PSG, yazılım ve teknoloji tabanlı hizmet şirketleriyle ortaklık kurarak, bu şirketlerin dönüşümsel büyüme sürecini yönetmelerine, stratejik fırsatlardan yararlanmalarına ve güçlü ekipler oluşturmalarına yardımcı olan bir büyüme sermayesi şirketidir. 150'den fazla şirkete destek vermiş ve 520'den fazla ek satın almayı gerçekleştirmiş olan PSG, kapsamlı yatırım deneyimi, yazılım ve teknoloji alanındaki derin uzmanlığı ve yönetim ekipleriyle işbirliği yapma konusundaki kararlılığını ortaya koymaktadır. 2014 yılında kurulan PSG, Boston, Kansas City, Londra, Paris, Madrid ve Tel Aviv'deki ofislerinden faaliyet göstermektedir. PSG hakkında daha fazla bilgi edinmek için www.psgequity.com adresini ziyaret edin.
PSG, güvenlik dahil olmak üzere operasyonel destek konusunda stratejik ve pragmatik bir yaklaşım benimsiyor. Uygulama portföyü genelinde uygulama güvenliğini tek bir çatı altında birleştirmeyi hedeflediklerinde, Aikido’ya başvurdular.
PSG’nin Bilgi Güvenliği Direktörü Adam Glick ile, Aikido’nun şirketin güvenlik çalışmalarını nasıl desteklediğini ve platformun şu anda durum tespiti, denetim ve yetkinlik geliştirme alanlarında üstlendiği rolü konuştuk.
Selam Adam! Öncelikle kendini ve PSG’deki görevini tanıtabilir misin?
PSG’de CISO olarak görev yapıyorum. Yaklaşık iki yıldır bu şirkette çalışıyorum. Sorumluluklarım iki başlık altında toplanıyor: Bir yandan PSG’nin kendi iç BT ve bilgi güvenliği faaliyetlerini denetliyorum; diğer yandan da portföy şirketleri için yönetişim ve denetim işlevini yerine getiriyorum. Bu, portföy şirketlerimizin (“PortCos” veya “portföy şirketleri”) güvenliğe yatırım yapmalarını, güvenlik programlarını olgunlaştırmalarını ve güvenli kodlar sunmalarını sağlamaya yardımcı olmak anlamına geliyor.
PSG, güvenlik konusunda portföy şirketlerine nasıl destek oluyor?
PortCos’larımıza günlük işlerinde destek olan bir operasyon ekibimiz var: ister teknoloji seçimi, ister işe alım, ister pazara giriş stratejisi, ister güvenlik olsun. Onlarla birlikte çalışarak tedarikçileri değerlendiriyor, politikalar oluşturuyor, denetimlere hazırlanıyor ve uyumluluk sorunlarını çözüyoruz.
Güvenlik konusunda, portföy şirketlerimizin neye ihtiyaç duyduklarını anlamalarına ve bu hedefe ulaşmak için doğru araçları ve iş ortaklarını bulmalarına yardımcı olmak için yanındayız.
Önerdiğiniz çerçevelerde uygulama güvenliği ne tür bir rol oynuyor?
AppSec’in her türlü yazılım geliştirme kuruluşunun temel ilkelerinden biri olduğuna inanıyoruz. PortCos’larımızın hem kurumsal risk hem de itibar bütünlüğü açısından güvenli kodlama uygulamalarına öncelik vermesini bekliyoruz. Görevimiz, PortCos’larımızın güvenli kodlama araçlarını değerlendirme ve benimseme süreçlerinde onlara destek olmaktır.
PSG’yi portföy genelinde bir uygulama güvenliği girişimi başlatmaya iten nedir?
Portföy genelinde hayata geçirebileceğimiz her türlü girişim bir başarıdır. Programsal veya sistemik bir ihtiyaç tespit edersek (özellikle güvenlik gibi bir alanda), bunu bütüncül bir yaklaşımla çözmeye değer.
Bu tür bir girişim için doğru araçları nasıl belirlediniz?
Liman işletmecilerimizle düzenli temas halindeyiz ve olgunluk düzeylerini iyi biliyoruz. Bu düzeydeki etkileşim, ortak çözümlerin portföy genelinde hangi alanlarda destekleyici olabileceğine dair bize net bir bakış açısı sağlıyor.
Portföy genelinde bir uygulama girişimi hayata geçirirken karşılaşılan en büyük zorluk, sürtüşmeleri en aza indirmektir. Her şirket farklıdır. Asıl soru şudur: Ortak payda nedir? Dağıtım sürecinde en az engelle karşılaşarak şirketlerin çoğunda işe yarayabilecek bir çözüme ihtiyacımız vardı.
Peki, Aikido nasıl öne çıktı?
Kurulum kolaylığı önemli bir faktördü. Durum değerlendirmesini tamamlayıp sözleşmeyi imzaladıktan sonra, bir şirketi Aikido’ya bağlayıp kelimenin tam anlamıyla saniyeler içinde taramaya başlayabildik. Ayar yapmaya gerek yoktu, baş ağrıtan bir durum da yoktu. Bu tek başına büyük bir engeli ortadan kaldırdı.
“Durum tespiti tamamlayıp sözleşmeyi imzaladıktan sonra, kelimenin tam anlamıyla saniyeler içinde bir şirketi Aikido'ya bağlayıp taramaya başlayabildik.”
