Selam Eric! Bize biraz kendinden ve HiringBranch’tan bahseder misin?
Tabii ki! HiringBranch’ın CTO’suyum. Yaklaşık 12–15 yıl önce tek başına çalışan bir geliştirici olarak başladım ve bugün, makine öğrenimi uzmanları da dahil olmak üzere 10 mühendisten oluşan küçük ama odaklanmış bir ekibe dönüştük.
Başlangıçta eğitim alanında faaliyet gösteriyorduk, ancak bugün işe alım öncesi değerlendirmeler konusunda uzmanlaşmış durumdayız; özellikle NLP ve makine öğrenimi kullanarak iletişim becerilerini ve sosyal becerileri değerlendiriyoruz. Bizi diğerlerinden ayıran en önemli özellik, adayların açık uçlu bir formatta yanıt vermesine olanak sağlamamızdır. Çoktan seçmeli sorular yerine, adayların becerilerini değerlendirmek için gerçekte ne söylediklerini analiz ediyoruz. Bu, insani nitelikleri değerlendirmek için çok daha doğal ve doğru bir yöntemdir.
Teknoloji sektöründe işe alım sürecinde güvenlik ne kadar önemli bir rol oynuyor?
Her şey güvene bağlıdır. Şirketler platformumuzu kullandıklarında, hassas aday verilerini bize emanet ediyorlar. Bu verileri korumak bizim sorumluluğumuzdur; bunu sadece doğru olanı yapmak için değil, aynı zamanda markamıza ve güvenilirliğimize yansıdığı için de yapıyoruz.
“Güvenliği ciddiye almamız gerekiyor” diye fark ettiğiniz bir an oldu mu?
Evet, kesinlikle. İlk zamanlarda, özellikle de çoğunlukla daha küçük müşterilerle çalıştığımız dönemde, güvenlik çok da öncelikli bir konu değildi. Ancak kurumsal alana girmeye başladığımızda, belki 5 ya da 6 yıl önce, bu durum hızla değişti. Müşteriler, bizim tam olarak cevap veremediğimiz sorular soruyorlardı. Bu bizim için bir uyarı oldu.
Aikido'dan önce güvenlik iş akışlarınız nasıldı?
“Elimizde açık kaynaklı araçlar, Microsoft platformları, Docker tabanlı taramalar vardı… ama hiçbirisi birbiriyle iletişim kurmuyordu. Tam bir kaos ortamıydı.”
Kodu taramak için yerel olarak çalıştırdığım bir Docker görüntüsü vardı. Ardından bir rapor oluşturup bunu manuel olarak bir yere yüklerdim. Bu süreç hantal ve hataya açık bir süreçti.
Frankenstein tarzı bir araç karışımı kullandık: açık kaynaklı tarayıcılar, Azure’daki bir Microsoft ürünü, SonarQube, AWS Security Hub… hepsi birbirine eklenmişti. Ve tabii ki, hiçbiri birbiriyle iletişim kurmuyordu. Sistem dağınıktı ve bakımı zordu.
Peki, Aikido ile nasıl tanıştınız?
Aikido’yu ilk kez yaklaşık iki yıl önce inceledik. Ancak o dönemde işler yoğundu, bu yüzden hemen bu konuya dalmadık. Sonunda bir güvenlik mühendisi işe aldığımızda, o Aikido’yu derinlemesine araştırmaya başladı ve “Bu, ihtiyacımız olan her şeyi karşılıyor” diyerek geri döndü. Yavaş yavaş eski araçları kullanımdan kaldırmaya başladık. Bu, bir gecede gerçekleşen bir geçiş değildi; pratik ve özenli bir geçiş süreciydi.
Aikido’yu sizin için doğru seçim yapan şey neydi?
“Her şey tek bir yerde. Slack ve Azure DevOps entegrasyonları, oyunun kurallarını değiştiriyor.”
Bizim için fark şuydu:
- Birleştirme: Beş araçtan tek bir araca.
- Otomasyon: Güvenlik açıkları Slack’te ortaya çıkar; burada geliştiricileri etiketleyip hızlı bir şekilde harekete geçebiliriz.
- Raporlama: “Her güvenlik toplantısında, bilmemiz gereken her şeyi içeren kapsamlı bir rapor hazırlıyorum. Yeni gelişmeler, düzeltilen sorunlar… Hepsi orada yer alıyor.”
