Bir bakışta
- Serko'nun dahili geliştirici platformuna tasarım aşamasından itibaren güvenlik entegre edildi
- Yanlış pozitifler ortadan kaldırılarak güvenlik bulgularına duyulan güven yeniden sağlandı
- Kod, bulut, konteyner ve API güvenliği tek bir platformda birleştirildi
- 300 mühendisin gürültüyü elemeyle uğraşmak yerine açıkları sahiplenmesi ve düzeltmesi sağlandı
- Güvenlik doğrudan geliştirici iş akışlarına ve şablonlarına entegre edildi
- Ürün olarak platform (Platform-as-a-Product) mühendislik modeli desteklendi
- Port entegrasyonu aracılığıyla kuruluş genelinde görünürlük sağlandı
- Eski nesil bir geliştirici güvenliği platformu yerine Aikido Security seçildi
Tasarım gereği güvenli (secure-by-design) vizyonu
2 milyondan fazla kullanıcısıyla küresel bir seyahat teknolojisi lideri olan Serko, büyük bir mühendislik dönüşümünden geçiyordu. Bu dönüşümün bir parçası olarak Darshit Pandya'nın rolü, ürün ekibinin bir üyesi olmaktan Serko'nun yeni platform mühendisliği girişimine liderlik eden Kıdemli Baş Mühendisliğe evrildi. Bu girişim, Darshit'in ürün mühendislerinin yeni ürün özellikleri geliştirirken yaşadığı sürtünmeyi önemli ölçüde azaltmak için gördüğü fırsattan doğdu.
Kendisi şöyle diyor: "Ekibiniz yeni bir servis veya API oluşturmak istediğinde ancak standart şablonlar bulunmadığında her zaman sürtünme ve aksamalar yaşanır. Örneğin, OWASP Top 10 ve diğer güvenlik denetim mekanizmalarının entegre olduğu bir API şablonuna sahip olmak gibi."
Bu şablonlar olmadan, geliştiricilerin her seferinde tekerleği yeniden keşfederek sıfırdan bir şeyler inşa etmesi zahmetli ve yorucu bir süreçti.
Darshit bu nedenle platform mühendisliğini Serko'nun başarısının anahtarı olarak görüyor ve 'Ürün olarak Platform' (Platform-as-a-Product) zihniyetini benimsiyor.
Darshit, "Bunu doğru şekilde yaparsak, mühendislerimiz, mühendislik liderlerimiz, ürün yöneticilerimiz ve teslimat liderlerimiz gibi dahili müşterilerimize kesinlikle yardımcı olabilir ve onların zihinsel yükünü azaltarak iş mantığı yazmaya odaklanmalarını sağlayabiliriz" dedi.
Serko'nun platform mühendisliği girişimi; yeniden kullanılabilir, varsayılan olarak güvenli şablonlara ve tekrarlayan işleri ortadan kaldıran dahili araçlara odaklanıyor. OWASP Top 10 gibi güvenlik standartlarını ilk günden itibaren her servise entegre eden ekip, geliştiricilerin güvenlikten ödün vermeden güvenle inovasyon yapabilmesini sağlıyor.
Darshit'in öncelikle doğru temele oturtmak istediği şey güvenlikti.
Yanlış pozitiflerin yönetilmesi
Serko, Aikido'dan önce gürültü yaratan ve güven sorunlarına yol açan bir geliştirici güvenliği platformuna güveniyordu.
"Güvenlik açıklarını ortaya çıkardığıyla övünen bir araç kullanıyorduk ancak durum böyle değildi. Çok sayıda yanlış pozitif alıyorduk. Tespit edilen çok sayıda yanlış pozitif mühendisleri hayal kırıklığına uğrattı ve bu da güven eksikliğine yol açtı."
“Ayrıca, sağlayıcıyla aylarca çalışmamıza rağmen geliştirici güvenlik platformunda talep ettiğimiz iyileştirme ve geliştirmeler yapılmadı” diyor ve ekliyor: “Teknoloji çok hızlı ilerliyordu ancak bulut tabanlı zafiyet yönetimi, AI AutoFix ve müşteri iş akışlarını veya araçlarını oluşturmak ya da entegre etmek için kullanabileceğimiz API'ler gibi bazı eksik yetenekler vardı.”
Bu hayal kırıklıklarının sonucunda Serko, Aikido'yu test etmeye karar verdi ve mevcut geliştirici güvenlik platformlarıyla karşılaştırıldığında, Aikido'nun bazı depolar için hangi zafiyetleri tespit ettiğini doğruladı.
“Güvenlik ekibim ve ben bunların bazılarının yanlış pozitif (false positive) olduğunu ve olmaması gerektiğini biliyorduk; Aikido ise bu zafiyetleri göstermedi; bu harika bir işaretti” diyor.
Bunun yanı sıra Darshit; Aikido'nun farklı kod tabanlarındaki aynı zafiyetleri gruplandırma yeteneğinin ve zafiyetleri çözmek için sunduğu adım adım açıklamaların Aikido'yu ayıran diğer özellikler olduğunu belirtti. Ayrıca bulut, kod ve API güvenliği ile AI AutoFix, Aikido'yu seçmede diğer belirleyici faktörler arasında yer aldı.
“Aikido'nun Serko'nun platform öncelikli stratejisiyle uyum sağlama taahhüdü çok yüksekti ve onlarla çalışmak harikaydı. Sorunlarımızı çözüyorlar ve dahili geliştirici portalı Port'un Aikido ile entegre edilmesi gibi bir fırsat doğduğunda bunu hayata geçirmek için çalıştılar” diyor.
“Bu sadece benim geri bildirimim değil. Birçok Serko ürün mühendisi gelip bize ‘Aikido bize sağladığınız harika bir platform ve bundan çok büyük bir fayda sağlıyoruz’ diyor” diye ekliyor.
