Vom Flickwerk zur Proaktivität: Wie HiringBranch Sicherheit und compliance vereinheitlicht

Hallo Eric! Kannst du uns ein wenig über dich und HiringBranch erzählen?

Klar! Ich bin der CTO bei HiringBranch. Ich habe vor etwa 12-15 Jahren als einziger Entwickler angefangen, und wir sind zu einem kleinen, aber fokussierten Team von 10 Ingenieuren, einschließlich ML-Leuten, gewachsen.

Ursprünglich waren wir im Bildungsbereich tätig, aber heute sind wir auf Bewertungen vor der Einstellung spezialisiert, insbesondere auf die Bewertung von Kommunikation und Soft Skills mithilfe von NLP und maschinellem Lernen. Was uns von anderen unterscheidet, ist, dass wir die Bewerber in einem offenen Format antworten lassen. Anstelle von Multiple-Choice-Fragen analysieren wir, was Menschen tatsächlich sagen, um ihre Fähigkeiten zu bewerten. Das ist ein viel natürlicherer und genauerer Weg, um menschliche Qualitäten zu bewerten.

Welche Rolle spielt die Sicherheit bei der Einstellung von Technikern?

Es geht vor allem um Vertrauen. Wenn Unternehmen unsere Plattform nutzen, vertrauen sie uns sensible Bewerberdaten an. Wir haben die Verantwortung, diese Daten zu schützen, nicht nur, weil es das Richtige ist, sondern auch, weil es unsere Marke und unsere Glaubwürdigkeit widerspiegelt.

Gab es einen Moment, in dem Ihnen klar wurde: "Wir müssen die Sicherheit ernst nehmen"?

Ja, absolut. In den ersten Tagen, vor allem, als wir hauptsächlich mit kleineren Kunden zusammenarbeiteten, war die Sicherheit kein großes Thema. Aber als wir vor etwa 5 oder 6 Jahren begannen, in den Unternehmensbereich einzusteigen, änderte sich das schnell. Die Kunden stellten uns Fragen, auf die wir keine guten Antworten hatten. Das war ein Weckruf.

Wie sahen Ihre Sicherheitsabläufe vor Aikido aus?

"Wir hatten Open-Source-Tools, Microsoft-Plattformen, Docker-basierte Scans ... und nichts sprach miteinander. Es war ein Chaos."

Ich hatte ein Docker-Image, das ich lokal ausführte, um den Code zu scannen. Dann erstellte ich einen Bericht und schob ihn manuell irgendwo hin. Das war umständlich und fehleranfällig.

Wir haben einen Frankenstein-Mix von Tools verwendet: Open-Source-Scanner, etwas von Microsoft in Azure, SonarQube, AWS Security Hub... alles zusammengefügt. Und natürlich sprach keines von ihnen miteinander. Das war unübersichtlich und schwer zu pflegen.

Und wie sind Sie auf Aikido gestoßen?

Wir haben uns vor etwa zwei Jahren zum ersten Mal mit Aikido beschäftigt. Aber es gab viel zu tun, so dass wir uns nicht sofort damit befasst haben. Als wir schließlich einen Sicherheitsingenieur einstellten, begann er, sich mit Aikido zu beschäftigen, und kam mit den Worten zurück: "Das ist alles, was wir brauchen. Nach und nach begannen wir, die alten Tools zu entfernen. Die Umstellung erfolgte nicht von heute auf morgen, sondern es war eine praktische, durchdachte Migration.

Warum war Aikido die richtige Wahl?

"Alles ist an einem Ort. Die Slack- und Azure DevOps-Integrationen sind ein echter Wendepunkt.

Der Unterschied für uns war:

• Konsolidierung: Von fünf Tools auf eines reduziert.
• Automatisierung: Schwachstellen werden in Slack aufgedeckt, wo wir Entwickler markieren und schnell handeln können.
• Berichterstattung: "Bei jeder Sicherheitssitzung erstelle ich einen sauberen Bericht mit allem, was wir wissen müssen. Was ist neu, was wurde behoben, es ist alles da."
• Benutzerfreundlichkeit: Es funktioniert einfach. Keine Schulungen oder komplexen Einstellungen.
  
