Olá Aufar! Podes falar-nos um pouco sobre a Petrosea e o teu papel?

Sou um programador de back-end na Petrosea, mas a minha função também abrange a arquitetura da nuvem, a segurança, o DevOps e a engenharia de sistemas. A nossa equipa de engenharia é composta por cerca de 20 pessoas, que tratam de tudo, desde o desenvolvimento backend e frontend até à segurança e ERP. 

A própria Petrosea é uma empresa de serviços mineiros. Gerimos tudo, do poço ao porto, aproveitando a IoT avançada para acompanhar todo o processo de exploração mineira. Por exemplo, podemos comunicar diretamente com os operadores de equipamento no local para otimizar a produção dos nossos clientes. É uma grande parte da forma como nos posicionámos como líderes em tecnologia mineira na Indonésia.

A Petrosea é reconhecida como um líder tecnológico. Como é que a transformação digital se insere nesse contexto?

Orgulhamo-nos de fazer parte da Global Lighthouse Network do Fórum Económico Mundial, uma das duas únicas empresas na Indonésia a deter esse reconhecimento pela adoção da Indústria 4.0. A tecnologia está no centro da nossa eficiência e liderança. A aplicação de soluções avançadas de IoT, automação e nuvem nos ajuda a operar melhor, mais rápido e mais seguro do que as empresas de mineração tradicionais.

Porque é que a segurança é tão importante no seu sector?

Uma vez que incorporamos a tecnologia em todo o lado, qualquer violação de segurança pode perturbar as operações, comprometer a confidencialidade do cliente ou mesmo interromper a produção. As empresas mineiras e de energia na Indonésia tornaram-se alvos frequentes de ciberataques, e observamos esta tendência tanto no sector público como no privado. Para nós, a segurança sempre foi uma prioridade máxima, e o número crescente de ataques só aumenta a urgência.

"Qualquer violação pode pôr em risco as operações ou a confidencialidade dos clientes. A segurança não é opcional. É essencial."

O que levou a Petrosea a concentrar-se numa nova solução de segurança?

Após a nossa aquisição, o valor das nossas acções aumentou significativamente. Essa maior visibilidade também atraiu mais atenção de agentes de ameaças externos. Já tínhamos medidas de segurança em vigor, mas os nossos processos estavam fragmentados. As verificações da base de código eram manuais, as verificações de conformidade exigiam um esforço adicional e não dispúnhamos de uma plataforma unificada para reunir tudo.

Que desafios enfrentava antes do Aikido?

Utilizámos várias ferramentas, como scanners de vulnerabilidades, scanners container e scanners de qualidade de código, todas separadas. Isso significava trabalho manual, combinando relatórios, verificando manualmente as estruturas de conformidade, como a ISO, e uma tomada de decisão lenta, porque não havia uma visão única da nossa postura de segurança. Com operações em vários locais, precisávamos de cobertura total, não apenas na sede.

O que é que se destacou no Aikido durante a sua avaliação?

Três coisas impressionaram-nos. Primeiro, a facilidade de implementação. Os conectores estavam prontos a utilizar, pelo que a integração com a nossa nuvem e base de código exigiu um esforço mínimo.

Em segundo lugar, a correção automática combinada com a filtragem de falsos positivos. As outras plataformas limitam-se a lançar vulnerabilidades sobre si, mas o Aikido filtra os falsos positivos e cria automaticamente correcções com um clique. 

Finalmente, os relatórios de conformidade. Deixámos de passar horas a compilar relatórios e passámos a exportar dados de conformidade prontos a utilizar em segundos.

"O tempo mais rápido em que corrigimos uma vulnerabilidade foi apenas 5 segundos após a deteção. Isto é que é eficiência".

Como foi a experiência de integração?

Muito fácil. Ligámos o Aikido aos nossos repositórios de código e ambientes de nuvem, esperámos pela primeira análise e vimos instantaneamente a nossa postura de segurança com informações claras e acionáveis. Não houve uma curva de aprendizagem acentuada. Tudo foi simples, e o tempo de retorno foi imediato.

Qual é o impacto do Aikido no seu trabalho diário?

O filtro de falsos positivos é, por si só, um fator de mudança. Elimina muito ruído desnecessário. A funcionalidade AutoFix é igualmente impressionante. Assim que uma vulnerabilidade é detectada, podemos corrigi-la em apenas cinco segundos. Antes, isso levava horas ou até dias. Para além de poupar tempo, a base de conhecimentos ajuda toda a nossa equipa a compreender melhor as vulnerabilidades. Já não é apenas o trabalho da equipa de segurança, os próprios programadores ganham consciência e respondem mais rapidamente.

"Eficiência. É essa a palavra. O Aikido torna a segurança mais rápida, mais fácil e mais inteligente, permitindo-nos concentrarmo-nos no que é mais importante."

Como é que isto se relaciona com a conformidade e o ESG?

A cibersegurança faz parte da nossa estratégia ESG no âmbito do pilar da governação. Com o Aikido, os relatórios de conformidade são automatizados e podemos facilmente demonstrar práticas seguras de desenvolvimento de software aos reguladores e à direção.

Que resultados mensuráveis observou desde que adoptou o Aikido?

O resultado mais tangível é a poupança de tempo. As correcções de vulnerabilidades que anteriormente demoravam horas, agora demoram segundos com o AutoFix. Também reduzimos o tempo gasto na elaboração de relatórios de conformidade em pelo menos 80%, porque os relatórios são agora gerados automaticamente em vez de serem compilados manualmente. Além disso, os nossos programadores estão agora diretamente envolvidos em questões de segurança graças à base de conhecimentos da plataforma. A sensibilização para a segurança em toda a equipa aumentou significativamente, tornando-a uma responsabilidade partilhada em vez de algo tratado apenas pela equipa de segurança.

"Com o Aikido, poupámos horas na elaboração de relatórios, reduzimos a correção de vulnerabilidades para segundos e demos aos programadores o conhecimento necessário para serem donos da segurança."

Alguma ideia final?

Gosto muito do produto, da IU, da UX e de toda a experiência do utilizador. Poupou-nos tempo, melhorou a nossa postura de segurança e tornou o processo muito mais fácil para todos os envolvidos. Quero agradecer à equipa Aikido por ter criado uma plataforma tão poderosa e por ter estado sempre presente quando tivemos dúvidas.

"Continuem o bom trabalho. O Aikido é um excelente produto com uma equipa fantástica por detrás."

‍