Darshit, “Madalyonun diğer yüzünde, önceki geliştirici güvenlik aracını kullanan mühendislerimizden her gün şikayetler ve memnuniyetsizlikler alıyorduk. Ancak Aikido ile bu tür hiçbir şikayet almadık” diyor.
Serko'nun Geliştirici Güvenlik Platformunun Etkisi - Aikido Gücüyle
Aikido'yu benimsemek, Serko'nun ekiplerin güvenliğe yaklaşımını dönüştürmesine yardımcı oldu. Zafiyetler artık yanlış pozitiflerin arasında gizlenmiyor ve mühendisler sorunları çözme konusunda sorumluluk hissediyor. Bu kültürel dönüşüm, Aikido Security tarafından güvenli bir şekilde desteklenen Serko'nun platform mühendisliği vizyonunun doğrudan bir sonucudur.
“Önceki güvenlik platformumuzda, vurguladığı zafiyetler konusunda bir güven eksikliği vardı.
Aikido ile netlik çok daha fazlaydı. Ekiplerden kritik sorunları ele almaya başlamalarını istedik ve bunu yaptılar. Bugün, güvenlik duruşumuzu önemli ölçüde iyileştirdik çünkü insanlar yanlış pozitifleri araştırmakla vakit kaybetmiyor, gerçek sorunları çözüyor” diyor.
Aikido'nun State of AI, Developers & Security 2025 araştırması, mühendislik süresinin yüzde 15'inin uyarıları önceliklendirmeye (triage) harcandığını ve bu sürenin büyük kısmının (yüzde 72) yanlış pozitiflere gittiğini ortaya koydu. Aslında ekipler, yanlış pozitiflerle uğraşarak haftada ortalama beş saat harcıyor. Ancak yanlış pozitiflerin yol açtığı zararlar bununla sınırlı kalmıyor. Ekipleri geçici çözümlere ve riskli kestirme yollara başvurmaya zorlayabiliyor. Katılımcıların üçte ikisi, yanlış pozitiflerle uğraşmaktan bıktıkları için güvenlik araçlarını by-pass ediyor, bulguları göz ardı ediyor veya düzeltmeleri geciktiriyor.
Aikido'nun ve genel platform mühendisliği konseptinin işe yaradığının en büyük göstergesi, Serko'da bu geçici çözümlerin yaşanmıyor olmasıdır.
Buna ek olarak Serko, daha eski ve miras (legacy) framework'ler için düzenli liderlik güvenlik incelemeleri oluşturdu. Bir ekip belirli bir zafiyetin düzeltilmesini geciktirmek isterse, bunun kabul edilebilir nedenini açıklayan bir gerekçe sunarak liderlikten risk onayı almak zorundadır. Bunlar liderler tarafından düzenli olarak incelenir. Amaç, görünürlüğü korumak böylece liderlerin ciddi risklerin nerede olduğunu bilmesini ve bunların göz ardı edilmesine izin vermek yerine harekete geçmeyi teşvik etmesini sağlamaktır.
Aikido'nun Port ile Entegrasyonu
Geliştiriciler için bağlam (context) çok önemlidir ve Darshit, Aikido'nun Serko'nun geliştirici portalı olarak kullanılan Port ile kombinasyonunun, Serko'nun platform mühendisliği başarısı için önemli bir adım olduğuna inanıyor.
“Aikido ve Port bir aradayken, zafiyetler yalnızca servisler olarak değil, aynı zamanda bulut kaynakları, veritabanları ve bileşenler gibi Serko'nun varlıklarının yanında da görünür olacak. Bu bize net, kuruluş genelinde bir görünürlük sağlıyor. Entegrasyon sayesinde ayrıca bir güvenlik puan kartı (scorecard) oluşturuyoruz. Bu, örneğin API kataloğumuzdaki hangi API'lerin bronz, gümüş veya altın tier seviyesinde yer aldığını göstermemizi sağlayacak. Puan kartı, farklı ekipler ve varlıklar genelinde güvenlik duruşunu anlamanın kolay bir yolunu sunuyor.”
Bu entegrasyon aynı zamanda teknoloji liderliğinin; sistemlerimiz genelinde bir ekip, grup veya kuruluş perspektifinden kaç tane zafiyet olduğunu, hangi ekiplerin geride kaldığını ve hangilerinin sıfır zafiyete sahip olduğunu kolayca görmesini sağlayacak. Bu, ürün ve mühendislik liderliğine yardımcı olacak.
Darshit, “Liderlere güvenlik duruşu konusunda görünürlük vererek öncelikler hakkında bilinçli kararlar almalarını sağlayabiliriz. İnsanları sert engellerle durdurmak istemiyoruz; bunun yerine, teslimat ile güvenlik arasında denge kurabilmeleri için onları verilerle güçlendirmek istiyoruz” diye açıklıyor.
Sonuç
Darshit için platform mühendisliği sadece teknolojiden ibaret değil, aynı zamanda kültürü değiştirmekle ilgilidir. Serko, Aikido'yu kullanarak mühendislere güvenlik bulgularına güvenme konusunda özgüven kazandırdı ve ürün ekiplerinin hız ile güvenlik arasındaki ödünleşimleri (trade-off) görebileceği bir çerçeve oluşturdu. En önemlisi de, güvenliğin herkesin sorumluluğu olduğu bir geliştirici platformu inşa etme konusunda Serko'yu destekledi. Serko gelişmeye devam ederken, bu süreçte kritik ve güvenilir bir ortak olan Aikido ile güvenli tasarlanmış (secure-by-design) platform mühendisliğinde yeni bir standart belirliyor.
