Ciao! Qual è il tuo ruolo e quali sono le tue responsabilità?
Mi chiamo Otto Sulin, sono il responsabile della sicurezza presso Supermetrics e mi occupo di tutti gli aspetti relativi alla sicurezza: dalla sicurezza delle applicazioni alla conformità normativa.
Cosa distingue Supermetrics nel vostro settore?
La nostra missione è rendere l'analisi dei dati più semplice e integrata per i professionisti del marketing. Gli strumenti di analisi dei dati di marketing "no-code" di Supermetrics consentono di modificare, integrare, arricchire, attivare e archiviare con facilità i dati provenienti da diverse fonti. Serviamo oltre 200.000 clienti, dai piccoli negozi alle più grandi aziende globali.
Qual è lo scopo della sicurezza nel vostro settore?
I nostri clienti ci affidano i loro dati più sensibili relativi alla clientela. Ci autorizzano a recuperare e archiviare i loro dati di marketing, e tale accesso comporta elevate aspettative in materia di sicurezza e privacy.
Che tipo di pressione esercitano i clienti sui vostri programmi di sicurezza e conformità?
In poche parole, è un ambito molto ampio. Ci si aspetta che disponiamo di un programma di sicurezza completo, che preveda audit esterni, test di penetrazione effettuati da terze parti e controlli di sicurezza chiaramente definiti lungo l’intero ciclo di vita dello sviluppo del software (SDLC). I clienti sono più consapevoli ed esigenti che mai quando si tratta di sicurezza del software.
C'è stato un momento che ha determinato una maggiore attenzione strategica alla sicurezza?
Senza dubbio. Man mano che ci siamo espansi nel settore delle grandi imprese, quei clienti hanno iniziato ad avere aspettative più elevate. Tale crescita ha determinato un aumento dei nostri investimenti nella maturità della sicurezza.
In che modo la decisione di dedicarti all’Aikido si è inserita nella tua strategia più ampia?
La decisione di scegliere Aikido rientrava in un'iniziativa più ampia volta a migliorare il nostro ciclo di vita dello sviluppo del software in sicurezza. Tale iniziativa comprendeva corsi di formazione aggiuntivi, un programma dedicato ai "champion della sicurezza" e molto altro ancora.
Prima di passare ad Aikido, utilizzavamo una serie di strumenti open source insieme ad alcuni prodotti commerciali. Volevamo semplificare le cose e trovare una soluzione che rendesse la sicurezza più semplice e coerente lungo l’intero ciclo di vita dello sviluppo del software (SDLC).
«La facilità di sviluppo e le funzionalità di riduzione del rumore dell’Aikido hanno attirato subito la mia attenzione.»
Cosa ha colpito di più dell’Aikido durante la valutazione?
Facilità d'uso per gli sviluppatori e funzionalità che aiutano a ridurre il "rumore". Il nostro obiettivo era quello di fornire strumenti efficaci ai team di prodotto, e le numerose funzionalità di Aikido che aiutano a ridurre il "rumore" superfluo dai risultati, unite a un'interfaccia utente che semplifica la navigazione e la gestione dei risultati, sono state ciò che ci ha davvero colpito.
Quanto è stato facile integrare Aikido nei tuoi flussi di lavoro di sviluppo?
Integrare Aikido nei nostri strumenti esistenti è stato un gioco da ragazzi. Ha supportato tutte le nostre piattaforme fin da subito e la configurazione ha richiesto solo pochi minuti. Senza alcuna difficoltà.
Come è stata la tua esperienza di collaborazione con il team di Aikido?
Risposta rapida e trasparenza. Ogni volta che abbiamo riscontrato un problema, abbiamo ricevuto una risposta entro la giornata; e in più di un’occasione ci hanno fornito una soluzione ancora lo stesso giorno.
Qual è la tua funzione preferita?
La riduzione del "rumore", senza dubbio. Il mio obiettivo è ridurre al minimo il tempo che i nostri ingegneri dedicano alla gestione delle vulnerabilità, e Aikido ci aiuta proprio in questo. Finora, grazie ad Aikido, abbiamo registrato una riduzione del "rumore" pari al 75 %.
«Grazie ad Aikido abbiamo registrato una riduzione del rumore del 75%.»
Puoi dirci qualcosa di più su come l’Aikido sia integrato nel tuo ciclo di sviluppo del software (SDLC)?
Aikido si integra direttamente con i nostri sistemi CI/CD, Jira e Slack. Per i problemi confermati possiamo creare rapidamente ticket su Jira, mentre gli avvisi su Slack informano i team competenti in base ai repository. È semplice, trasparente e garantisce che tutti siano allineati.
In che modo l’Aikido ha cambiato l’approccio di Supermetrics alla sicurezza e alla gestione delle vulnerabilità?
Ci ha aiutato a centralizzare e automatizzare i flussi di lavoro chiave relativi alla sicurezza. Gli ingegneri possono concentrarsi sullo sviluppo, mentre noi manteniamo piena visibilità e controllo su tutti i nostri repository e le nostre immagini.
Ci sono stati momenti in cui l’Aikido ha permesso alla tua squadra di risparmiare tempo o di ridurre i rischi?
Il monitoraggio del malware open source ci ha permesso di risparmiare tantissimo tempo. Prima di Aikido, dovevamo esaminare manualmente i rapporti per individuare i pacchetti a rischio e poi controllare i nostri repository per verificare se fossimo stati colpiti. Ora il processo è completamente automatizzato e molto meno soggetto a errori.
In che modo l’Aikido soddisfa i requisiti normativi e di protezione dei dati?
L'ampia gamma di funzionalità di Aikido garantisce che tutte le operazioni di scansione siano attive e che la conformità alle politiche sia facile da verificare. Questo ci dà la certezza di essere sempre pronti per gli audit e di mantenere le promesse fatte ai clienti.
Come riassumeresti l'impatto dell'Aikido?
La facilità d'uso, l'ampia gamma di funzionalità e le capacità di riduzione del rumore di Aikido rendono semplicissimo il potenziamento di un programma di sicurezza dei prodotti.
Sintesi
Supermetrics ora gestisce un workflow AppSec incentrato sugli sviluppatori, più veloce, pulito e facile da gestire. Con il 75% in meno di rumore, integrazioni istantanee e automazione su Jira, Slack e CI/CD, la sicurezza ora si adatta in modo fluido come le loro operazioni sui dati.
AWS e contesto tecnico
Supermetrics utilizza un'architettura cloud-native su AWS, distribuendo carichi di lavoro containerizzati lungo l'intero stack. Aikido si integra direttamente con AWS Elastic Container Registry (ECR) per eseguire la scansione delle immagini dei container, acquisisce e deduplica i risultati provenienti da AWS Inspector ed esegue la scansione delle configurazioni di CloudFormation e Terraform alla ricerca di errori di configurazione; tutti questi risultati vengono visualizzati in un'unica dashboard insieme ai risultati relativi a SAST, SCA e ai segreti provenienti dai repository GitHub dell'azienda.
L'Aikido è disponibile su AWS Marketplace e rientra negli impegni di spesa AWS.
