla sicurezza
- Sicurezza unificata per codici, cloud, container e API in un'unica piattaforma
- Ha permesso a 300 ingegneri di gestire e risolvere le vulnerabilità, anziché limitarsi a filtrare le segnalazioni irrilevanti
- Sicurezza integrata direttamente nei flussi di lavoro e nei modelli degli sviluppatori
- Ha sostenuto un modello ingegneristico " Platform-as-a-Product "
- Ha garantito visibilità a livello aziendale grazie all’integrazione con Port
- È stata scelta la piattaforma di sicurezza Aikido al posto di una piattaforma di sicurezza per sviluppatori di vecchia generazione
Visione "Secure-by-design"
Serko è un’azienda leader a livello mondiale nel settore delle tecnologie per i viaggi, con oltre 2 milioni di utenti, che stava attraversando un importante processo di trasformazione ingegneristica. Nell’ambito di tale trasformazione, il ruolo di Darshit Pandya è passato dall’essere membro del team di prodotto a quello di Senior Principal Engineer a capo della nuova iniziativa di ingegneria della piattaforma di Serko. Tale iniziativa è nata da un’opportunità individuata da Darshit per ridurre in modo significativo le difficoltà che gli ingegneri di prodotto incontravano nello sviluppo di nuove funzionalità.
«Quando il proprio team vuole sviluppare un nuovo servizio o una nuova API, ma non ci sono modelli standard, sorgono sempre attriti e intoppi. Ad esempio, disporre di un modello di API che integri l’OWASP Top 10 e altre misure di sicurezza», ha affermato.
Senza questi modelli, per gli sviluppatori era un lavoro meticoloso realizzare tutto da zero, reinventando ogni volta la ruota.
Ecco perché Darshit considera l’ingegneria delle piattaforme un elemento chiave per il successo di Serko, adottando quella che viene definita la mentalità “Platform-as-a-Product”.
«Se lo facciamo nel modo giusto, possiamo sicuramente aiutare i nostri clienti interni, come i nostri ingegneri, i responsabili tecnici, i product manager e i responsabili della consegna, e possiamo ridurre il loro carico cognitivo, assicurandoci che si concentrino sulla scrittura della logica di business», ha affermato Darshit.
L'iniziativa di ingegneria della piattaforma di Serko si concentra su modelli riutilizzabili e sicuri per impostazione predefinita, nonché su strumenti interni che eliminano il lavoro ripetitivo. Integrando fin dal primo giorno standard di sicurezza come l'OWASP Top 10 in ogni servizio, il team garantisce che gli sviluppatori possano innovare con fiducia senza compromettere la sicurezza.
La prima cosa che Darshit voleva garantire era la sicurezza.
Gestione dei falsi positivi
Prima di passare ad Aikido, Serko si affidava a una piattaforma di sicurezza per sviluppatori che generava rumore e problemi di affidabilità.
«Utilizzavamo uno strumento che si vantava di individuare le vulnerabilità, ma in realtà non era così. Avevamo molti falsi positivi. Gli ingegneri erano frustrati dal gran numero di falsi positivi rilevati, il che ha portato a una perdita di fiducia».
«Inoltre, volevamo che venissero apportati miglioramenti e potenziamenti alla piattaforma di sicurezza per sviluppatori che non sono stati realizzati, nemmeno dopo molti mesi di collaborazione con il fornitore», ha affermato. «La tecnologia evolveva molto rapidamente, ma mancavano alcune funzionalità, come la gestione delle vulnerabilità legate al cloud, l’AI AutoFix e le API che avremmo potuto sfruttare per creare o integrare flussi di lavoro o strumenti per i clienti», ha aggiunto.
A seguito di queste difficoltà, Serko ha testato Aikido e ha individuato le vulnerabilità che Aikido presentava per alcuni repository rispetto alla piattaforma di sicurezza per sviluppatori già in uso.
«Io e i nostri addetti alla sicurezza sapevamo che alcuni di questi erano falsi positivi e non avrebbero dovuto esserci, e Aikido non presentava quelle vulnerabilità, il che era un ottimo segno», ha affermato.
Inoltre, Darshit ha spiegato che la capacità di Aikido di raggruppare le stesse vulnerabilità presenti in diversi codici sorgente e di fornire descrizioni dettagliate, passo dopo passo, per risolverle, rappresentava un ulteriore elemento di differenziazione a favore di Aikido, mentre la sicurezza del cloud, del codice e delle API, insieme alla funzione AI AutoFix, sono stati tutti fattori determinanti nella scelta di Aikido.
«L’impegno da parte di Aikido nell’allinearsi alla strategia “platform-first” di Serko è stato notevole, e lavorare con loro è stato fantastico. Stanno risolvendo i nostri problemi e, quando si presenta l’opportunità di un’integrazione, come ad esempio quella tra il portale interno per sviluppatori Port e Aikido, si sono adoperati per portarla a termine», ha affermato.
«Non si tratta solo della mia opinione. Molti ingegneri di prodotto di Serko sono venuti da noi dicendoci: “Aikido è un’ottima piattaforma quella che ci state fornendo e ne traiamo grande valore”», ha aggiunto.
