Mais de 1.500 repositórios, zero sobrecarga de segurança: como o November Five lida com a segurança

Conheça a November Five: Uma agência digital baseada na inovação

Olá, malta! Fala-me um pouco sobre ti e sobre o November Five?

Olá equipa Aikido! Somos o Stijn, Líder Especialista em Arquitetura, e o Tim, Diretor de Produto e Tecnologia, da November Five. 

A November Five é uma empresa de produtos digitais que estabelece parcerias com empresas para criar experiências digitais impactantes para os clientes. Somos especializados em estratégia, design e tecnologia e procuramos fornecer soluções que satisfaçam os objectivos empresariais e as necessidades dos utilizadores. A November Five é onde o digital encontra a emoção. Aqui, damos vida a um digital memorável que ressoa, inspira e perdura. Através da nossa estrutura MX™ personalizada, exploramos desejos inatos e despertamos emoções genuínas para que se destaque num mar de mesmice - com o objetivo de inspirar lealdade para além da satisfação.

A nível da empresa, 95% da organização é constituída por profissionais de produto e engenharia. Trabalhamos em equipas centradas no cliente, o que significa que, para cada novo cliente/projeto, escolhemos um grupo de colegas à medida (com experiência em produto, design e engenharia) para ajudar a satisfazer as necessidades do cliente. A nossa equipa de arquitetura está envolvida em grandes iterações ou parcerias, assegurando que tudo o que fazemos permanece escalável - sendo a segurança uma delas. 

‍

Como é que a November Five se posiciona no domínio das agências digitais e em comparação com a concorrência?

A November Five é conhecida pelo seu foco na inovação e no fornecimento de soluções digitais de alta qualidade. Diferenciamo-nos através da nossa abordagem estratégica à transformação digital e do nosso empenho em criar valor para os nossos clientes. Damos ênfase à combinação de criatividade e tecnologia para nos destacarmos no panorama das agências digitais.

‍

Segurança nas agências digitais: um imperativo
‍

"O produto da Aikido foi 100% concebido para o contexto de uma agência: é leve de implementar, é abrangente em termos de funcionalidades, permite uma triagem adequada entre equipas e oferece alertas apenas quando são necessários."

Qual o objetivo da segurança no contexto de uma agência digital?

A segurança é crucial no contexto de uma agência digital para proteger os dados sensíveis dos clientes, manter a confiança e garantir a conformidade com os regulamentos. Ajuda a evitar violações de dados e ciberataques, que podem ter graves consequências financeiras e para a reputação.

Para entrar um pouco mais em pormenor: criamos produtos CX que estão muito próximos do núcleo da atividade dos nossos clientes. Normalmente, trabalhamos para aumentar a fidelidade e a retenção intrínsecas dos clientes nos seus principais canais digitais de contacto com o cliente. Na maioria destes projectos, continuamos a iterar sem parar. Em alguns projectos, trabalhamos sazonalmente. Como pode imaginar, é importante mantermos uma boa visão geral do que está a acontecer em todos os sectores. É por isso que os componentes do Aikido, como o SCA e o SAST, são importantes para nós: para mantermos uma visão geral de todos os projectos e sermos alertados apenas quando precisamos de nos concentrar na correção de vulnerabilidades para os clientes.

Nas agências digitais, imagino que os custos e as margens sejam frequentemente analisados pelos clientes. Por outro lado, também não se pode comprometer a segurança, correndo o risco de expor os dados dos clientes a vulnerabilidades. Como é que o Aikido o ajuda a lidar com isto?

O Aikido oferece uma solução de segurança que permite às agências digitais manterem elevados padrões de segurança sem afetar excessivamente a sua estrutura de custos. Fornece ferramentas e processos que ajudam a identificar e atenuar os riscos de forma eficiente, protegendo assim os dados dos clientes e mantendo a confiança, ao mesmo tempo que gere os custos de forma eficaz. 

A forma como a segurança afecta as agências digitais tem duas vertentes:

• Em primeiro lugar, vemos que os requisitos de segurança e os questionários de conformidade são cada vez mais adicionados na fase de RFP ou de contratação. O Aikido ajuda-nos a verificar muitas caixas aqui.
• Em segundo lugar, ao garantir medidas de segurança sólidas, podemos oferecer com confiança serviços adicionais. Por exemplo, após a entrega de um produto, oferecemos contratos de assistência. Estes contratos de assistência incluem actualizações de segurança, que a Aikido nos ajuda a gerir.

O produto da Aikido foi 100% concebido para o contexto de uma agência: é leve de implementar, é abrangente em termos de funcionalidades, permite uma triagem adequada entre equipas e oferece alertas apenas quando são necessários. 

O desafio da segurança: Gerir mais de 1.500 Repositórios
‍

"Não temos engenheiros de segurança dedicados - precisamos que a segurança seja de autosserviço. O Aikido permite isso com um fluxo de trabalho descentralizado."

