A Pathful, uma plataforma líder de preparação para a carreira, liga milhões de estudantes em todos os EUA a profissionais do sector através de conteúdos de vídeo cativantes e orientação em direto. Com dados de mais de 4 milhões de estudantes e 40.000 voluntários para proteger, a segurança não é apenas uma preocupação técnica, é uma responsabilidade. Falámos com Paul Johansen (Chief Product & Technology Officer) e Matthew Alverson (VP of Engineering) sobre a forma como o Aikido ajudou as suas equipas a reduzir o ruído, a corrigir mais rapidamente e a simplificar os esforços de conformidade sem perturbar os fluxos de trabalho dos programadores.

Meus senhores! Podem apresentar-nos brevemente a Pathful e as vossas funções na empresa?

Paul Johansen: Sou o Diretor de Produtos e Tecnologia. Dirijo três equipas: operações de produtos, gestão e marketing de produtos e engenharia. Estamos todos concentrados em criar e fornecer o nosso produto principal: conteúdo de alta qualidade e orientado para a carreira que liga os estudantes a profissionais do mundo real.

Matthew Alverson: Sou o vice-presidente de engenharia, responsável por tudo, desde os programadores aos DevOps e aos dados. O meu desafio é que nem todos os elementos da equipa estão preocupados com a segurança, pelo que é importante que as ferramentas de segurança sejam fáceis de utilizar e criem os hábitos certos.

O que torna a Pathful única no espaço de preparação para a carreira?

Paulo: A nossa missão consiste em capacitar os alunos para descobrirem percursos profissionais com significado, quer se trate de se tornarem cirurgiões ou soldadores. Há duas coisas que nos distinguem:

1. Ligações em direto: Temos 40.000 profissionais que se voluntariam para falar com os estudantes sobre os seus empregos.
   
   
2. Conteúdo de alta qualidade: Produzimos vídeos curtos e cativantes, filmados com pessoas reais, em locais de trabalho reais, para dar vida a estas carreiras.
   Estamos activos em todos os 50 estados e levamos muito a sério a nossa responsabilidade de proteger os dados dos alunos.

Onde é que a segurança se enquadra na sua estratégia de produto?

Paulo: É fundamental. Enquanto plataforma SaaS no sector da educação, somos responsáveis pela proteção de dados extremamente sensíveis. Uma violação da segurança neste sector seria tão prejudicial como uma violação na área da saúde. Por isso, para nós, segurança significa fiabilidade, confiança e proteção do futuro da empresa e dos nossos alunos.

Houve algum incidente específico que o tenha feito repensar a segurança?

Paul: Não houve nenhuma violação ou incidente específico. A Pathful foi criada a partir de duas empresas em fase de arranque, cada uma com diferentes abordagens à segurança. Com o tempo, tornou-se claro para nós que a segurança tinha de ser um pilar fundamental da nossa estratégia, e não uma reflexão posterior. É algo em que Matthew e eu acreditamos profundamente.

Que desafios enfrentava antes de usar o Aikido?

Paul: Honestamente, era muito barulho. Estávamos a executar pentests e a utilizar outras ferramentas de segurança, mas era avassalador e difícil dar sentido a tudo. Sabíamos que havia problemas, mas descobrir por onde começar e o que realmente importava era o verdadeiro problema.

Matthew: Também foi difícil para a equipa. As ferramentas não se integravam bem nos fluxos de trabalho e as interfaces não eram intuitivas. Estávamos constantemente a procurar dependências e a tentar compreender o impacto das actualizações. Não era escalável.

"Havia tanto ruído que era difícil concentrarmo-nos. Estávamos constantemente a peneirar o caos." - Paul Johansen

O que é que fez com que o Aikido se destacasse?

Mateus: O Aikido faz algumas coisas excecionalmente bem:

• Mostra como uma vulnerabilidade entrou na nossa base de código, o que nos poupa horas de trabalho de detetive.
• Os resumos do changelog alimentados por IA são fantásticos. Costumávamos passar horas a lê-los, agora o Aikido apenas nos diz se uma atualização é segura.
• Mais importante ainda, ajuda-nos a definir prioridades. Não estamos a receber spam de alertas para coisas que não podemos resolver.

"A análise do changelog da IA poupa-nos horas. Agora podemos confiar, dar uma vista de olhos e verificar em vez de andarmos sempre a investigar."

Avaliou outras ferramentas?

Paul: Nem por isso. O Aikido foi recomendado como parte dos requisitos de conformidade do nosso grupo e, assim que o experimentámos, apercebemo-nos de que era uma melhoria clara. Não precisámos de uma longa avaliação, simplesmente funcionou melhor.

Como foi o processo de integração?

Matthew: Foi incrivelmente fácil. Nem sequer tive de o fazer, a nossa pessoa do DevOps tratou disso e não parava de nos enviar mensagens sobre como a ferramenta era fixe. O Aikido encaixa-se perfeitamente nos nossos ambientes inferiores, para que possamos detetar problemas antes de chegarem à produção.

"Um dos primeiros projectos que integrámos na plataforma foi realizado pela nossa equipa de estagiários. Eles compreenderam rapidamente o sistema e ficaram muito orgulhosos por terem resolvido todos os problemas logo após a segunda análise. Isto realça a facilidade de utilização do Aikido."

O Aikido ajudou na conformidade e na elaboração de relatórios?

Paulo: Sem dúvida. Muitas das nossas estruturas de conformidade exigem que demonstremos práticas de segurança sólidas. Com o Aikido, podemos marcar todas as caixas: DAST, verificação contínua, gestão de vulnerabilidades. Torna os processos de certificação muito mais simples.

Mateus: Os relatórios de tendências ao longo do tempo são algo que analiso regularmente. Ajudam-me a compreender como o nosso perfil de risco está a mudar e se a equipa está a cumprir as suas responsabilidades de correção.

 "Agora leio efetivamente os relatórios. Ajudam-me a seguir as tendências e a responsabilizar a equipa semana a semana."

Notou alguma melhoria mensurável desde que adoptou o Aikido?

Matthew: Sim, especialmente na velocidade de correção. Não estou a registar isso num painel de controlo, mas sinto-o. E se olharmos para os nossos números, verificamos uma redução de 60% no total de problemas nas últimas duas semanas. Isso é muito importante.

Como é trabalhar com a equipa de Aikido?

Paulo: Essa é a melhor parte, não precisámos muito deles. Tudo funcionou. Tivemos algumas questões de configuração que foram respondidas de imediato. A ferramenta é fiável, e isso diz muito.

Se tivesse de resumir o impacto do Aikido numa frase?

Paul: Maior sensibilização para a segurança e resolução mais eficiente dos problemas.

Matthew: Facilita efetivamente a correção de vulnerabilidades. É esse o cerne da questão.