n8n, teknik ekipler için iş akışı otomasyonunu erişilebilir hale getirme misyonunu üstlenmiştir. Ürün ve mühendislik organizasyonlarını büyüttükçe, güvenlik yapılarının karmaşıklığı da artmıştır. n8n’de Mühendislikten Sorumlu Başkan Yardımcısı (ve vekaleten güvenlik sorumlusu) olan Cornelius ile, Aikido’nun güvenlik açığı yönetimi ve uyumluluk süreçlerinde nasıl bir temel taş haline geldiğini konuştuk.
Selam Cornelius! Kendini ve n8n’deki görevini kısaca anlatır mısın?
Ben Cornelius, n8n’de Mühendislikten Sorumlu Başkan Yardımcısıyım. Yaklaşık dört yıldır n8n’de çalışıyorum ve mühendislik ekibimizi yönetip büyütme görevini üstleniyorum. Şu anda yaklaşık 40 mühendisimiz var (toplamda yaklaşık 50 kişilik Ar-Ge ekibi içinde) ve yıl sonuna kadar bu sayıyı 60’a çıkarmayı hedefliyoruz. Mühendislikle ilgili sorumluluklarımın yanı sıra, şu anda şirketin güvenlik sorumlusu olarak da görev yapıyorum. SOC 2 gibi denetimlerin yürütülmesine yardımcı oluyor ve şirketimiz büyüdükçe genel güvenlik duruşumuzu belirlemeye katkıda bulunuyorum.
n8n’i iş akışı otomasyonu alanında benzersiz kılan nedir?
Amacımız, teknik uzmanlara daha fazla olanak sağlamak. n8n’i kullanmak için programcı olmanıza gerek yok; ancak programcıysanız, bu platform verimliliğinizi 10 kat artırabilir. Her iki dünyanın en iyi yanlarını bir araya getiriyoruz: düşük kodlu çözümlerin esnekliği ile gerektiğinde özel kodun gücü. Bu sayede sağlam otomasyonlar, yapay zeka ajanları ve kurum içi araçlar oluşturmak çok kolay hale geliyor.
Güvenlik, sektörünüzde ve özellikle n8n’de nasıl bir rol oynuyor?
Güvenlik, iki temel nedenden ötürü son derece önemlidir. Birincisi, kullanıcılar en hassas kimlik bilgilerini (Google, Salesforce, veritabanları ve diğer API’ler gibi araçlardan) bağlarlar; bu da, bu gizli bilgileri yönetebilmemiz için onların güvenini kazanmamız ve sürdürmemiz gerektiği anlamına gelir.
İkincisi, en katı uyum gerekliliklerine sahip devlet kurumları ve güvenlik kuruluşları da dahil olmak üzere, sıkı denetime tabi sektörlerdeki işletmelere hizmet veriyoruz. Bu kuruluşlar genellikle n8n’i kendi sunucularında barındırmayı tercih ediyor; bu da onlara verileri ve altyapıları üzerinde tam kontrol sağlarken, aynı zamanda katı güvenlik ve gizlilik standartlarını da karşılamalarına olanak tanıyor.
Güvenlik konusuna daha stratejik bir yaklaşım benimsemeyi tetikleyen bir an oldu mu?
İlk zamanlarda güvenlik konusu göz ardı edilmiyordu, ancak henüz çok sistemli bir şekilde ele alınmıyordu. Dependabot, GitHub kod taraması ve Snyk gibi araçlarımız vardı, ancak bunların yarattığı gürültü ve sürekli gönderdikleri haftalık e-postalar yeterince etkili değildi. Bulguları inceleyebileceğimiz merkezi bir süreç ya da bunları ele alacak bir sorumluluk yapısı yoktu.
Dependabot, GitHub kod taraması ve Snyk gibi araçları kullanıyorduk, ancak bunların yarattığı gereksiz bildirimler ve sürekli gönderdikleri haftalık e-postalar hiç de yeterli değildi. Bulguları inceleyebileceğimiz merkezi bir süreç ya da bunları ele alacak bir sorumluluk yapısı yoktu.
Aikido, bu süreci oluşturmamıza yardımcı oldu. Artık Aikido tarafından tespit edilen her güvenlik açığı (ister kod, ister Docker görüntüleri, ister altyapı ile ilgili olsun), ciddiyet derecesine göre belirlenmiş SLA’larla birlikte Linear’da otomatik olarak bir bilet oluşturuyor. Bu, her sorunun takip edildiği, önceliklendirildiği ve belirlenen zaman çizelgeleri dahilinde ele alındığı anlamına geliyor. Güvenlik artık sadece bir araç değil, tam anlamıyla bir süreç haline geldi.
Aikido’ya başlamadan önce en büyük güvenlik endişeleriniz nelerdi?
Özellikle:
- Tutarlı bir süreç yok
- Tüm bulguları kapsayan merkezi bir genel bakış bulunmamaktadır
- Güvenlik sorunları genelinde SLA’ları uygulamaya koymanın bir yolu yok
Yüksek önem derecesine sahip bulgular için 21 gün gibi çözüm sürelerine güvenilir bir şekilde uymamıza yardımcı olacak bir şeye ihtiyacımız vardı. Aikido, bu hedefleri gerçekten gerçekleştirebilmemiz için gerekli yapıyı sağladı.
Aikido'dan önce uyum ve denetim konularını nasıl yönetiyordunuz?