Ancak bunun ötesinde, teknik yeteneklerin kapsamı – SAST, DAST, CSPM, gizli verilerin taranması… hepsi tek bir platformda bir araya getirilmiş olması – gerçekten etkileyiciydi. PSG için bu uygulamanın devreye alınması, çaba açısından hafif, sonuçlar açısından ise oldukça etkili oldu.
Ayrıca üst yönetimle kurulan ilişki de önemliydi. Bir sorun çıktığında, bunu hızla çözmemize yardımcı olacak kişilerin yönetimde olduğunu bilmek istiyoruz. Aikido’daki üst yönetim ekibiyle olan deneyimimiz olumlu geçti.
Portföy genelinde uygulamaya geçiş sürecini nasıl ele aldınız?
Uygulamaya geçiş sürecini çok ciddiye aldık. Bu, sadece “İşte bir araç, gidin kullanın” demekle kalmadı. Bilgilendirme oturumları, danışma saatleri, geliştirme liderleriyle bire bir görüşmeler, dokümantasyon ve gerçek zamanlı destek için Slack kanalları düzenledik… Kısacası, PortCos’larımızın başarıya ulaşması için elimizden gelen her şeyi yaptık.
“Bu sadece ‘İşte bir araç, gidin kullanın’ şeklinde bir şey değildi. Bilgilendirme oturumları, danışma saatleri, bire bir görüşmeler düzenledik… kısacası, PortCos’larımızın başarıya ulaşması için elimizden gelen her şeyi yaptık.”
Hem Aikido hem de PSG arasında ortak noktalar vardı. Hızlı yanıt verebilmek için çeşitli kanallardan ulaşılabilir durumdaydık. Destek ve kolaylaştırma süreci, teknolojinin kendisi kadar önemliydi.
Aikido Ortak Portalı, denetim faaliyetlerinizde nasıl bir rol oynuyor?
Bu alanda büyük bir potansiyel var. Şu anda bunu, önemli CVE’leri hızlı bir şekilde tespit etmek (“CVE-2024-XXXX’i kimde var?” gibi) ve etkilenen şirketlere ulaşmak için kullanıyoruz.
Bununla birlikte, daha kapsamlı raporlama özellikleri için çaba gösteriyoruz. Makro düzeydeki eğilimleri daha fazla görmek istiyoruz. Örneğin, portföy genelindeki güvenlik açığı eğilimleri veya şirket bazında düzeltme oranları gibi. Aikido bu geri bildirimlere oldukça açık davrandı ve iyileştirmeler konusunda işbirliği yapıyoruz.
PSG’deki güvenlik koordinasyonunun “öncesi” ve “sonrasını” nasıl tanımlarsınız?
Eskiden araç kullanımı daha dağınık bir yapıdaydı. Her PortCo, kendileri için uygun olanı seçerdi. Bu durumun kendiliğinden kötü bir yanı yok, ancak denetim ve desteği çok daha zor hale getiriyor.
Artık daha önce olmayan, merkezi bir unsur devreye girdi. Kullanıcılardan olumlu geri bildirimler aldık. Bu araç, kullanımı kolay ve gerçekten faydalı. Etkisini sayısal olarak ölçme konusunda henüz başlangıç aşamasındayız, ancak gözlemlerimize göre sonuçlar çok olumlu.
Portföy güvenliğinin ötesinde, Aikido’yu başka şekillerde kullanmaya başladınız mı?
“Aikido’yu durum tespiti süreçlerimize dahil etmeye başlıyoruz… Bu, satın aldığımız varlıklar hakkında daha kapsamlı bir bakış açısı kazandırıyor.”
Evet. Aikido’yu durum tespiti süreçlerimize dahil etmeye başladık. Potansiyel satın alma amacıyla yeni şirketleri değerlendirirken, bunları Aikido’ya entegre ederek kodun kendisine erişmeye gerek kalmadan güvenlik durumları hakkında anında bilgi edinebiliyoruz. Bu sayede, satın alacağımız şirket hakkında daha kapsamlı bir bakış açısı elde ettiğimizi düşünüyoruz.
Portföy genelinde teknoloji girişimleri hayata geçiren diğer kişilere vereceğiniz herhangi bir tavsiye var mı?
“Herkese uyan tek bir çözüm yoktur, ancak çoğuna uyan bir çözüm vardır ve bizce Aikido tam da bu ideal noktaya denk geliyor.”
Kesinlikle. Öğrendiğimiz bir şey, BT alanında aşırı kuralcı olmamak gerektiğidir. Benim “Netflix’in izlediği yol” olarak adlandırdığım yaklaşımı (şirketin yönetim tarzına dayalı olarak) uyguluyoruz. Şirketlere hangi sonuçlara ulaşmamız gerektiğini söylüyoruz. Mesela, güvenli kodlama programı gibi; ancak bu hedefe nasıl ulaşılacağını tam olarak dikte etmiyoruz.
Aikido buna harika bir örnektir: Bu bir zorunluluk değil, güçlü bir öneridir. Size uygunsa, harika. Değilse, size uygun olanı bulun. Herkese uyan tek bir çözüm yoktur, ancak çoğuna uyan bir çözüm vardır ve bizce Aikido tam da bu ideal noktaya denk geliyor.
Son düşünceleriniz nelerdir?
Aikido, bizim için olağanüstü bir iş ortağı oldu. İster Slack kanalındaki destek, ister yönetim ekibinin her zaman ulaşılabilir olması, ister ürünle ilgili hızlı yanıt verme konusunda olsun, her zaman beklentilerimizi karşıladılar. Harika bir iş birliği oldu.
