Olá, Ega! Qual é o seu papel e o que faz a Faspay se destacar no setor de FinTech? 

Olá, equipe Aikido! Como Gerente de Desenvolvimento na Faspay, lidero nossas equipes de engenharia para construir sistemas escaláveis e confiáveis que apoiam o crescimento da empresa e as necessidades de negócios em evolução.

O que diferencia a Faspay é nossa forte presença nos setores digital e tradicional. Facilitamos para os comerciantes (especialmente aqueles em transição de métodos de pagamento legados) a adoção de sistemas de pagamento digitais por meio de soluções estáveis, seguras e fáceis de integrar. A Faspay é um dos gateways de pagamento mais antigos e estabelecidos na Indonésia. Nossas soluções são seguras, estáveis e facilmente integráveis, construídas sobre anos de experiência comprovada e confiança do mercado.

Qual propósito a segurança em FinTech deve servir?

Embora a segurança específica para FinTech deva apoiar a inovação e a inclusão financeira digital, eu argumentaria que isso também é um requisito:

• Proteger dados do usuário: Plataformas FinTech gerenciam informações pessoais e financeiras sensíveis. Uma segurança robusta garante que esses dados não sejam vazados, roubados ou mal utilizados.
• Proteção de transações: Cada transação deve estar segura contra fraudes, manipulação ou acesso não autorizado para manter a integridade do sistema.
• Construir confiança: Os usuários só utilizarão serviços financeiros digitais se sentirem confiança de que seu dinheiro e informações estão seguros. A confiança leva à adoção e ao crescimento.
• Garanta a conformidade: O setor FinTech da Indonésia é regulado por autoridades como OJK e Bank Indonesia. Uma boa segurança ajuda as empresas a cumprir as leis de proteção de dados e cibersegurança, evitando penalidades.
• Prevenir perdas: Ciberataques podem levar a fundos roubados e reputação danificada. A segurança atua como uma linha de defesa para reduzir tais riscos.
• Manter a disponibilidade do serviço: Tempo de inatividade ou falha do sistema devido a ataques pode interromper as operações de negócios. A segurança garante que a plataforma permaneça confiável e sempre acessível.

Como o Aikido ajuda com as crescentes demandas regulatórias e de proteção de dados?

Aikido um papel fundamental para nos ajudar a proteger os dados dos clientes. Ele identifica riscos no início do ciclo de vida do desenvolvimento, quando são mais fáceis (e mais baratos) de corrigir. Aikido milhares de bibliotecas de código aberto, alertando-nos instantaneamente quando uma dependência contém uma vulnerabilidade conhecida que pode colocar os dados do utilizador em risco. Ele também monitora continuamente o código implementado e sinaliza alterações quando componentes anteriormente seguros se tornam vulneráveis devido à evolução Threat Intelligence.

Houve um momento específico que desencadeou um foco mais estratégico na segurança?

Nos últimos 3-4 anos, a indústria financeira da Indonésia se tornou um alvo para hackers e exploits de várias maneiras. Desde então, adotamos uma abordagem muito mais estratégica e proativa em segurança, investindo em melhores processos, aumentando a conscientização interna e adotando ferramentas como o Aikido para nos ajudar a identificar vulnerabilidades precocemente e prevenir a ocorrência de incidentes.

Antes de adotar o Aikido, quais eram suas principais preocupações de segurança? Havia riscos ou lacunas específicas que vocês buscavam abordar?

Dado o aumento do risco no mercado, nossa prioridade imediata foi abordar as lacunas de segurança no nível da infraestrutura. Nossas principais preocupações incluíam sistemas sem patches, vulnerabilidades conhecidas e o endurecimento geral do ambiente. Nós nos concentramos em aplicar patches de software regularmente, remediar problemas conhecidos e realizar testes de penetração e avaliações de vulnerabilidade de rotina para garantir que nossa infraestrutura fosse segura e resiliente contra ataques futuros.

Quais desafios você estava enfrentando para manter a segurança e a conformidade à medida que sua plataforma escalava?

À medida que escalávamos, dois desafios principais surgiram:

1. Ameaças imprevisíveis: Nem sempre conseguíamos antecipar novos tipos de ataques ou o quão sofisticados seriam.
   
2. Requisitos de conformidade em evolução: As expectativas regulatórias mudam rapidamente, e nossos sistemas precisavam acompanhar o ritmo sem introduzir gargalos de desenvolvimento.

O maior desafio foi manter uma segurança robusta sem desacelerar nossa velocidade de desenvolvimento. 

“A segurança se tornou parte de nossa cultura de desenvolvimento, não algo secundário.”

Vocês estavam usando outras ferramentas ou serviços de segurança antes de implementar o Aikido?

