Athumi spielt eine zentrale Rolle bei der Ermöglichung eines vertrauenswürdigen Datenaustauschs in Flandern, einer der drei Regionen Belgiens (in der etwa 60 % der belgischen Bevölkerung leben). Als Datenvermittler muss Athumi ein Höchstmaß an Datenschutz, compliance und Entwicklerunterstützung bieten. Wir sprachen mit David Van den Brande, dem CTO von Athumi, um zu erfahren, wie das Unternehmen seine Sicherheit skaliert und warum Aikido ein wichtiger Partner auf diesem Weg wurde.

"Aikido ist ein dynamischer Partner, der genau zum richtigen Zeitpunkt mit dem richtigen Fokus reagiert, um den wachsenden Bedarf an effektiver Cybersicherheit zu decken."

Können Sie sich selbst und Ihre Rolle bei Athumi vorstellen?

Ich bin seit den Anfängen bei Athumi, als wir noch ein Programm innerhalb der Digitaal Vlaanderen waren, einer Agentur der flämischen Regierung, die an der digitalen Transformation der öffentlichen Dienste arbeitet. Ich bin sowohl für die Technologie als auch für die Infrastruktur zuständig und leite Architekturentscheidungen, um Kohärenz, Agilität und strategische Eignung in der gesamten Organisation zu gewährleisten.

Was mich angezogen hat, war das Ausmaß der Herausforderung: die Verschmelzung von Altsystemen mit neuen Plattformen, das Gleichgewicht zwischen dezentralen Entwicklungsteams und einer einheitlichen Governance, um hohe Qualitätsstandards und die compliance auf Unternehmensebene sicherzustellen. Gleichzeitig muss man ehrgeizige Innovationsprojekte vorantreiben und die Technologie nutzen, um die Zusammenarbeit zwischen öffentlichen und privaten Partnern aufzubauen und zu fördern.

Was ist die Aufgabe von Athumi, und wie unterstützen Sie die belgische Regierung?

Athumi wurde als Teil des flämischen Resilienzplans während der COVID-Periode gegründet, um die wirtschaftliche Erholung in Flandern, Belgien, zu unterstützen. Wir agieren als Datenvermittler, dem Regierungen und private Organisationen vertrauen, um den sicheren Fluss persönlicher und geschäftlicher Daten zu gewährleisten.

GDPR und NIS2 schufen wichtige Schutzmechanismen, aber sie erschwerten auch die Kommunikation zwischen den Systemen. Wir sahen eine Marktlücke: Wie kann man Daten freischalten, ohne das Vertrauen zu verletzen? Athumi hilft, diese Lücke zu schließen - technisch, rechtlich und organisatorisch.

Wie wichtig ist Sicherheit bei Ihrer Arbeit?

Die Sicherheit steht im Mittelpunkt unserer Arbeit. Wir haben sowohl mit persönlichen Daten als auch mit vertraulichen Geschäftsinformationen zu tun. Vertrauen ist nicht verhandelbar. Unser gesamtes Ökosystem hängt davon ab.

Aus diesem Grund haben wir frühzeitig in ein spezielles Informationssicherheitsmanagementsystem (ISMS) investiert, einen CISO eingestellt und unsere Organisation so strukturiert, dass die Cybersicherheit zu einer Aufgabe auf Vorstandsebene wird.

Vor welchen Herausforderungen standen Sie, bevor Sie mit Aikido arbeiteten?

Wir hatten mehrere Herausforderungen:

• Fragmentierung: Wir hatten mehrere Hosting-Ziele, jedes mit seiner eigenen CI/CD-Pipeline und spezifischen Bereitstellungsregeln.
• Overhead beiCompliance : Zentralisierte Audits kollidierten mit teamspezifischen Arbeitsabläufen.
• Entwickelnde Distanz zum Risiko: Die Entwickler waren sich der Auswirkungen auf die Sicherheit erst spät im Entwicklungszyklus bewusst.
• Mangelnde Transparenz: Die Führungsebene konnte nicht getrost sagen: "Wir liefern sicheren Code".

Das Sicherheitsbewusstsein war sehr unterschiedlich. Während der Vorstand eine klare Zusicherung benötigte, brauchten die Entwickler greifbare, umsetzbare Werkzeuge. Das Motto "Walk your talk" funktioniert nur, wenn die Leute die Mittel haben, es auch umzusetzen.

"Ich wollte nicht der Außenseiter-CTO sein, der die Sicherheit von oben nach unten durchsetzt. Aikido hilft Entwicklern, sich zu entwickeln, indem sie sicheres Coding im Kontext lernen; jede Schwachstelle, die sie beheben, macht sie besser darin, die nächste zu verhindern.

Was war der Auslöser, Ihren Sicherheitsansatz zu formalisieren?

