Hassas çalışan ve kurumsal verilerin işlenmesinin ürünün temelini oluşturduğu İK teknolojisi sektöründe, Simployer güvenliği geliştirme sürecinin temel taşlarından biri haline getirmiştir. İskandinavya’da faaliyet gösteren ve 12.000’den fazla şirkete ve bir milyon kullanıcıya hizmet veren Simployer’ın platformu, işletmelerin yasal uyumluluktan çalışan bağlılığına kadar İK operasyonlarını verimli hale getirmelerine yardımcı olmaktadır.
Güvenlik ve mevzuata uygunluğu korurken inovasyon hızını sürdürmek amacıyla Simployer, Aikido’ya başvurdu.
Güvenlik: Ortak bir sorumluluk
Simployer için güvenlik, ekiplerin çalışma şeklinin tam kalbinde başlar. Simployer’ın Teknoloji Direktörü (CTO) Peder Nordvaller bunu şu şekilde özetliyor:
“Güvenlik, yaptığımız işte çok büyük bir rol oynuyor. Sadece özel nitelikte değil, aynı zamanda müşterilerimizin iş faaliyetleri için hayati önem taşıyan kişisel verileri işliyoruz.”
Simployer’ın mühendislik organizasyonunda güvenlik, izole bir birim olarak ele alınmaz. Aksine, her ekibin günlük geliştirme döngüsüne entegre edilmiştir. Altyapı ekibinden ön uç ve arka uç ekiplerine kadar herkes, sistemlerin güvenliğini sağlama sorumluluğunu paylaşır.
Simployer’ın Teknik Lideri Said, durumu şöyle açıklıyor: “Her ekip kendi alanının sorumluluğunu üstlenir. Buna, geliştirdikleri ürünlerin güvenliği de dahildir.”
Ancak bu kültür ne kadar güçlü olursa olsun, onu desteklemek için yine de doğru araçlara ihtiyaç duyuluyordu. Özellikle de şirket büyüdükçe.
Zorluk: Kontrolü kaybetmeden hızlı büyüme
Simployer, geliştirme faaliyetlerini hızla genişletirken, ekipleri bir zorlukla karşı karşıya kaldı: İnovasyonu yavaşlatmadan güvenlik durumlarını nasıl güçlü tutabileceklerdi?
“Ürün geliştirmeye büyük yatırımlar yapıyoruz,” diye açıklıyor Peder. “Güvenlik yaklaşımımızın büyüme hızımıza ayak uydurabileceğinden emin olmamız gerekiyordu.”
Simployer, kod ve altyapı taramalarına yardımcı olmak için Snyk’ten GitLab’ın yerleşik çözümlerine kadar pek çok aracı denemişti. Ancak çoğu platform, çözdüklerinden daha fazla sorun yaratıyordu:
- Yüksek gürültü seviyeleri ve belirsiz öncelikler
- Geliştiricilerin zamanını alan manuel ön eleme
- Kullanıcı deneyiminin hantal olması nedeniyle düşük benimsenme oranı
Said şöyle açıklıyor: “Çok fazla gürültü vardı ve önemsiz meseleleri irdelemekle zaman harcıyordun. Neye odaklanman gerektiği net değildi.”
Birden fazla geliştirme ekibinin paralel olarak çalıştığı bir şirket için bu parçalanma durumu sürdürülemezdi.
Simployer neden Aikido’yu seçti?
Ekip, netlik, hız ve mevcut iş akışlarına sorunsuz entegrasyon sağlayabilecek bir çözüm aramaya başladı. İşte o zaman Aikido’yu keşfettiler.
“İlk fark ettiğimiz şey, kullanıcı arayüzünün ne kadar sezgisel olduğuydu,” diye hatırlıyor Said.
“Giriyorsunuz, önemli güvenlik açıklarını görüyorsunuz ve bunları hızla düzeltiyorsunuz.”
Aikido, güvenlik açıklarını gruplandırıp önceliklendirerek ve uygulanabilir çözümler sunarak geliştiricilerin üstlendiği bilişsel yükü anında azaltmaya yardımcı oldu. Bu araç, Simployer’ın CI/CD boru hattına ve mevcut iş akışlarına doğrudan entegre edildi ve böylece sorunsuz bir şekilde benimsenmesini sağladı.
İki husus dikkat çekti:
- Akıllı önceliklendirme: “Nereye bakmanız gerektiğini ve hangilerinin gerçekten kritik olduğunu tam olarak biliyorsunuz.”
- Otomatik Düzeltme: “Otomatik olarak düzeltilebiliyorsa, düzeltilir işte. Bu, oyunun kurallarını değiştiren bir gelişme.”
Said şöyle ekliyor: “Sorunların çözülme hızı inanılmaz. Sorunları bir dakikadan kısa sürede çözdük. Aikido, çekme isteğini oluşturuyor, testler başarılı oluyor ve iş bitiyor.”
“Çözüm hızı inanılmaz. Sorunları bir dakikadan kısa sürede giderdik. Aikido pull request'i oluşturur, testler geçer ve işlem tamamlanır.”
Güvenliği geliştirme sürecinin bir parçası haline getirmek
Simployer için en büyük kazanımlardan biri, Aikido’nun geliştirici deneyiminin bir parçası haline gelmesinin ne kadar doğal bir şekilde gerçekleşmiş olmasıydı.
“Bu, güvenliği ele alma şeklimizi değiştirdi,” diyor Peder. “Artık güvenliği, günlük işlerimizdeki diğer görevler gibi ele alıyoruz.”
Aikido, güvenliği mevcut araçlara entegre ederek ve ekiplere eyleme geçirilebilir içgörüler sunarak, geliştiriciler ile güvenlik ekipleri arasındaki sürekli gidip gelme durumunu ortadan kaldırmaya yardımcı oldu. Bu da bağlam değiştirme sıklığının azalması ve daha güvenli kodların daha hızlı bir şekilde ortaya çıkması anlamına geliyordu.
Aikido’nun Simployer’ın uygulama kodundan IaC’ye ve açık kaynak bağımlılıklara kadar tüm teknoloji yığınına yayılan kapsamı, ekibin tek bir kontrol panelinden güvenlik durumuna ilişkin eksiksiz bir genel bakış elde etmesini de sağladı.
Geleceğe bakış: Güvenle büyüme
Simployer, Aikido sayesinde, şirketin ivmesini yavaşlatmayacak, güvenliği ön planda tutan bir geliştirme kültürünün temellerini attı.
- Geliştiriciler artık güvenlik açıklarını günler değil, dakikalar içinde gideriyor
- Güvenlik, geliştirme yaşam döngüsünün içine entegre edilmiştir; sonradan eklenmiş değildir
- Ekipler, koddan buluta kadar tüm yığını net bir şekilde görebilirler
- Manuel triyaj ihtiyacı azalır ve düzeltmeler genellikle otomatik olarak yapılır
“Geliştirme araçları size destek olduğunda doğru şeyi yapmak daha kolay oluyor,” diyor Said. “Ve iş bu kadar kolay olduğunda, geliştiriciler bunu gerçekten yapıyorlar.”
“Geliştirme araçları size destek olduğunda doğru şeyi yapmak daha kolaydır. Ve iş bu kadar kolay olduğunda, geliştiriciler bunu gerçekten de yaparlar.”
