Merhaba! Göreviniz ve sorumluluklarınız nelerdir?
Ben Otto Sulin, Supermetrics’in Güvenlik Sorumlusuyum ve uygulama güvenliğinden mevzuata uygunluğa kadar güvenlikle ilgili her türlü konudan sorumluyum.
Supermetrics’i sektörünüzde öne çıkaran nedir?
Misyonumuz, pazarlamacılar için veri analizini daha basit ve daha entegre hale getirmektir. Supermetrics’in kod yazmaya gerek olmayan pazarlama veri araçları, çeşitli kaynaklardan gelen verileri düzenlemeyi, birleştirmeyi, zenginleştirmeyi, kullanıma hazır hale getirmeyi ve depolamayı kolaylaştırır. Küçük işletmelerden en büyük küresel şirketlere kadar 200.000’den fazla müşteriye hizmet veriyoruz.
Sektörünüzde güvenlik neye hizmet etmelidir?
Müşterilerimiz, kritik müşteri verilerini bize emanet ediyorlar. Pazarlama verilerini almamız ve saklamamız için bize yetki veriyorlar; bu erişim, güvenlik ve gizlilik konusunda yüksek beklentilerle birlikte geliyor.
Müşteriler, güvenlik ve uyumluluk programlarınız üzerinde ne tür bir baskı oluşturuyor?
Kısaca söylemek gerekirse, çok geniş bir kapsam. Bizden, dış denetimler, üçüncü taraf sızma testleri ve açıkça tanımlanmış SDLC güvenlik kontrollerini içeren kapsamlı bir güvenlik programına sahip olmamız bekleniyor. Müşteriler, yazılım güvenliği konusunda her zamankinden daha bilinçli ve talepkar.
Güvenlik konusuna daha stratejik bir yaklaşım benimsemeyi tetikleyen bir an oldu mu?
Kesinlikle. Büyük kurumsal pazara açıldıkça, bu müşteriler daha yüksek beklentiler getirmeye başladı. Bu büyüme, güvenlik olgunluğuna yaptığımız yatırımların artmasına neden oldu.
Aikido'yu keşfetme kararı, genel stratejinizin genel çerçevesine nasıl uyum sağladı?
Aikido'yu seçme kararı, güvenli yazılım geliştirme yaşam döngümüzü iyileştirmeye yönelik daha geniş kapsamlı bir girişimin parçasıydı. Bu girişim, ek eğitimler, bir güvenlik liderleri programı ve çok daha fazlasını içeriyordu.
Aikido'ya geçmeden önce, bazı ticari ürünlerin yanı sıra bir dizi açık kaynaklı araç kullanıyorduk. İşleri basitleştirmek ve yazılım geliştirme yaşam döngüsü (SDLC) genelinde güvenliği daha kolay ve tutarlı hale getirecek bir çözüm bulmak istiyorduk.
“Aikido’nun geliştirici dostu yapısı ve gürültü azaltma özellikleri hemen göze çarptı.”
Değerlendirme sırasında Aikido’da en çok dikkat çeken husus neydi?
Geliştirici dostu olması ve gürültüyü azaltmaya yardımcı olan özellikler. Amacımız, ürün ekiplerine daha fazla yetki vermekti; Aikido’nun bulgulardan kaynaklanan gereksiz gürültüyü azaltmaya yardımcı olan sayısız özelliği ile bulgular arasında gezinmeyi ve bunlarla çalışmayı kolaylaştıran kullanıcı arayüzü, bizim için gerçekten öne çıkan unsurlar oldu.
Aikido’nun geliştirici iş akışlarınıza entegrasyonu ne kadar kolay oldu?
Aikido’yu mevcut araç setimize entegre etmek çocuk oyuncağıydı. Tüm platformlarımızı kullanıma hazır halde destekledi ve kurulumu sadece birkaç dakika sürdü. Hiçbir sorun yaşanmadı.
Aikido ekibiyle çalışmak nasıl bir deneyim oldu?