- Kullanım kolaylığı: Hemen çalışır. Eğitim seanslarına ya da karmaşık kurulumlara gerek yoktur.
Şimdi uyum konusunu ele alalım. Aikido’ya başlamadan önce uyum konusunu nasıl idare ediyordunuz?
Evet, resmi olarak SOC 2 Tip II sertifikasına sahibiz. Süreç yaklaşık iki yıl önce başladı; Tip I sertifikasını almak çoğunlukla politikaların belgelenmesinden ibaretken, Tip II ise bambaşka bir işti. İşte o noktada gerçek operasyonel titizlik ve kanıt toplamanın zorluğu devreye girdi.
Eskiden, çeşitli araçlardan raporları manuel olarak dışa aktarmak ve Vanta’ya yüklemek zorundaydık. Bu işlem zahmetli ve zaman alıcıydı. Peki şimdi? Otomatik olarak senkronize oluyor. Her şey sorunsuz bir şekilde gerçekleşiyor.
İşlem hantal ve manueldi. Çeşitli araçlardan güvenlik raporlarını dışa aktarmayı ve ardından bunları uyumluluk platformumuz olan Vanta’ya yüklemeyi planlamıştık.
Aikido, uyum sürecinizde nasıl bir rol oynadı?
Aikido ve özellikle Vanta entegrasyonu, SOC 2 Tip II sürecimiz boyunca çok büyük bir fark yarattı. Sistemi devreye alır almaz, güvenlik kanıtı toplama iş akışımızın tamamını otomatikleştirdi. Güvenlik açıkları, düzeltme işlemleri, kontrol kapsamı; hepsi, bizim manuel olarak herhangi bir şeyin peşine düşmemize gerek kalmadan arka planda senkronize olmaya başladı.
“Aikido’yu sadece uyumluluk nedeniyle benimsemedik, ancak Vanta ile ne kadar sorunsuz bir şekilde entegre olduğunu gördüğümüzde, bu karar hiç düşünmeye gerek kalmayacak kadar açık hale geldi. Sadece birkaç düğmeye tıklıyoruz ve kanıtlar hemen karşımıza çıkıyor.”
Bu, artık raporları dışa aktarmaya, PDF’leri yüklemeye ya da denetimler sırasında eksik belgeler yüzünden endişelenmeye son vereceğimiz anlamına geliyordu. Uyumluluğu kanıtlamak yerine, güvenlik durumumuzu gerçekten iyileştirmeye odaklanabilirdik.
“Aikido, mevzuata uyum sürecindeki stresi ortadan kaldırdı. Otomasyon sorunsuz bir şekilde işliyor; her şeyi denetime hazır halde tutuyor, telaş yaratmadan.”
Eskiden üç ayda bir yaşanan telaş, sessiz ve kesintisiz bir sürece dönüştü: her zaman aktif, her zaman hazır. Tam da olması gerektiği gibi.
Aikido’yu uygulamaya başladığınızdan bu yana ekibinizin güvenlik anlayışında ne gibi değişiklikler oldu?
Artık çok daha proaktif hale geldik. Sorunlara tepki vermek ya da daha da kötüsü, onları gözden kaçırmak yerine, artık gerçek zamanlı uyarılar alıyoruz. Tarama süreci kesintisiz devam ediyor. Kaos ve tahminlere dayalı yaklaşımlar azaldı. Her şey yapılandırılmış ve görünür durumda.
Aikido ekibiyle çalışmak nasıl bir deneyim oldu?
Açıkçası, harika. Aylık bilgilendirme toplantılarımız var ve bunlar yeni özellikler hakkında bilgi edinmek açısından son derece faydalı. Destek ekibi oldukça duyarlı ve hatta onlarla özel bir Slack kanalımız var; bu da iletişimi kolay ve hızlı hale getiriyor.
Peki son olarak, Aikido’yu tek bir cümleyle özetlemek zorunda kalsanız ne derdiniz?
“Tüm güvenlik süreci boyunca iç huzuru.”
Cidden. Eskiden aletler ve işler tam bir kaos içindeydi. Artık her şey sakin, düzenli ve kontrol altında.