Qual foi a única coisa que o fez pensar "Temos de levar a segurança a sério"?

A frequência e a sofisticação crescentes das ciberameaças realçaram a necessidade de uma abordagem mais séria à segurança. Além disso, as pressões regulamentares e as exigências dos clientes em matéria de proteção de dados são factores significativos.

Antes do Aikido, o que é que o preocupava em termos de segurança?

As vulnerabilidades são encontradas continuamente. No contexto de uma agência, muitas das nossas parcerias exigem um trabalho contínuo, mas nem todas. Muitos produtos têm um carácter sazonal, em que a engenharia é interrompida durante um período de tempo considerável. O Aikido elimina a preocupação de que os problemas que vão surgindo afectem os produtos existentes pelos quais somos responsáveis sem o nosso conhecimento. O Aikido aumenta a nossa confiança e, consequentemente, a confiança dos nossos clientes em nós.

Que desafios ou dores estava a sentir antes de adquirir o Aikido?

Obter uma visão objetiva e completa da saúde de todas as bases de código e produtos era difícil. Fazer isto manualmente dá sempre uma imagem instantânea que envelhece numa questão de dias ou semanas, o que não era aceitável para nós. Obter uma visão geral central do estado da segurança em todos os projectos activos e inactivos, com a classificação e a urgência alinhadas com as nossas normas, é essencial para o nosso SDLC e para o compromisso a longo prazo com os nossos clientes.

Utilizava alguma ferramenta de segurança antes do Aikido?

Tínhamos várias ferramentas no nosso pipeline de CI/CD e um ciclo de revisão frequente pela nossa equipa de engenharia e suporte, que apenas cobria uma pequena parte do puzzle da segurança. Faltava-nos uma triagem adequada, a capacidade de criar profundidade entre repositórios e uma forma de sermos alertados apenas sobre o que interessa.

Avaliámos produtos concorrentes e quase todos eles se destinam a equipas de produtos, com um pequeno número de repositórios e muitas equipas a trabalhar neles. A maior parte deles também oferecia apenas preços empresariais, ou simplesmente levar-nos-iam à falência (Snyk, por exemplo). O Aikido dá-nos uma óptima ferramenta, segurança, mas mais importante, um processo que nos ajuda no nosso contexto empresarial. Em termos de funcionalidades, mas também em termos de modelo de preços.

Porquê o Aikido? O ajuste perfeito para agências
‍

Avaliámos produtos concorrentes e quase todos eles se destinam a equipas de produtos, com um pequeno número de repositórios e muitas equipas a trabalhar neles. A maior parte deles também oferecia apenas preços empresariais, ou simplesmente levar-nos-iam à falência (Snyk, por exemplo).

‍

Como estamos num contexto de agência, o Aikido foi um ajuste natural, uma vez que se posiciona como líder no nosso sector. A necessidade de gerir mais de 1.500 repositórios, com uma mistura de estados activos, em suporte e arquivados, e um número relativamente pequeno de equipas de engenharia, exige um produto concebido e arquitectado para nós. Não temos engenheiros de segurança dedicados porque queremos manter-nos concentrados e permitir que todos os engenheiros se sirvam a si próprios. É isso que apreciamos no Aikido: uma vez configurado, pode permitir uma forma descentralizada de trabalhar.

‍

Muitos dos repositórios Git nas agências também podem estar dispersos: alguns estão no cliente, outros na agência. O Aikido dá-nos a flexibilidade para configurar todos os ambientes corretamente e adicioná-los sem problemas numa visão geral central.

‍

Além disso, muitos dos repositórios Git (sejam eles GitLab, Bitbucket ou outros) nas agências também podem estar dispersos. Por vezes, encontram-se com o cliente, outras vezes no lado da agência. Com o Aikido, temos a flexibilidade de configurar todos os ambientes corretamente e adicioná-los sem problemas numa visão geral central.

Qual é a sua experiência de trabalho com a equipa de Aikido?

Trabalhar com a equipa da Aikido foi sempre fantástico desde o início. O facto de ambas as empresas serem belgas fez com que tivéssemos um início rápido. Ainda assim, o clique da equipa da Aikido que nos ajudou a compreender o nosso contexto, configuração e desafios tornou possível a implementação rápida e a obtenção de valor imediato da plataforma.

‍

Qual é a sua caraterística favorita?

A caraterística mais favorita, correndo o risco de parecer metafórica, é o fluxo contínuo de adições à plataforma. O Aikido tem o dom de acrescentar funcionalidades valiosas a um ritmo constante. Eles ouvem os seus clientes e agem em conformidade. Em termos práticos, gostamos da integração simples nos pedidos pull e estamos ansiosos por que os nossos engenheiros comecem a utilizar a funcionalidade AI Autofix recentemente adicionada.

‍