Hızlı yanıt ve şeffaflık. Ne zaman bir sorunla karşılaşsak, aynı gün içinde yanıt aldık; üstelik birden fazla kez, çözümünü de aynı gün içinde gönderdiler.
En sevdiğin özellik hangisi?
Şüphesiz ki gürültünün azaltılması. Amacım, mühendislerimizin güvenlik açıklarını yönetmek için harcadıkları zamanı en aza indirmek ve Aikido tam da bunu başarmamıza yardımcı oluyor. Şu ana kadar Aikido’yu kullanarak gürültüde %75’lik bir azalma kaydettik.
“Aikido’yu kullanarak gürültüde %75’lik bir azalma kaydettik.”
Aikido’nun yazılım geliştirme yaşam döngüsünüzde (SDLC) nasıl bir yer tuttuğu konusunda bize biraz daha bilgi verebilir misiniz?
Aikido, CI/CD, Jira ve Slack sistemlerimizle doğrudan entegre oluyor. Onaylanmış sorunlar için hızlı bir şekilde Jira biletleri oluşturabiliyoruz ve Slack uyarıları, depolara göre ilgili ekipleri bilgilendiriyor. Sistem basit ve şeffaf; ayrıca herkesin aynı çizgide kalmasını sağlıyor.
Aikido, Supermetrics’in güvenlik ve güvenlik açığı yönetimine yaklaşımını nasıl değiştirdi?
Bu, önemli güvenlik iş akışlarını merkezileştirmemize ve otomatikleştirmemize yardımcı oldu. Mühendisler yazılım geliştirmeye odaklanabilirken, biz de depolarımız ve görüntülerimiz üzerinde tam görünürlük ve kontrol sağlıyoruz.
Aikido’nun ekibinize zaman kazandırdığı veya riski azalttığı herhangi bir an oldu mu?
Açık kaynaklı kötü amaçlı yazılım izleme, bize çok büyük bir zaman tasarrufu sağladı. Aikido’dan önce, riskli paketleri bulmak için raporları elle tarıyor, ardından etkilenip etkilenmediğimizi görmek için depolarımızı inceliyorduk. Artık bu süreç tamamen otomatikleşti ve hata yapma olasılığı çok daha azaldı.
Aikido, düzenleyici gereklilikleri ve veri koruma gerekliliklerini nasıl destekler?
Aikido’nun kapsamlı özellik seti, tüm tarama işlemlerinin etkinleştirilmesini ve politika uyumluluğunun kolayca doğrulanmasını sağlar. Bu sayede, denetimlere her zaman hazır olduğumuzdan ve müşterilerimize verdiğimiz sözleri yerine getirdiğimizden emin oluyoruz.
Aikido’nun etkisini nasıl özetlersiniz?
Aikido’nun kullanım kolaylığı, geniş özellik yelpazesi ve gürültü azaltma yetenekleri, bir ürün güvenlik programının ölçeklendirilmesini son derece kolay hale getirir.
Özet
Supermetrics artık daha hızlı, daha temiz ve yönetimi daha kolay, geliştirici odaklı bir AppSec iş akışı kullanıyor. %75 daha az gürültü, anında entegrasyonlar ve Jira, Slack ve CI/CD genelinde otomasyon ile güvenlik, artık veri operasyonları kadar sorunsuz bir şekilde ölçekleniyor.
AWS ve Teknik Bağlam
Supermetrics, AWS üzerinde bulut tabanlı bir mimari kullanmakta ve tüm sistem yığını boyunca konteynerleştirilmiş iş yüklerini devreye almaktadır. Aikido, AWS Elastic Container Registry (ECR) ile doğrudan entegre olarak konteyner görüntülerini tarar, AWS Inspector’dan elde edilen bulguları alır ve tekilleştirir; ayrıca CloudFormation ve Terraform yapılandırmalarını hatalı yapılandırmalar açısından tarar. Tüm bu bilgiler, GitHub depolarından elde edilen SAST, SCA ve gizli bilgi bulguları ile birlikte tek bir kontrol panelinde görüntülenir.
Aikido, AWS Marketplace üzerinden sunulmaktadır ve AWS harcama taahhütlerine dahil edilir.
