Un’unità informatica del settore pubblico britannico ha sostituito una serie di strumenti di sicurezza frammentati con un’unica piattaforma, riducendo i tempi di risposta agli incidenti nella catena di approvvigionamento da giorni a minuti.
In sintesi
- SAST, SCA, scansione dei segreti, DAST e sicurezza CI/CD integrati in un’unica piattaforma
- Riduzione dei tempi di valutazione degli incidenti nella catena di approvvigionamento da giorni a minuti
- Ha garantito una visibilità misurabile lungo l'intero ciclo di vita della distribuzione del software
- Integrazione della formazione degli sviluppatori direttamente nei risultati relativi alla sicurezza
- Prove comprovate di conformità alle norme ISO 27001, SOC 2, NIST e CIS
- Copertura estesa con Aikido Device Protection per proteggere gli ambienti di sviluppo
Sfida
Walid Mahmoud è un ingegnere DevSecOps senior presso un’unità informatica del settore pubblico britannico, responsabile dell’integrazione dei controlli di sicurezza nell’intero ciclo di vita dello sviluppo del software. In pratica, ciò significava garantire la sicurezza di ogni fase, dalle prime fasi di pianificazione alle pipeline CI/CD fino ai servizi di produzione. Nel corso del tempo, gli strumenti di sicurezza dell’organizzazione si erano sviluppati in modo organico.
Diversi fornitori si occupavano di SAST, SCA, rilevamento dei segreti, test dinamici e sicurezza CI/CD. Ciascuno di questi strumenti risolveva un problema concreto, ma nel loro insieme creavano frammentazione a livello di flussi di lavoro, risultati e responsabilità.
«Avevamo una serie di criteri. Analisi dei file sorgente, analisi delle dipendenze, SAST, DAST: tutti gli elementi che caratterizzano una metodologia DevSecOps. Abbiamo valutato chi fosse in grado di offrirci il massimo all’interno di un’unica piattaforma, per ridurre al minimo la proliferazione degli strumenti.»
La sfida più grande non era semplicemente la "fatica da allarmi". Era la visibilità.
Quando si verificava un incidente nella catena di approvvigionamento, il team non disponeva di alcun mezzo rapido o affidabile per rispondere alla domanda operativa più importante: siamo coinvolti?
Il confronto incrociato degli inventari, la verifica manuale dei repository e il coordinamento con i team di ingegneri avrebbero potuto richiedere giorni. Allo stesso tempo, l’adozione da parte degli sviluppatori era imprescindibile. I team di ingegneri del settore pubblico agiscono con cautela e Walid sapeva che qualsiasi nuova piattaforma sarebbe stata destinata al fallimento se avesse compromesso i flussi di lavoro esistenti.
«Soprattutto, volevamo una piattaforma che non rendesse più difficile il lavoro dei nostri sviluppatori. Qualcosa che si integrasse perfettamente nel loro modo di sviluppare il software.»
Il team ha inoltre affrontato la valutazione dei fornitori con cautela. Trattandosi di un’organizzazione del settore pubblico che opera in un contesto avverso al rischio, la fiducia doveva essere conquistata attraverso i fatti piuttosto che con semplici dichiarazioni.
Soluzione
Il team di Walid ha scoperto Aikido grazie a una ricerca di mercato e ha deciso di effettuare un test di fattibilità rispetto alla soluzione di sicurezza esistente. Per Walid, la valutazione si è basata su un unico principio: lasciare che fosse il prodotto a parlare da sé.
«La sfida per il settore pubblico britannico era che l’Aikido era una tecnologia emergente e relativamente nuova. Il modo migliore, e probabilmente l’unico, era lasciare che fosse lo strumento stesso a parlare. Così abbiamo messo a punto una prova di fattibilità.»
Il proof of concept ha rapidamente dimostrato qualcosa che il team non era mai riuscito a ottenere prima:
Un'unica piattaforma che copre SAST, SCA, scansione dei dati riservati, DAST e sicurezza CI/CD senza creare nuovi ostacoli nel flusso di lavoro degli sviluppatori. Altrettanto importante è il fatto che la funzione di sicurezza informatica ha ottenuto una visione unificata di ogni ambiente di lavoro e servizio di produzione. Tale visibilità ha cambiato radicalmente il modo in cui il team ha reagito agli incidenti relativi alla catena di fornitura.
