Ogaga Abuchi, 2021 yılından bu yana yarı zamanlı CISO olarak çalışmakta ve sağlık, fintech ve SaaS sektörlerindeki şirketlere destek vermektedir. 2023 yılında, Nerdio’nun yanı sıra birkaç başka kuruluşla da yarı zamanlı olarak çalışmaya başlamıştır.
Ogaga, şu anda Nerdio’da ürün ve uygulama güvenliğini yönetirken, aynı zamanda yarı zamanlı CISO olarak diğer kuruluşlara danışmanlık vermeye devam ediyor. Bu ikili bakış açısı, araçları değerlendirme şeklini belirliyor: Araçlar sadece tek bir şirket için değil, çeşitli ortamlarda, olgunluk düzeylerinde ve kısıtlamalar altında da çalışabilmeli.
Bir bakışta
- Görüşme yaptığımız kişi: Ogaga Abuchi, Nerdio’da yarı zamanlı CISO ve Bilgi Güvenliği Müdürü
- Şirket: Nerdio (Azure Virtual Desktop ve Windows 365 yönetim platformu)
- Temel zorluk: Sınırlı zaman, bütçe ve sorunlara karşı tolerans düzeyiyle uygulama güvenliğini tüm ekiplere yaymak
- Aikido'dan önce: Yüksek yanlış pozitif oranı ve zayıf sinyale sahip pahalı uygulama güvenliği araçları
- Aikido’nun kullanıldığı alanlar: SAST, DAST, bağımlılık ve SBOM taraması, geliştirici iş akışları, üst yönetim raporlaması
- Temel sonuç: Daha az hata, daha hızlı düzeltme ve geliştiriciler için daha fazla zaman
Zorluk: Kaosu artırmadan güvenliği genişletmek
Ogaga’nın bakış açısına göre, güvenlik sorunlarının çoğu teknik nitelikte değildir. Bunlar yapısal sorunlardır.
Küçük ve orta ölçekli şirketlerle çalışan bir yarı zamanlı CISO olarak, sürekli olarak aynı kısıtlamalarla karşılaşıyor:
- Sınırlı operasyonel kapasiteye sahip küçük güvenlik ekipleri
- Ağır kurumsal araçları destekleyemeyen kısıtlı bütçeler
- Araçların aşırı yayılması: Birbiriyle çakışan çok sayıda araç, hem parayı hem de dikkati tüketir
- Kültürel direnç; özellikle de güvenlik önlemlerinin işlerini yavaşlatacağından korkan yazılım geliştiriciler tarafından sergilenen direnç
- Proaktif güvenlik yerine reaktif sorun çözme yaklaşımına doğru sürekli bir eğilim
Nerdio’da temel altyapı zaten nispeten olgun bir durumdaydı: deneyimli yazılım geliştiriciler, düzenli güvenlik eğitimleri, kurum içi ve kurum dışı sızma testleri ve bulguları ciddiye alan bir yönetim.
Ancak bu olgunluğa rağmen Ogaga, tanıdık bir risk gördü.
Doğru araçlar olmadan, ekipler ya uyarıların altında boğulur ya da bunlara tamamen güvenmeyi bırakır.
Çözüm: Geliştiricilerin gerçekten dikkate aldığı bir uygulama güvenliği platformu
Aikido'dan önce Nerdio, başka bir uygulama güvenliği aracı kullanıyordu. Bu araç pahalı, çok uyarı veriyordu ve genellikle güncel değildi. Tespit edilen sorunların çoğu gerçek sorunlar olmadığı ortaya çıkıyordu; bu da geliştiricilerle verimli görüşmeler yapmayı zorlaştırıyordu.
İşte o an kırılma noktasıydı.
Alternatifleri araştırdıktan ve önceki deneyimlerinden yararlandıktan sonra Ogaga, Aikido’yu tanıttı.
İlk bakışta dikkat çeken şey sadece kapsama alanı değil, sinyal kalitesiydi.
Aikido, üçüncü taraf kütüphaneler ve SBOM’larda gerçek sorunları ortaya çıkardı, yanlış pozitif sonuçları azalttı ve bulguları geliştiricilerin anlayabileceği bir şekilde açıkladı.