Daha önce Drata ile çalışıyorduk, ancak uyumluluk kanıtlarının toplanması hâlâ çok fazla manuel çaba gerektiriyordu. Aikido artık güvenlik araçlarımız için tek bir kontrol paneli sunarak Drata’yı tamamlıyor. Bu sayede kanıt toplama ve denetimlerden geçme sürelerimizi kısaltabildik.
Aikido'nun Drata entegrasyonu, kanıt toplama ve denetimlerden geçme sürecini kısaltmamıza yardımcı oluyor.
Değerlendirmeniz sırasında Aikido’da en çok dikkatinizi çeken şey neydi?
Aikido’yu ilk benimseyenlerden biriydik. GitHub entegrasyonu “tak ve çalıştır” tarzındaydı; kelimenin tam anlamıyla sadece birkaç tıklamayla halloldu.
Ancak daha da önemlisi, Aikido ekibi inanılmaz derecede hızlı yanıt veriyordu. Geri bildirimde bulunduğumuzda, Aikido ekibi bir saat içinde yanıt veriyor ve iyileştirmeleri ya da düzeltmeleri bir gün içinde yayınlıyordu. Hâlâ da öyle yapıyorlar. Bu tür bir iş birliği, özellikle SOC 2 denetimine hazırlanırken paha biçilmezdi.
Aikido ekibi inanılmaz derecede hızlı yanıt veriyor. Geri bildirimde bulunduğumuzda bir saat içinde yanıt alıyoruz. İyileştirmeler veya düzeltmeler genellikle bir gün içinde yayınlanıyor.
Aikido’yu iş akışlarınıza nasıl entegre ettiniz?
- Kod tabanlarını taramak için GitHub
- Bilet devri ve çözüm süreci için Linear
Genel olarak, bu durum işlerin üstesinden gelmemize yardımcı oldu.
Aikido ekibiyle çalışmak nasıl bir deneyim oldu?
Harika. İnanılmaz derecede hızlı ve şeffaflar; her zaman bir görüşme yapmaya ya da bir sorunu hızla çözmeye hazırlar. Aralarında büyük bir güven var. Daha önce de belirtildiği gibi, ne zaman bir hata ile karşılaşsak ya da geri bildirimde bulunsak, ekip hemen devreye giriyor ve genellikle bir gün içinde sorunu çözüyor. Bu destek, uygulamanın başarılı bir şekilde devreye alınmasının en önemli nedenlerinden biri oldu.
Aikido’da en sevdiğiniz özellik nedir?
Kesinlikle ekip filtreleme. Bu sayede güvenlik açıklarını anında doğru ekibe yönlendirebiliyoruz.
Ancak asıl zamanımın çoğunu ana akışta geçiriyorum. Haftada en az beş kez bu akışı kontrol ederek hangi işlerin açık olduğunu, hangilerinin acil olduğunu ve hangilerinin çözüldüğünü takip ediyorum. Bu sayede her şeyi tam olarak görebiliyorum.
Aikido'nun ana akışı, zamanımın çoğunu geçirdiğim yerdir. Haftada en az beş kez burayı kontrol ederek hangi işlerin açık olduğunu, hangilerinin acil olduğunu ve hangilerinin çözüldüğünü takip ediyorum. Bu sayede her şeyi tam olarak görebiliyorum.
Hem ticari hem de açık kaynaklı bir ürün olduğumuzdan, açık kaynak kütüphanelere büyük ölçüde bağımlıyız. Açık kaynak lisansları görünümü ve SBOM (Yazılım Malzeme Listesi) özellikleri de bizim için hayati önem taşıyor.
n8n, Aikido ile %92 oranında gürültü azaltımı sağladığını bildiriyor. Bunun etkisi ne oldu?
Evet! %92’lik gürültü azaltma özelliği, oyunun kurallarını değiştiriyor. Bu sayede, gerçekten önemli olan %8’lik kısma odaklanabiliyoruz. Bu tek başına bile paha biçilmez.
Bazı talimatlar biraz anlaşılması zor olsa da, mühendislerin işe başlaması için yeterince iyi. Açıkçası, “sessizliğe” çabucak alıştık ve şimdi keşke daha da sessiz olsaydı diyorum. Bu, verimliliği ve akıl sağlığını büyük ölçüde artırıyor.
%92 gürültü azaltma ile 'sessizliğe' hızla alıştık. Şimdi keşke daha da sessiz olsaydı! Bu, muazzam bir üretkenlik ve zihinsel rahatlık artışı sağlıyor.
Ölçülebilir sonuçlar gördünüz mü?
Sadece “gürültüyü %92 oranında azalttık” diyebilmek bile büyük bir etki yaratıyor. Ancak bunun ötesinde, SLA’lara uymayı sürdürebilme ve denetimleri daha verimli bir şekilde geçebilme imkânı bizim için çok büyük bir kazanç.
Aikido, genel olarak güvenlik duruşunuzu nasıl değiştirdi?
Bu, yaklaşımımızı tek bir merkezde topladı. Eskiden işler çeşitli araçlara ve gelen kutularına dağılmış durumdaydı. Artık tek bir güvenilir bilgi kaynağımız var.
Aikido’nun n8n üzerindeki etkisini tek bir cümleyle özetlemek zorunda olsaydınız?
Aikido, güvenlik konusunda (ki bu başlı başına ürkütücü bir konudur) bize iç huzur verir.