Quando si è verificata la successiva grave violazione dell'ecosistema, il team è riuscito a individuare l'esposizione quasi immediatamente, invece di impiegare giorni a coordinare manualmente le indagini.
«Quando si tratta di attacchi alla catena di approvvigionamento, riuscire a stabilire in tempi rapidissimi se siamo stati colpiti o meno rappresenta un vantaggio enorme. La risposta peggiore che potremmo dare è: “Non lo sappiamo”».
Per Walid, uno degli aspetti più preziosi della piattaforma era il contenuto didattico associato a ciascuna scoperta.
Anziché limitarsi a segnalare i soli avvisi grezzi, Aikido spiega perché le vulnerabilità sono importanti, come possono essere sfruttate e in che modo gli sviluppatori dovrebbero affrontare la loro risoluzione.
“L’Aikido ha anche una componente educativa. ‘Questa riga di codice è vulnerabile alle iniezioni SQL’: bastano tre o quattro minuti per spiegare in cosa consiste la vulnerabilità e come potrebbe causare una catastrofe. Questo rende gli sviluppatori più consapevoli.”
Ciò ha consentito alla funzione informatica di sensibilizzare maggiormente gli sviluppatori senza comportare costi aggiuntivi per la formazione né ulteriori ostacoli procedurali.
Alla fine, sono stati diversi i fattori che hanno determinato la decisione:
- Sicurezza unificata per SAST, SCA, scansione dei segreti, DAST e CI/CD
- Flussi di lavoro incentrati sugli sviluppatori che si adattano alle pratiche di consegna esistenti
- Educazione contestuale integrata direttamente nei risultati
- Rapida reattività dei fornitori e consegna delle funzionalità
- Una roadmap incentrata sui test di penetrazione basati sull'intelligenza artificiale e sulla sicurezza degli endpoint
Risultati
Per la prima volta, la funzione informatica è stata in grado di misurare e monitorare il proprio livello di sicurezza lungo l’intero ciclo di vita del software. Anziché agire in modo reattivo, il team ha potuto ora associare indicatori misurabili e piani d’azione alle iniziative di governance e dimostrare i progressi compiuti rispetto ai controlli previsti dalle norme ISO 27001, SOC 2, NIST e CIS.
«Il nostro team dispone ora di capacità di osservabilità. Possiamo quantificare il nostro attuale livello di sicurezza — alto, medio, basso — e questo ci fornisce una tabella di marcia chiara per i nostri prossimi passi.»
Aikido è ormai presente in ogni fase del ciclo di vita dello sviluppo, creando diversi livelli di verifica prima che il software entri in produzione. Walid descrive questo approccio come una copertura a 360 gradi.
«In ogni fase, anche se un passaggio venisse saltato, c’è sempre un altro livello che lo esamina nuovamente. A meno che non si riesca in qualche modo a superare le sei fasi, siamo più sicuri che i nostri servizi rivolti al pubblico siano sicuri.»
Poiché gli attacchi alla catena di approvvigionamento continuano a evolversi, il team sta inoltre ampliando la copertura agli stessi dispositivi degli sviluppatori tramite Aikido Device Protection. Ciò garantisce all’organizzazione la visibilità sulle attività di installazione e sull’esposizione a livello di sviluppatore prima ancora che i pacchetti dannosi raggiungano le pipeline CI/CD.
Per il team, il risultato va oltre il semplice consolidamento degli strumenti. Si tratta della capacità di passare da operazioni di sicurezza frammentate a una governance DevSecOps misurabile e osservabile lungo l’intero ciclo di vita della consegna.
Come il team del settore pubblico britannico utilizza oggi l’Aikido
Già in uso
- Scansione SAST e SCA
- Rilevamento di segreti
- DAST
- Sicurezza della pipeline CI/CD
- Scansione di immagini container
- Modulo di conformità (ISO 27001, SOC 2, NIST, CIS)
- Aikido Safe Chain
Sto pensando di adottare un bambino
- Protezione dei dispositivi per l'Aikido
- Flussi di lavoro ingegneristici GRC ampliati
Valutazione successiva
- Pentesting AI
- Aikido Zen Firewall
Verdetto finale
«L’Aikido ci aiuta a passare da una difesa reattiva a una governance DevSecOps misurabile.»