  

Lassen Sie uns über compliance sprechen. Wie haben Sie vor Aikido mit der compliance umgegangen?

Ja, wir sind offiziell nach SOC 2 Typ II zertifiziert. Der Prozess begann vor etwa zwei Jahren, und während es bei Typ I vor allem um die Dokumentation von Richtlinien ging, war Typ II eine ganz andere Sache. Hier begann die eigentliche operative Strenge und die Mühe der Beweissammlung.

Früher mussten wir Berichte manuell aus verschiedenen Tools exportieren und in Vanta hochladen. Das war umständlich und zeitaufwändig. Und jetzt? Es wird automatisch synchronisiert. Es ist nahtlos.

Es war umständlich und manuell. Wir hatten geplant, Sicherheitsberichte aus verschiedenen Tools zu exportieren und sie dann in Vanta, unsere compliance , hochzuladen.

Welche Rolle hat Aikido auf Ihrem Weg zur compliance gespielt?

Aikido, und insbesondere die Vanta-Integration, hat während unseres SOC 2 Typ II-Prozesses einen großen Unterschied gemacht. Sobald wir es eingeschaltet hatten, automatisierte es unseren gesamten Workflow zur Sammlung von Sicherheitsnachweisen. Schwachstellen, Abhilfemaßnahmen, Kontrollabdeckung - all das wurde im Hintergrund synchronisiert, ohne dass wir irgendetwas manuell nachverfolgen mussten.

"Wir haben Aikido nicht wegen der compliance eingeführt, aber als wir sahen, wie sauber es sich in Vanta integrieren lässt, war es für uns ein Kinderspiel. Wir brauchen nur auf ein paar Schaltflächen zu klicken, und schon sind die Beweise da".

Das bedeutete, dass wir keine Berichte mehr exportieren, keine PDFs mehr hochladen und uns bei Prüfungen nicht mehr über fehlende Unterlagen ärgern mussten. Anstatt die compliance nachzuweisen, konnten wir uns darauf konzentrieren, unsere Sicherheitslage tatsächlich zu verbessern.

"Aikido hat uns den Stress bei der compliance genommen. Die Automatisierung funktioniert einfach - alles ist prüfungsbereit, ohne dass man sich darum kümmern muss."

Was früher ein vierteljährliches Gedränge war, wurde zu einem ruhigen, kontinuierlichen Prozess: immer eingeschaltet, immer bereit. Genau so, wie es sein sollte.

Wie hat sich das Sicherheitsdenken Ihres Teams seit der Einführung von Aikido verändert?

Wir sind viel proaktiver geworden. Anstatt auf Probleme zu reagieren oder - schlimmer noch - sie zu übersehen, erhalten wir jetzt Echtzeit-Warnungen. Die Überprüfung erfolgt kontinuierlich. Es herrscht weniger Chaos, weniger Rätselraten. Alles ist strukturiert und sichtbar.

Welche Erfahrungen haben Sie bei der Zusammenarbeit mit dem Aikido-Team gemacht?

Ehrlich gesagt, großartig. Wir haben monatliche Check-Ins, die sehr nützlich sind, um etwas über neue Funktionen zu erfahren. Das Support-Team ist reaktionsschnell und wir haben sogar einen eigenen Slack-Kanal mit ihnen, was die Kommunikation einfach und schnell macht.

Und schließlich, wenn Sie Aikido in einem Satz zusammenfassen müssten?

"Seelenfrieden für den gesamten Sicherheitsprozess".

‍

Ganz im Ernst. Früher war es ein chaotisches Durcheinander von Werkzeugen und Aufgaben. Jetzt ist alles ruhig, sauber und unter Kontrolle.