«D’altra parte, ogni giorno ricevevamo lamentele e segnalazioni di frustrazione dai nostri ingegneri che utilizzavano il precedente strumento di sicurezza per sviluppatori. Con Aikido, invece, non abbiamo ricevuto alcuna lamentela di questo tipo», ha affermato Darshit.
L'impatto della piattaforma di sicurezza per sviluppatori di Serko - Basata su Aikido
L'adozione di Aikido ha aiutato Serko a trasformare l'approccio dei team alla sicurezza. Le vulnerabilità non sono più nascoste tra i falsi positivi e gli ingegneri si sentono responsabili della risoluzione dei problemi. Questo cambiamento culturale è il risultato diretto della visione di Serko in materia di ingegneria delle piattaforme, supportata in modo sicuro da Aikido Security.
«Con la nostra precedente piattaforma di sicurezza, c’era una mancanza di fiducia riguardo alle vulnerabilità che essa individuava.
"Con l'Aikido, la chiarezza era decisamente maggiore. Abbiamo chiesto ai team di iniziare ad affrontare i problemi critici, e così hanno fatto. Oggi abbiamo migliorato in modo sostanziale il nostro livello di sicurezza perché le persone stanno effettivamente risolvendo i problemi, invece di indagare sui falsi positivi", ha affermato.
Il rapporto “Aikido’s State of AI, Developers & Security 2025” ha rilevato che il 15% del tempo dedicato all’ingegneria viene sprecato nella valutazione degli avvisi, e la maggior parte di quel tempo (72%) è dedicata ai falsi positivi. Infatti, in media, i team sprecano cinque ore alla settimana per gestire i falsi positivi. Ma il danno causato dai falsi positivi va oltre questo. Possono costringere i team a ricorrere a soluzioni alternative e scorciatoie rischiose. Due terzi degli intervistati aggirano gli strumenti di sicurezza, ignorano i risultati o ritardano le correzioni perché sono stanchi di dover gestire i falsi positivi.
Un chiaro segno che l’Aikido e il concetto generale di ingegneria delle piattaforme stanno funzionando è che alla Serko non si ricorre a queste soluzioni alternative.
Inoltre, per i framework legacy più datati, Serko ha integrato revisioni periodiche della sicurezza da parte della dirigenza. Se un team desidera posticipare la correzione di una specifica vulnerabilità, deve ottenere l’approvazione del rischio da parte della dirigenza, il che comporta la redazione di una motivazione che spieghi perché ciò sia accettabile. Queste vengono regolarmente esaminate dai dirigenti. L’obiettivo è mantenere la visibilità, in modo che i dirigenti sappiano dove si trovano i rischi gravi e possano sollecitare l’adozione di misure concrete, anziché lasciare che vengano ignorati.
L'integrazione dell'Aikido con Port
Il contesto è fondamentale per gli sviluppatori, e Darshit ritiene che la combinazione di Aikido con Port (utilizzato come portale per gli sviluppatori di Serko) rappresenti un significativo passo avanti per il successo dell'ingegneria della piattaforma di Serko.
“Grazie alla combinazione di Aikido e Port, le vulnerabilità saranno visibili insieme alle risorse di Serko, non solo ai servizi ma anche alle risorse cloud, ai database e ai componenti. Questo ci garantisce una visibilità chiara a livello dell’intera organizzazione. Stiamo inoltre sviluppando una scheda di valutazione della sicurezza grazie a questa integrazione. Ciò ci consentirà di mostrare, ad esempio, quali API si collocano a un livello bronzo, argento o oro all’interno del nostro catalogo delle API. La scheda di valutazione offre un modo semplice per comprendere lo stato di sicurezza tra i diversi team e le diverse risorse.”
L'integrazione consentirà inoltre ai responsabili del settore tecnologico di verificare facilmente il numero di vulnerabilità presenti nei nostri sistemi dal punto di vista di un team, di un gruppo o dell'organizzazione, evidenziando quali team sono in ritardo e quali non presentano alcuna vulnerabilità. Ciò sarà di aiuto ai responsabili dei prodotti e dell'ingegneria.
“Fornendo ai dirigenti una visione chiara dello stato della sicurezza, questi possono prendere decisioni informate sulle priorità. Non vogliamo ostacolare le persone con barriere rigide; al contrario, vogliamo fornire loro gli strumenti necessari, ovvero i dati, affinché possano trovare il giusto equilibrio tra efficienza operativa e sicurezza”, ha spiegato Darshit.
Conclusione
Per Darshit, l’ingegneria delle piattaforme va oltre la tecnologia: si tratta di un cambiamento culturale. Grazie ad Aikido, Serko ha dato agli ingegneri la sicurezza necessaria per fare affidamento sui risultati relativi alla sicurezza e ha creato un quadro di riferimento in cui i team di prodotto possono valutare i compromessi tra velocità e sicurezza. Fondamentalmente, ha aiutato Serko a costruire una piattaforma per sviluppatori in cui la sicurezza è una responsabilità di tutti. Mentre Serko continua a evolversi, sta definendo un nuovo standard per l’ingegneria delle piattaforme “secure-by-design”, con Aikido come partner fondamentale e affidabile in questo percorso.
