Em resumo
- Unificou a segurança de um ecossistema amplo e diversificado de tecnologias e equipas numa única vista
- Implementação da Aikido por fases, começando pelo produto de código
- Alinhamento da Aikido com as prioridades de soberania da KEYES, com os dados alojados na UE ao abrigo da lei belga
- Redução do trabalho manual de verificação de resultados, libertando tempo para outras prioridades
- Assistiu ao desenvolvimento e implementação de uma funcionalidade solicitada sob a forma de PR, correção e lançamento num espaço de poucos dias
- Observou os programadores a pedirem uma integração mais profunda da Aikido no seu fluxo de trabalho
Centralização da segurança num vasto ecossistema
A KEYES, anteriormente Grupo NRB, é um dos maiores grupos de TIC da Bélgica. Com sede em Herstal e fundada em 1987, emprega cerca de 3.700 pessoas, opera os seus próprios centros de dados na Bélgica e fornece serviços soberanos a uma vasta gama de equipas e tecnologias. Essa escala serve de contexto para o seu trabalho de segurança: uma organização de segurança madura que gere uma ampla variedade de ambientes.
Fabrice Servais, engenheiro de segurança na KEYES, integra a equipa de segurança e operações que gere o SOC, o gerenciamento de vulnerabilidades e a resposta a incidentes. O seu grupo está a trabalhar para integrar ainda mais a segurança de aplicações no ciclo de vida de desenvolvimento, e o primeiro problema a resolver era a visibilidade sobre um conjunto abrangente de tecnologias e equipas.
"Apoiamos muitas tecnologias diferentes e diferentes pilhas tecnológicas em várias equipas distintas. A Aikido ajuda-nos a colmatar lacunas, centralizar os nossos resultados de segurança e aumentar a nossa postura de segurança global."
O desafio
Complexidade associada a múltiplas tecnologias
A KEYES suporta muitas pilhas tecnológicas diferentes em várias equipas e gere os seus próprios centros de dados com cargas úteis no local. Para uma equipa de segurança e operações que já executa uma operação de segurança madura, a parte difícil nunca foi a estrutura. O desafio era reunir as conclusões de cada um desses ambientes num único local, em vez de as monitorizar pilha a pilha e equipa a equipa.
Uma vista unificada de todos os ambientes
Por conceção, as conclusões encontravam-se dispersas por vários ambientes, estando cada equipa próxima do seu. A KEYES queria-as também num único local, para que a equipa de segurança pudesse ter visibilidade sobre todos os ambientes em simultâneo, e não apenas equipa a equipa.
Porque é que a KEYES escolheu o Aikido
Menos ruído, triagem mais rápida
Quando a equipa comparou alternativas, o custo de trabalhar com várias ferramentas traduzia-se na carga operacional de verificar manualmente as conclusões camada por camada. O Aikido agrupou as conclusões com base no que era mais importante e fez a triagem das mesmas dentro da plataforma, o que reduziu o tempo que a equipa gastava em análises e a libertou para outras tarefas.
Soberania, uma prioridade da KEYES
A soberania é uma prioridade estratégica para a KEYES. Como um interveniente belga com os seus próprios centros de dados e ofertas de serviços soberanos, recebe cada vez mais as mesmas questões dos seus próprios clientes: o que acontece aos meus dados, o que acontece às minhas conclusões, onde vive a minha aplicação. O facto de o Aikido se alinhar com essa posição, sendo uma empresa belga com dados alojados na UE ao abrigo da lei belga, constituiu uma vantagem adicional para além da adequação da plataforma. O Fabrice assinalou margem para ir ainda mais longe, em direção a dados alojados no local (on-premises), que a equipa planeia continuar a explorar.
"Um dos comentários que ouvimos cada vez mais é: o que acontece aos meus dados, onde está localizada a minha aplicação. O facto de o Aikido ser uma empresa belga, com dados alojados na UE e operados ao abrigo da lei belga, enquadrava-se nessa prioridade."
A começar pelo código, construído para expandir
Em vez de um lançamento único e em grande escala, a KEYES está a implementar o Aikido um módulo de cada vez, uma escolha deliberada dado o tamanho da infraestrutura. A equipa começou pelo produto de código, priorizando a sua entrega aos programadores antes de alargar a pegada. O plano já é visível: a análise de cloud e de ataques surge a seguir à medida que a implementação continua, e espera-se que as equipas de infraestrutura tirem partido da postura que o Aikido constrói ao longo do processo.
"Estamos a iniciar a nossa jornada para integrar o Aikido no nosso ciclo de vida de desenvolvimento com o produto de código, mas vemos diretamente a necessidade de análise de Cloud e de ataques também."
Programadores que pediram mais
A receção por parte dos programadores foi forte desde o primeiro lançamento. Em vez de empurrar a ferramenta para as equipas, a função de segurança viu os programadores entenderem os benefícios por si mesmos e pedirem para o Aikido ser integrado mais profundamente na forma como trabalham.
"Quando lançámos o Aikido, teve uma das melhores receções que já tivemos. Os programadores entenderam os benefícios por si próprios e pediram-nos para o integrar ainda mais no seu fluxo de trabalho."
Uma correção implementada em dias
A parceria manifestou-se durante a integração. A KEYES precisava de uma funcionalidade em falta para implementar o broker do Aikido utilizando GitOps, para que a equipa pudesse executar o Aikido contra os seus repositórios privados. Após o Fabrice levantar a questão, um pull request, correção e implementação seguiram-se num espaço de poucos dias. Esse ciclo de feedback curto moldou a forma como a equipa encarou o Aikido tanto quanto qualquer funcionalidade individual.
"Faltava-nos uma funcionalidade para implementar o broker com GitOps. Entrei em contacto e, em poucos dias, houve um PR, uma correção e uma implementação. O ciclo de feedback é muito curto. Mostra que o Aikido ouve e toma medidas imediatas."
O próximo passo da KEYES
A KEYES utiliza atualmente o Aikido para análise de código. A análise de Cloud e de ataques são os próximos módulos planeados à medida que o lançamento continua. O pentest de IA está a ser considerado como uma ferramenta adicional a par dos serviços de pentest que a KEYES já fornece aos seus próprios clientes, integrado no ciclo de vida de desenvolvimento de forma mais automatizada em vez de ser executado separadamente.
Veredito final
A perspetiva do Fabrice sobre a relação é que esta se manteve forte muito depois do processo de vendas.
"A discussão não para quando o contrato é assinado. Fomos apoiados antes de nos envolvermos com o Aikido, e o suporte continua lá à medida que planeamos e integramos."