Als wir unsere zuvor fragmentierte Hosting-Landschaft teamübergreifend vereinheitlichten, konnten wir unsere CI/CD-Pipeline neu gestalten. Unser Beirat, der sich aus unabhängigen Sicherheitsexperten zusammensetzte, stellte uns vor die Frage: "Wie wollen Sie diese neue Pipeline sicher gestalten?

Das hat uns dazu veranlasst, nach Lösungen zu suchen, die dezentralisierte Teams unterstützen, ohne eine einheitliche Pipeline zu erzwingen. 

Wie haben Sie Aikido entdeckt?

Aikido kam durch eine Mischung aus Empfehlungen von Kollegen und Anregungen des Beirats zu uns. Wir waren dabei, den idealen sicheren CI/CD-Prozess abzubilden und zu bewerten, wie Teams arbeiten. Aikido zeichnete sich durch seine Flexibilität aus: Es fügte sich nahtlos in die bestehenden Team-Workflows ein - ob MOB'ing auf Main, Arbeit mit Feature Branches oder Versand über PRs.

Das Team konnte die Kontrolle behalten und gleichzeitig von klaren, automatisierten Sicherheitskontrollen profitieren.

Was ist Ihnen bei Ihrer Bewertung aufgefallen?

Drei Dinge fielen auf:

1. Feedback von Entwicklern bei der Arbeit: Unsere Teams lernen durch die Praxis, nicht durch die Teilnahme an formalen Sicherheitskursen. Aikido passt zu dieser Denkweise.
   
2. Unaufdringlichkeit: Es läuft als Sidecar. Es ergänzt unsere Arbeitsabläufe, ohne sie zu blockieren.
   
3. Unmittelbarer Nutzen: Die Entwickler erhalten schnelle Einblicke, die ihnen helfen, Probleme im Arbeitsfluss zu beheben.
   

"Die Feedbackschleife ist unmittelbar. Entwickler brauchen keine Schulungen, sie lernen durch Handeln, und Aikido unterstützt das".

Wie verlief die Integration?

Wir haben ganz einfach angefangen: IDE-Plugins, Slack-Benachrichtigungen, Jira-Integration, damit die Teams sofort erste Ergebnisse sehen konnten. Die niedrige Einstiegshürde war der Schlüssel. Jetzt haben wir die Laufzeitsicherheit und die Cloud-Konfiguration erweitert. Sie können es in Ihrem Tempo skalieren, Team für Team.

"Es ist nicht eingebettet, sondern ein Beistellwagen. Sie behalten die Kontrolle über Ihren Produktionsweg, während Aikido die Sicherheit sichtbar und umsetzbar macht."

Wie hat Aikido Ihre Arbeitsweise verändert?

Sicherheit ist nicht länger ein Hindernis oder ein Silo. Es ist eine Gewohnheit: Teil der Art und Weise, wie unsere Teams Code ausliefern. Wir sind aktiv dabei, sie zu etablieren:

• Mehr Bewusstsein bei Entwicklern
• Schnellere Behebung von Sicherheitslücken
• Bessere Prüfungsvorbereitung
• Zentrale Dashboards für Transparenz
  

"Aikido hilft uns, unser Engagement für die Sicherheit in Entwicklungs- und Laufzeitumgebungen in die Tat umzusetzen."

Hat es zur compliance beigetragen?

Ganz genau. Wir arbeiten an der ISO-Zertifizierung, und Aikido spielt eine große Rolle bei der Dokumentation, Verfolgung und Kommunikation unserer Sicherheitslage.

Sicherheit ist kein Kästchen, mit Aikido verbessern wir sie strukturell und demonstrieren mühelos und jederzeit Reife.

Was würden Sie anderen Tech-Führungskräften in der Regierung sagen?

Beginnen Sie mit Vertrauen. Schieben Sie Ihren Teams keine Werkzeuge unter, sondern geben Sie ihnen die richtigen an die Hand. Sicherheit ist keine Back-Office-Funktion. Sie ist eine Frage des Produkts, der Plattform und des Geschäfts.

Aikido entwickelt sich mit uns. Es legt uns nicht auf eine bestimmte Arbeitsweise fest. Diese Flexibilität ist von entscheidender Bedeutung, wenn man dezentralisierte Teams verwaltet und gleichzeitig die compliance skaliert.

Warum ist es wichtig, dass Aikido europäisch ist?

Es ist wichtiger, als man denkt. Sicherheit ist strategisch. Die Unterstützung europäischer Innovationen steht im Einklang mit unseren Werten der wirtschaftlichen Widerstandsfähigkeit, der Souveränität, des Vertrauens und der compliance des sich entwickelnden europäischen Rechtsrahmens. Einen europäischen (und in unserem Fall belgischen) Partner zu haben, der unseren Kontext versteht, ist ein großer Vorteil.

Wie würden Sie Aikido in einem Satz beschreiben?

"Aikido ist ein dynamischer Partner, der genau dann mit dem richtigen Fokus auftaucht, wenn man ihn am meisten braucht: inmitten hoher interner Sicherheitsstandards, Gesetzgebung und Geopolitik."