Tínhamos experimentado várias ferramentas antes Aikido, incluindo Checkmarx Snyk. Cada uma delas tinha desvantagens. Algumas eram lentas, outras não ofereciam insights acionáveis e outras ainda tinham um preço elevado que não refletia o seu valor. Isso levou-nos a procurar algo mais eficiente e fácil de usar para os programadores, o que acabou por nos levar ao Aikido.

«Experimentámos Checkmarx Snyk, mas Aikido mais rápido, mais prático e mais fácil de trabalhar.»

O que se destacou no Aikido durante a avaliação?

O que se destacou no Aikido durante nossa avaliação foi seu forte foco na experiência do desenvolvedor. A funcionalidade AutoFix foi uma grande vitória, permitindo que nossa equipe resolvesse problemas rapidamente sem esforço manual. O Aikido também fornece relatórios claros e acionáveis, facilitando a priorização e o tratamento de vulnerabilidades. Além disso, sua integração perfeita com ferramentas que já usamos (como Jenkins, Slack e vários editores de código) tornou a adoção direta. Além disso, a velocidade de scanning foi notavelmente rápida, o que ajudou a manter nossa velocidade de desenvolvimento sem comprometer a segurança.

“Alguns problemas são corrigidos automaticamente, sem necessidade de intervenção humana. Nós apenas revisamos e mesclamos o código.”

Como tem sido sua experiência trabalhando com a equipe do Aikido?

Trabalhar com a equipe do Aikido tem sido uma experiência excepcional. Eles não são apenas responsivos, são proativos, prestativos e verdadeiramente investidos em nosso sucesso. Cada interação reflete sua profunda expertise em segurança e um compromisso genuíno em nos ajudar a crescer com confiança. É raro encontrar um parceiro que se sinta tão confiável e alinhado com nossos valores.

Quão fácil ou difícil foi integrar o Aikido em seus fluxos de trabalho e processos de desenvolvimento existentes?

Muito fácil. A documentação é clara e o processo de configuração foi tranquilo, mesmo para desenvolvedores novos na ferramenta. O Aikido se encaixou perfeitamente em nossos pipelines sem interromper nossos processos. Isso foi importante. Precisávamos de mais segurança, mas não ao custo da produtividade.

Qual sua funcionalidade ou capacidade favorita?

Na minha opinião, são três. Definitivamente o recurso de varredura de API. É inestimável, já que a maioria dos nossos serviços são baseados em API. Isso nos ajuda a garantir que quaisquer novas APIs que lançamos sejam seguras desde o início. Em segundo lugar, a capacidade AutoFix é o verdadeiro economizador de tempo. Ela nos poupou uma quantidade significativa de tempo ao resolver automaticamente muitas vulnerabilidades comuns, permitindo que nossa equipe se concentre mais em entregar código sem preocupações. Nos casos mais rápidos, as correções são feitas instantaneamente, nós apenas revisamos a mudança e a mesclamos.

“Com o plugin do IDE, podemos identificar código ruim antes mesmo de ser enviado para o GitHub.”

E o plugin do IDE nos ajuda a identificar código problemático antes mesmo de ser enviado para o GitHub. Não precisamos mais verificar cada linha manualmente, e isso teve um grande impacto na eficiência dos desenvolvedores.

‍

Como Aikido a forma como a Faspay aborda a segurança e gerenciamento de vulnerabilidades?

Aikido significativamente a nossa abordagem à segurança e gerenciamento de vulnerabilidades Faspay. Estamos mais conscientes da importância de proteger a nossa base de código, especialmente no que diz respeito à identificação e eliminação de dados confidenciais codificados. Também nos tornou mais proativos na manutenção das nossas dependências e na garantia de que elas estejam atualizadas e seguras. Graças ao Aikido, a segurança tornou-se parte da nossa cultura de desenvolvimento, e não uma preocupação secundária.

Você notou algum resultado mensurável?

O Aikido nos ajudou a descobrir muitas vulnerabilidades em nossa base de código legada que haviam passado despercebidas. Só isso já valeu a mudança. Ainda não temos métricas exatas, mas definitivamente economizamos tempo.

Você notou melhorias na velocidade ou economia de custos?

Ainda não em termos de velocidade de desenvolvimento, ainda estamos focados na limpeza de código legado. E embora não tenhamos quantificado a economia de custos, já podemos dizer que o Aikido está reduzindo a sobrecarga de gerenciar a segurança manualmente.

Se você tivesse que descrever o impacto do Aikido em uma única frase, qual seria?

A Aikido integrou a segurança de forma contínua em nosso processo de desenvolvimento, nos ajudando a detectar vulnerabilidades precocemente enquanto capacita nossa equipe a codificar com mais segurança e eficiência.