“Asıl sorun olmayan konulara çok fazla zaman harcıyorduk. Aikido sayesinde, yeniden gerçek zayıf noktalar üzerinde çalışıyoruz.”
Nerdio’da Aikido artık depolara ve iş akışlarına entegre edilmiştir. Ekip, SAST ve DAST’ı aktif olarak kullanmaktadır ve sorunların daha da erken tespit edilebilmesi için bu teknolojilerin kullanımı kademeli olarak IDE’lere doğru genişletilmektedir. Yol haritasında bir sonraki adımlar ise bulut taranması ve yapay zeka destekli sızma testleridir.
Ogaga, özellikle Aikido’nun yapay zeka destekli rehberlik özelliğini çok beğeniyor.
“Sorunun nerede olduğunu ve nasıl çözüleceğini göstermesini seviyorum. Pull isteklerini otomatik olarak açmayacağım (geliştiriciler beni öldürür) ama öneriler inanılmaz derecede faydalı.”
Sonuç: daha az gürültü, daha fazla güven, zamandan tasarruf
Nerdio’da Aikido’nun en göze çarpan etkisi, güvenlik işlerinin ne kadar sessiz hale gelmiş olmasıdır.
Bazen Ogaga, durumunu kontrol etmeyi unutmamak için kendine hatırlatmak zorunda kalır.
“Bazı günler o kadar sessiz oluyor ki, güvenlik açıklarını raporlamam gerektiğini kendime hatırlatmam gerekiyor.”
Bu sessizlik, kapsama eksikliğinden kaynaklanmıyor. Gürültünün azalması ve önceliklerin daha iyi belirlenmesinin bir sonucudur.
Tarama başına yüzlerce bulgu üreten ve bunların çoğunun yanlış pozitif olarak değerlendirilip göz ardı edildiği önceki araçlara kıyasla, Aikido ekiplerin gerçekten önemli olan konulara odaklanmasına yardımcı olur. Geliştiriciler, bulgular hakkında tartışmaya daha az zaman harcayarak, bunları düzeltmeye daha fazla zaman ayırır.
Bu durum, güvenlik lideri olarak Ogaga’nın işini de kolaylaştırdı. Geliştiriciler bir bulguyu sorguladıklarında, Ogaga onların dilinde anlaşılır bağlam bilgileri, kod parçacıkları ve açıklamalar sunabiliyor.
Sonuç:
- Daha hızlı iyileştirme
- Daha az yanlış pozitif sonuç
- Geliştiricilerin güvenlik araçlarına olan güveni artıyor
- Bulguların manuel olarak ön değerlendirmesine harcanan zamanın azalması
- Genel olarak daha güçlü bir uygulama güvenliği programı
Kısmi CISO bakış açısıyla bakıldığında, bu durum daha da önem kazanıyor.
Aynı anda birden fazla kuruluştan sorumlu olduğunuzda, kazandığınız her saatin etkisi katlanarak artar.
Nerdio, Aikido'nun kullanım alanını nasıl genişletiyor?
Zaten kullanıyorsunuz
- SAST
- DAST
- Bağımlılık Tarama (SCA)
- SBOM taraması
- Geliştirici iş akışları
- Yönetim raporlaması
Evlat edinmeyi planlıyorsunuz
Özet: Zamanı kısıtlı güvenlik yöneticileri için geliştirilmiş bir araç
Ogaga için Aikido, sadece bir Nerdio aracı değildir. Bu, onun CISO görevini kısmen yerine getirirken kullandığı araç setinin bir parçasıdır.
Yıllar boyunca pek çok uygulama güvenliği platformunu kullanmış ve değerlendirmiştir. Bu bağlamda, Aikido sadeliği, anlaşılırlığı ve geliştirici dostu tasarımıyla öne çıkmaktadır.
“Her şey çok basit. Kullanıcılar oturum açtıklarında ne yapmaları gerektiğini hemen anlıyorlar.”
Bu çözüm, devasa bir güvenlik organizasyonu kurmadan güvenlik standartlarını yükseltmek isteyen her türlü şirket için uygundur.
Peki, Ogaga, kısmi bir CISO’nun bakış açısıyla Aikido’nun değerini tek bir cümleyle özetlemek zorunda kalsaydı?
“Zaman tasarrufu sağlar.”
