Hassas çalışan ve kurumsal verilerin işlenmesinin ürünün merkezinde yer aldığı İK teknolojisi sektöründe Simployer, güvenliği geliştirme sürecinin bir sütunu haline getirdi. Kuzey Avrupa merkezli olan ve 12.000'den fazla şirkete ve bir milyon kullanıcıya hizmet veren Simployer platformu; yasal uyumluluktan çalışan bağlılığına kadar işletmelerin İK operasyonlarını kolaylaştırmasına yardımcı oluyor.
Güvenli ve uyumlu kalırken inovasyon hızını korumak için Simployer, Aikido'yu tercih etti.
Ortak sorumluluk olarak güvenlik
Simployer için güvenlik, ekiplerin çalışma şeklinin özünde başlar. Simployer CTO'su Peder Nordvaller bunu basitçe şöyle özetliyor:
“Güvenlik yaptığımız her şeyde büyük bir rol oynuyor. Yalnızca özel olmayan, aynı zamanda müşterilerimizin iş operasyonları için kritik önem taşıyan kişisel verileri işliyoruz.”
Simployer mühendislik organizasyonunun genelinde güvenlik soyutlanmış değildir. Bunun yerine her ekibin günlük geliştirme döngüsüne entegre edilmiştir. Altyapıdan frontend ve backend ekiplerine kadar herkes, sistemleri güvenli tutma sorumluluğunu paylaşır.
Simployer Tech Lead'i Said bunu şu şekilde ifade ediyor: “Her ekip kendi alanının sahibidir. Buna inşa ettikleri şeylerin güvenliği de dahildir.”
Ancak bu kültür güçlü olsa da, onu destekleyecek doğru araçlara hâlâ ihtiyaç duyuyordu. Özellikle de şirket büyüdükçe.
Zorluk: Kontrolü kaybetmeden hızlı bir şekilde büyümek
Simployer, geliştirme süreçlerini hızla büyütürken ekipleri bir zorlukla karşı karşıya kaldı: inovasyonu yavaşlatmadan güvenlik duruşlarını nasıl güçlü tutabilirlerdi?
Peder, "Ürün geliştirmeye yoğun bir şekilde yatırım yapıyoruz" diye açıklıyor. "Güvenlik yaklaşımımızın büyümemize ayak uydurabileceğinden emin olmamız gerekiyordu."
Simployer, kod ve altyapı taramasına yardımcı olması için Snyk'ten GitLab'in yerleşik çözümlerine kadar çeşitli araçlar denemişti. Ancak çoğu platform, çözdüklerinden daha fazla sorun yarattı:
- Yüksek gürültü seviyeleri ve belirsiz öncelikler
- Geliştirici zamanını tüketen manuel triyaj
- Kullanışsız UX nedeniyle düşük benimseme oranı
Said detaylıca anlatıyor: "Ortamda çok fazla gürültü vardı ve önemli olmayan sorunları araştırmakla vakit harcıyordunuz. Neye odaklanmanız gerektiği kesinlikle net değildi."
Paralel olarak çalışan birden fazla geliştirme ekibine sahip bir şirket için bu parçalanmışlık sürdürülemezdi.
Simployer neden Aikido'yu seçti?
Ekip; netlik, hız ve mevcut iş akışlarıyla sorunsuz entegrasyon sağlayabilecek bir çözüm aramaya başladı. İşte o zaman Aikido'yu buldular.
Said, "İlk fark ettiğimiz şey UI'ın ne kadar sezgisel olduğuydu" diye hatırlıyor.
"Giriyorsunuz, önemli olan güvenlik açıklarını görüyorsunuz ve bunları hızlıca düzeltiyorsunuz."
Aikido, güvenlik açıklarını gruplandırıp önceliklendirerek ve eyleme geçirilebilir düzeltmeler sağlayarak geliştiricilerin üzerindeki bilişsel yükü derhal azalttı. Araç, Simployer'ın CI/CD boru hatlarına ve mevcut iş akışlarına doğrudan entegre olarak benimsenmesini sorunsuz hale getirdi.
İki şey öne çıktı:
- Akıllı önceliklendirme: "Tam olarak nereye bakmanız gerektiğini ve neyin gerçekten kritik olduğunu biliyorsunuz."
- Auto-Fix: "Eğer otomatik olarak düzeltilebiliyorsa, hemen düzeltiliyor. Bu ezber bozan bir şey."
Said ekliyor: "Çözüm üretme süresi inanılmaz. Bir dakikadan kısa sürede sorunları düzelttik. Aikido pull request'i oluşturuyor, testler geçiyor ve işlem tamamlanıyor."
“Çözüm hızı inanılmaz. Sorunları bir dakikadan kısa sürede giderdik. Aikido pull request'i oluşturur, testler geçer ve işlem tamamlanır.”
Güvenliği geliştirme akışının bir parçası haline getirmek
Simployer için en büyük kazanımlardan biri, Aikido'nun geliştirici deneyiminin ne kadar doğal bir parçası haline geldiğiydi.
Peder, "Güvenliği ele alma şeklimizi değiştirdi" diyor. "Artık güvenliği günlük işlerimizdeki diğer herhangi bir görev gibi ele alıyoruz."
Güvenliği mevcut araçların içine yerleştirerek ve ekiplere eyleme geçirilebilir içgörüler sunarak Aikido, geliştiriciler ile güvenlik ekipleri arasındaki mekik dokuma sürecini ortadan kaldırmaya yardımcı oldu. Bu da daha az bağlam değiştirme ve daha hızlı, daha güvenli kod anlamına geliyordu.
Aikido'nun uygulama kodundan IaC ve açık kaynak bağımlılıklarına kadar Simployer'ın tüm teknoloji yığınındaki kapsamı, ekibin tek bir kontrol panelinden güvenlik duruşlarının bütüncül bir resmini elde etmesini de sağladı.
Geleceğe bakış: Güvenle ölçeklenmek
Simployer, Aikido ile ivmesini yavaşlatmayacak, güvenliği önceliklendiren bir geliştirme kültürünün temellerini attı.
- Geliştiriciler artık güvenlik açıklarını günler içinde değil, dakikalar içinde gideriyor
- Güvenlik sonradan eklenen bir katman değil, geliştirme yaşam döngüsünün içine entegre edilmiş durumda
- Ekipler, koddan buluta kadar tüm yığın üzerinde görünürlüğe sahip
- Manuel triyaj azaltıldı ve düzeltmeler genellikle otomatik olarak yapılıyor
Said, “Araçlar sizi desteklediğinde doğru şeyi yapmak daha kolaydır,” diyor. “Ve bu kadar kolay olduğunda, geliştiriciler gerçekten de bunu yapıyor.”
“Araçlar sizi desteklediğinde doğru şeyi yapmak daha kolaydır. Ve bu kadar kolay olduğunda, geliştiriciler gerçekten de bunu yapıyor.”
