Ciao Marcus! Potresti raccontarci qualcosa di te e di cosa si occupa TechDivision?
Certo! Sono Senior Security Engineer presso TechDivision, dove coordino anche la nostra comunità di pratica dedicata alla sicurezza informatica. Mi occupo di garantire la sicurezza del ciclo di vita dello sviluppo in tutti i team di ingegneri.
Per quanto riguarda TechDivision: abbiamo iniziato come una classica agenzia di e-commerce, ma siamo cresciuti fino a diventare ciò che definiamo un “digital enabler”. Ciò significa che non ci limitiamo a lanciare negozi online, ma integriamo fonti di dati, sviluppiamo strategie di marketing e accompagniamo i nostri clienti lungo l’intero percorso di trasformazione digitale. Oggi contiamo circa 140 collaboratori, di cui circa la metà lavora nel settore ingegneristico.
Allora, che ruolo ha la sicurezza in tutto questo?
In una parola: fondamentale. Per noi, la sicurezza si basa su due elementi: stabilità e fiducia. Quando sviluppiamo strategie digitali o piattaforme integrate, vogliamo essere certi che le fondamenta siano solide. E vogliamo che i nostri clienti abbiano fiducia nel fatto che stiamo facendo tutto il possibile per garantire la sicurezza dei loro dati.
Ci fornisce inoltre le informazioni necessarie per prendere decisioni consapevoli. Ad esempio, se vogliamo implementare una piattaforma di autenticazione centralizzata, dobbiamo prima comprenderne i rischi. È proprio questo che garantisce una buona sicurezza: contesto e chiarezza.
C'è stato un momento preciso in cui ti sei reso conto che “dobbiamo prendere più sul serio la sicurezza”?
Sì, una svolta fondamentale si è verificata all’inizio del 2022 durante gli attacchi TrojanOrders che hanno preso di mira le installazioni di Adobe Commerce (e Magento). Sebbene i clienti di TechDivision non siano stati colpiti (grazie all’applicazione delle patch nella stessa settimana), l’incidente ha aumentato significativamente la consapevolezza riguardo all’urgenza di aggiornamenti di sicurezza tempestivi. Ha inoltre portato a un cambiamento nel modo in cui sia gli stakeholder interni che i clienti affrontavano le patch di sicurezza. In precedenza, alcuni clienti rimandavano per mesi importanti aggiornamenti di sicurezza.
Successivamente, la vulnerabilità CosmicSting del 2024 ha contribuito a rafforzare l'efficacia dei nostri processi ottimizzati, confermando che il loro approccio proattivo stava funzionando come previsto.
Com'era la sicurezza prima dell'Aikido?
Sinceramente? Un po’ caotico. Avevo otto “campioni della sicurezza” distribuiti tra diversi team di ingegneri. Ogni volta che spuntava qualcosa come un nuovo CVE, dovevo contattare ciascuno di loro per verificare se i loro repository fossero interessati. Era un’operazione che richiedeva molto tempo ed era difficile da gestire.
Avevamo persino iniziato a sviluppare un nostro strumento interno per monitorare le vulnerabilità, ma alla fine abbiamo deciso che era più sensato ricorrere a una soluzione dedicata. Ne abbiamo provate alcune altre prima di optare per Aikido.
Cosa ti ha spinto a cercare qualcosa di nuovo?
Il nostro strumento precedente, quello con il logo del cane, abbaiava un sacco ma non manteneva le promesse.
Una combinazione di fattori. Il prezzo è stato uno dei motivi scatenanti: il nostro strumento precedente, quello con il logo del cane, prometteva molto ma non manteneva le promesse. Hanno aumentato i prezzi in modo significativo e non ci sembrava giustificato, considerando il valore che ne ricavavamo. Inoltre, avevamo dei limiti tecnici. La nostra infrastruttura è piuttosto atipica, quindi non riuscivamo a ottenere il livello di integrazione di cui avevamo bisogno.
C'erano anche problemi legati al prodotto. Il loro plugin IDE continuava a bloccarsi con i repository più grandi e venivamo sommersi da falsi positivi. Si è arrivati al punto in cui i nostri sviluppatori non utilizzavano nemmeno più lo strumento.
E poi hai scoperto l’Aikido?
Sì! Ciò che ci ha colpito è stata la sensazione che fosse stato creato da sviluppatori, per gli sviluppatori. L'esperienza di onboarding è stata fluida, l'assistenza è stata reattiva e i flussi di lavoro erano davvero intuitivi.
Ciò che distingueva Aikido era la sensazione che fosse stato creato da sviluppatori, per gli sviluppatori.
Una cosa che apprezzo particolarmente è la riduzione del rumore. L'approccio di Aikido, soprattutto grazie alla sua analisi di raggiungibilità, ci aiuta a filtrare i risultati irrilevanti, come i segreti nei file di test o le dipendenze inattive, permettendoci così di concentrarci su problemi reali e sfruttabili. Questo livello di precisione ha fatto una differenza notevole nell'efficienza con cui riusciamo a classificare le vulnerabilità.
L'analisi dell'accessibilità dell'Aikido ci aiuta a filtrare i risultati irrilevanti, consentendoci di concentrarci su aspetti concreti e sfruttabili.
L'Aikido ha cambiato il tuo modo di lavorare con i clienti?
Non ha modificato la nostra offerta di servizi in sé, ma ha sicuramente aumentato il valore che offriamo. Ora siamo in grado di portare a termine più attività di sicurezza in meno tempo, a diretto vantaggio dei nostri clienti.
Disponiamo inoltre di un pacchetto di sicurezza di base che integriamo nei progetti e l’implementazione di Aikido rafforza notevolmente tale pacchetto.
Ora riusciamo a portare a termine più lavori nel campo della sicurezza in meno tempo, a diretto vantaggio dei nostri clienti.
Qual è la tua funzione preferita?
È semplice: la possibilità di cercare le dipendenze tra più aree di lavoro. Ha davvero cambiato le carte in tavola nella classificazione dei problemi tra i vari team di ingegneri. Non vedo l’ora di provare anche alcune delle funzionalità più recenti, come AI AutoFix e la VM scanning. Potrebbero facilmente diventare le mie nuove preferite.
Come è stata la tua esperienza di collaborazione con il team di Aikido?
Onestamente, fantastico. Quando abbiamo riscontrato un problema con il flusso di autenticazione, è stato risolto nel giro di una settimana. Una reattività del genere è rara.
C'è una vera apertura nella comunicazione, soprattutto nel canale Slack condiviso. Si capisce che il team ci tiene davvero e sta migliorando il prodotto giorno dopo giorno. È una sensazione piacevole.
Si capisce che il team di Aikido ci tiene davvero e sta migliorando il prodotto giorno dopo giorno. È una cosa che fa piacere.
Qualche considerazione finale?
Se la vostra azienda vuole prendere sul serio la sicurezza senza creare ostacoli ai vostri team di sviluppo, Aikido è la scelta più ovvia. È efficiente, ben congegnato e a misura di sviluppatore. Ci sta aiutando a costruire un rapporto di fiducia. Non solo con i nostri clienti, ma anche con noi stessi.
