Selam Marcus! Bize biraz kendinden ve TechDivision’ın ne iş yaptığından bahseder misin?
Tabii ki! TechDivision’da Kıdemli Güvenlik Mühendisi olarak çalışıyorum ve aynı zamanda şirketimizin siber güvenlik uygulama topluluğuna da liderlik ediyorum. Tüm mühendislik ekiplerinde yazılım geliştirme döngüsünün güvenliğini sağlamaktan sorumluyum.
TechDivision’a gelince: Klasik bir e-ticaret ajansı olarak yola çıktık, ancak zamanla “dijital kolaylaştırıcı” olarak adlandırdığımız bir yapıya dönüştük. Bu, sadece mağazalar açmakla kalmayıp, veri kaynaklarını entegre ettiğimiz, pazarlama stratejileri oluşturduğumuz ve müşterilerimize dijital dönüşüm süreçlerinin her aşamasında rehberlik ettiğimiz anlamına geliyor. Bugün yaklaşık 140 kişilik bir ekibiz ve ekibin yaklaşık yarısı mühendislik alanında çalışıyor.
Peki, güvenlik bu tabloya nasıl uyum sağlıyor?
Tek kelimeyle: temel. Bizim için güvenlik iki şeyden ibarettir: istikrar ve güven. Dijital stratejiler veya entegre platformlar oluştururken, temellerin sağlam olduğundan emin olmak istiyoruz. Ayrıca müşterilerimizin, verilerini güvende tutmak için elimizden gelen her şeyi yaptığımıza güvenmelerini istiyoruz.
Ayrıca, bilinçli kararlar alabilmemiz için gerekli içgörüler de sağlar. Örneğin, merkezi bir kimlik doğrulama platformu devreye almak istiyorsak, öncelikle riskleri anlamamız gerekir. İşte iyi bir güvenlik sistemi tam da bunu sağlar: bağlam ve netlik.
“Güvenliği daha ciddiye almamız gerekiyor” diye fark ettiğiniz belirli bir an oldu mu?
Evet, önemli bir dönüm noktası 2022’nin başlarında, Adobe Commerce (ve Magento) kurulumlarını hedef alan TrojanOrders saldırıları sırasında yaşandı. TechDivision’ın müşterileri (aynı hafta içinde yamanın uygulanması sayesinde) bu olaydan etkilenmemiş olsa da, bu olay zamanında güvenlik güncellemelerinin aciliyetine ilişkin farkındalığı önemli ölçüde artırdı. Ayrıca, hem şirket içi paydaşların hem de müşterilerin güvenlik yamalarına yaklaşımlarında bir değişime yol açtı. Daha önce, bazı müşteriler önemli güvenlik güncellemelerini aylarca erteliyordu.
Daha sonra, 2024 CosmicSting güvenlik açığı, iyileştirilmiş süreçlerimizin etkinliğini pekiştirmeye yardımcı oldu ve proaktif yaklaşımımızın amaçlandığı gibi işlediğini teyit etti.
Aikido'dan önce güvenlik durumu nasıldı?
Dürüst olmak gerekirse? Biraz kaotik bir durumdu. Farklı mühendislik ekiplerinde sekiz güvenlik sorumlusu vardı. Yeni bir CVE gibi bir durum ortaya çıktığında, her birine ayrı ayrı ulaşarak kendi depolarının etkilenip etkilenmediğini kontrol etmek zorunda kalıyordum. Bu hem zaman alıcı hem de yönetilmesi zordu.
Hatta güvenlik açıklarını takip etmek için kendi iç aracımızı geliştirmeye bile başladık, ancak sonunda bu iş için özel bir çözüm kullanmanın daha mantıklı olduğuna karar verdik. Aikido’ya karar vermeden önce birkaç başka çözümü de denedik.
Neden yeni bir şeyler aramaya başladınız?
Eski aracımız, yani köpek logolu olan, çok havlıyordu ama işini yapamıyordu.
Birkaç faktörün birleşimi. Fiyatlandırma bunlardan biriydi: Daha önce kullandığımız, köpek logolu araç, çok söz veriyordu ama sonuç veremiyordu. Fiyatları önemli ölçüde artırdılar ve aldığımız değere kıyasla bu artış bize haklı gelmedi. Üstelik teknik sınırlamalar da vardı. Altyapımız oldukça standart dışı olduğundan, ihtiyacımız olan entegrasyon düzeyini sağlayamadık.
