Merhaba! Göreviniz ve sorumluluklarınız nelerdir?
Ben Supermetrics'te Güvenlik Lideri Otto Sulin; uygulama güvenliğinden uyumluluğa kadar güvenlikle ilgili her şeyden sorumluyum.
Supermetrics'i sektörünüzde öne çıkaran şey nedir?
Misyonumuz, pazarlamacılar için veri analizini daha basit ve bağlantılı hale getirmektir. Supermetrics'in kod gerektirmeyen pazarlama verisi araçları; birden fazla kaynaktan gelen verileri düzenlemeyi, harmanlamayı, zenginleştirmeyi, etkinleştirmeyi ve depolamayı kolaylaştırır. Küçük işletmelerden en büyük küresel şirketlere kadar 200.000'den fazla müşteriye hizmet veriyoruz.
Sektörünüzde güvenlik neye hizmet etmelidir?
Müşterilerimiz kritik müşteri verilerini bize emanet ediyor. Pazarlama verilerini alıp depolamamıza yetki veriyorlar ve bu erişim, yüksek güvenlik ve gizlilik beklentilerini beraberinde getiriyor.
Müşteriler, güvenlik ve uyumluluk programlarınız üzerinde nasıl bir baskı oluşturuyor?
Kısaca söylemek gerekirse, oldukça geniş bir baskı. Dış denetimler, üçüncü taraf sızma testleri ve açıkça tanımlanmış SDLC güvenlik kontrolleri içeren kapsamlı bir güvenlik programına sahip olmamız bekleniyor. Müşteriler yazılım güvenliği konusunda her zamankinden daha bilinçli ve talepkar.
Güvenliğe stratejik bir odaklanmayı tetikleyen belirli bir an oldu mu?
Kesinlikle. Büyük kurumsal pazara açıldıkça bu müşteriler daha yüksek beklentilerle geldi. Bu büyüme, güvenlik olgunluğuna yönelik yatırımlarımızı artırmamızı sağladı.
Aikido'yu arama kararınız daha geniş stratejinize nasıl uydu?
Aikido'yu seçme kararı, güvenli yazılım geliştirme yaşam döngümüzü iyileştirmeye yönelik daha geniş bir girişimin parçasıydı. Bu girişim; ek eğitimler, güvenlik elçileri programı ve çok daha fazlasını içeriyordu.
Aikido'dan önce, bazı ticari ürünlerin yanı sıra bir dizi açık kaynaklı araç kullanıyorduk. Her şeyi basitleştirmek ve SDLC genelinde güvenliği daha kolay ve tutarlı hale getirecek bir çözüm bulmak istiyorduk.
“Aikido'nun geliştirici dostu olması ve gürültü azaltma özellikleri hemen dikkatimizi çekti.”
Değerlendirme sırasında Aikido’da en çok dikkat çeken husus neydi?
Geliştirici dostu olması ve gürültüyü azaltmaya yardımcı olan özellikleri. Hedefimiz ürün ekiplerini güçlendirmekti; Aikido'nun bulgulardaki gereksiz gürültüyü azaltmaya yardımcı olan birçok özelliği ve bulgularda gezinmeyi ve çalışmayı kolaylaştıran bir arayüzü sunması gerçekten öne çıkmamızı sağladı.
Aikido'nun geliştirici iş akışlarınıza entegrasyonu ne kadar kolaydı?
Aikido'yu mevcut araç zincirimize entegre etmek son derece kolaydı. Tüm platformlarımızı kutudan çıktığı gibi destekledi ve kurulum yalnızca birkaç dakika sürdü. Hiçbir sürtünme yaşanmadı.
Aikido ekibiyle çalışmak nasıl bir deneyimdi?
Hızlı yanıt ve şeffaflık. Ne zaman bir sorunla karşılaşsak aynı gün içinde yanıt aldık ve birden fazla kez aynı gün içinde düzeltme yayınladılar.
En sevdiğin özellik hangisi?
Şüphesiz gürültü azaltma. Amacım, mühendislerimizin açıkları yönetmek için harcadığı süreyi en aza indirmek ve Aikido bunu tam olarak yapmamıza yardımcı oluyor. Aikido kullanarak gürültüde %75'lik bir azalma gördük.
“Aikido kullanarak gürültüde %75'lik bir azalma gördük.”
Aikido'nun SDLC'nize nasıl entegre olduğu hakkında bize biraz daha bilgi verebilir misiniz?
Aikido doğrudan CI/CD, Jira ve Slack ile entegre olur. Onaylanan sorunlar için hızlı bir şekilde Jira talepleri oluşturabiliriz ve Slack uyarıları, depolara göre doğru ekipleri bilgilendirir. Basit, görünür ve herkesin aynı sayfada kalmasını sağlıyor.
Aikido, Supermetrics'in güvenlik ve zafiyet yönetimi yaklaşımını nasıl değiştirdi?
Temel güvenlik iş akışlarını merkezi hale getirmemize ve otomatikleştirmemize yardımcı oldu. Biz tüm depolarımızda ve imajlarımızda tam görünürlük ile kontrol sağlarken, mühendisler de ürün geliştirmeye odaklanabiliyor.
Aikido'nun ekibinize zaman kazandırdığı veya riskleri azalttığı anlar oldu mu?
Açık kaynaklı zararlı yazılım takibi büyük ölçüde zaman kazandırdı. Aikido'dan önce, riskli paketleri bulmak için raporları manuel olarak inceliyor, ardından etki altında olup olmadığımızı görmek için depolarımızda arama yapıyorduk. Artık süreç tamamen otomatik ve çok daha az hataya açık.
Aikido, mevzuat ve veri koruma gereksinimlerini nasıl destekliyor?
Aikido'nun kapsamlı özellik seti, tüm taramaların etkinleştirilmesini sağlarken ilke uyumluluğunun doğrulanmasını da kolaylaştırıyor. Denetimlere her zaman hazır olduğumuz ve müşterilerimize verdiğimiz sözleri tuttuğumuz konusunda bize güven veriyor.
Aikido'nun etkisini nasıl özetlersiniz?
Aikido'nun kullanım kolaylığı, özellik zenginliği ve gürültü azaltma yetenekleri, bir ürün güvenliği programını ölçeklendirmeyi son derece kolay hale getiriyor.
Özet
Supermetrics artık daha hızlı, daha temiz ve yönetimi daha kolay, geliştirici odaklı bir AppSec iş akışı kullanıyor. %75 daha az gürültü, anında entegrasyonlar ve Jira, Slack ve CI/CD genelinde otomasyon ile güvenlik, artık veri operasyonları kadar sorunsuz bir şekilde ölçekleniyor.
AWS ve Teknik bağlam
Supermetrics, AWS üzerinde bulut tabanlı bir mimari çalıştırarak yığınları genelinde konteynerize edilmiş iş yükleri devreye alıyor. Aikido; konteyner imajlarını taramak için doğrudan AWS Elastic Container Registry (ECR) ile entegre olur, AWS Inspector'dan gelen bulguları içe aktarıp tekilleştirir ve CloudFormation ile Terraform yapılandırmalarındaki hatalı yapılandırmaları tarar. Tüm bunların hepsi, GitHub depolarındaki SAST, SCA ve gizli veri (secrets) bulgularıyla birlikte tek bir panelde sunulur.
Aikido, AWS Marketplace üzerinden edinilebilir ve AWS harcama taahhütlerinize dahil edilir.