Ürünle ilgili sorunlar da vardı. IDE eklentileri, büyük depolarda sürekli çöküyordu ve biz de yanlış pozitif sonuçların altında boğuluyorduk. İşler o kadar kötüye gitti ki, geliştiricilerimiz artık bu aracı hiç kullanmaz hale geldi.
Sonra da Aikido’yu keşfettin mi?
Evet! Bizim dikkatimizi çeken şey, bu platformun geliştiriciler tarafından, geliştiriciler için tasarlanmış gibi hissettirmesiydi. Kullanım başlangıcı süreci sorunsuz geçti, destek ekibi hızlı yanıt verdi ve iş akışları son derece mantıklıydı.
Aikido’yu öne çıkaran şey, sanki geliştiriciler tarafından geliştiriciler için tasarlanmış gibi hissettirmesiydi.
Gerçekten takdir ettiğim bir şey de gürültü azaltma özelliğidir. Aikido’nun yaklaşımı, özellikle erişilebilirlik analizi sayesinde, test dosyalarındaki gizli bilgiler veya etkin olmayan bağımlılıklar gibi alakasız bulguları filtrelememize yardımcı oluyor; böylece gerçek ve istismar edilebilir sorunlara odaklanabiliyoruz. Bu hassasiyet düzeyi, güvenlik açıklarını ne kadar verimli bir şekilde sınıflandırabildiğimiz konusunda gözle görülür bir fark yarattı.
Aikido’nun erişilebilirlik analizi, alakasız bulguları elememize yardımcı olur; böylece gerçek ve üzerinde çalışılabilecek sorunlara odaklanabiliriz.
Aikido, müşterilerle çalışma şeklinizi değiştirdi mi?
Bu, hizmet yelpazemizi doğrudan etkilemedi, ancak sunduğumuz değeri kesinlikle artırdı. Artık daha kısa sürede daha fazla güvenlik işini halledebiliyoruz ve bu da müşterilerimize doğrudan fayda sağlıyor.
Ayrıca, projelerimize dahil ettiğimiz temel bir güvenlik paketimiz var ve Aikido’nun kullanılması bu paketi oldukça güçlendiriyor.
Artık daha kısa sürede daha fazla güvenlik işini halledebiliyoruz; bu da müşterilerimize doğrudan fayda sağlıyor.
En sevdiğin özellik hangisi?
Cevabı çok basit: Birden fazla çalışma alanında bağımlılıkları arama yeteneği. Bu özellik, mühendislik ekipleri arasında sorunları önceliklendirme sürecinde çığır açıcı bir gelişme oldu. Ayrıca, AI AutoFix ve VM taramasıgibi bazı yeni özellikleri denemeyi de sabırsızlıkla bekliyorum. Bunlar kolayca yeni favorilerim haline gelebilir.
Aikido ekibiyle çalışmak nasıl bir deneyim oldu?
Açıkçası, harika. Kimlik doğrulama sürecinde bir sorunla karşılaştığımızda, bir hafta içinde çözüldü. Bu tür bir hızlı yanıt verme yeteneği nadir görülür.
İletişimde, özellikle de ortak Slack kanalında gerçek bir açıklık var. Ekibin bu işe gerçekten önem verdiğini ve her gün daha iyi bir ürün geliştirdiğini hissedebiliyorsunuz. Bu çok ferahlatıcı.
Aikido ekibinin bu işe gerçekten önem verdiğini ve her gün daha iyi bir ürün geliştirdiğini hissedebiliyorsunuz. Bu çok ferahlatıcı.
Son düşünceleriniz nelerdir?
Geliştirme ekiplerinizin iş akışını aksatmadan güvenliği ciddiye almak isteyen bir şirket iseniz, Aikido kesinlikle tercih etmeniz gereken bir çözümdür. Verimli, özenle tasarlanmış ve geliştirici dostu bir çözümdür. Güven oluşturmamıza yardımcı oluyor. Sadece müşterilerimizle değil, kendimizle de.
