Wie KEYES in einem großen, vielfältigen Immobilienbestand eine einheitliche Sicherheitsperspektive geschaffen hat mit Aikido

Auf einen Blick

• Zusammenführung der Sicherheit für eine große, diverse Technologielandschaft und zahlreiche Teams in einer einzigen Ansicht
• Schrittweise Einführung von Aikido, beginnend mit dem Code-Produkt
• Abgleich von Aikido mit den Souveränitätsanforderungen von KEYES: Speicherung der Daten in der EU nach belgischem Recht
• Reduzierung des manuellen Aufwands bei der Überprüfung von Funden, um Zeit für andere Prioritäten zu schaffen
• Umsetzung eines gewünschten Features als Pull Request, Fix und Deployment innerhalb weniger Tage
• Beobachtung, wie Entwickelnde eine tiefere Integration von Aikido in ihren Workflow einfordern

Zentralisierung der Sicherheit über eine große Infrastruktur hinweg

KEYES, ehemals NRB Group, ist eine der größten ICT-Gruppen Belgiens. Das Unternehmen wurde 1987 gegründet, hat seinen Hauptsitz in Herstal, beschäftigt rund 3.700 Mitarbeiter, betreibt eigene Rechenzentren in Belgien und bietet souveräne Services für zahlreiche Teams und Technologien. Diese Größenordnung bildet den Rahmen für die Sicherheitsarbeit: eine ausgereifte Sicherheitsorganisation, die eine Vielzahl von Umgebungen verwaltet.

Fabrice Servais, Security Engineer bei KEYES, arbeitet im Sicherheits- und Betriebsteam, das SOC, Schwachstellenmanagement und Incident Response betreut. Seine Gruppe arbeitet daran, die Anwendungsicherheit noch stärker in den Entwicklungslebenszyklus zu integrieren. Das erste zu lösende Problem war dabei die Transparenz über eine breite Palette von Technologien und Teams hinweg.

"Wir unterstützen viele verschiedene Technologien und Tech-Stacks in zahlreichen unterschiedlichen Teams. Aikido hilft uns dabei, Lücken zu schließen, unsere Sicherheitsergebnisse zu zentralisieren und unseren allgemeinen Sicherheitsstatus zu verbessern."

Die Herausforderung

Komplexität über viele Technologien hinweg

KEYES unterstützt zahlreiche verschiedene Tech-Stacks in vielen Teams und betreibt eigene Rechenzentren mit lokalen Workloads. Für ein Sicherheits- und Betriebsteam, das bereits über eine ausgereifte Sicherheitsinfrastruktur verfügt, war die Struktur nie das eigentliche Problem. Die Herausforderung bestand vielmehr darin, die Ergebnisse aus all diesen Umgebungen an einem zentralen Ort zusammenzuführen, anstatt sie Stack für Stack und Team für Team nachzuverfolgen.

Eine einzige Ansicht für jede Umgebung

Ergebnisse waren bedingt durch die Architektur über viele Umgebungen hinweg verteilt, wobei jedes Team nahe an seinen eigenen Systemen arbeitete. KEYES wollte diese ebenfalls an einem zentralen Ort haben, damit das Sicherheitsteam alle Umgebungen gleichzeitig im Blick behalten kann und nicht nur teamweise vorgehen muss.

Warum sich KEYES für Aikido entschieden hat

Weniger Rauschen, schnellere Triage

Als das Team Alternativen verglich, zeigte sich, dass die Arbeit mit vielen verschiedenen Tools einen enormen operativen Aufwand bedeutete, da Ergebnisse manuell Schicht für Schicht überprüft werden mussten. Aikido gruppierte die Ergebnisse nach ihrer Relevanz und übernahm die Triage direkt in der Plattform. Dadurch wurde der Zeitaufwand für die Analyse stark reduziert und Kapazitäten für andere Aufgaben wurden frei.

Souveränität als Priorität bei KEYES

Souveränität ist für KEYES eine strategische Priorität. Als belgisches Unternehmen mit eigenen Rechenzentren und souveränen Serviceangeboten sieht sich das Unternehmen immer häufiger mit denselben Fragen der eigenen Kunden konfrontiert: Was passiert mit meinen Daten, was passiert mit meinen Ergebnissen, wo befindet sich meine Anwendung? Dass Aikido – ein belgisches Unternehmen, dessen Daten unter belgischem Recht in der EU liegen – zu dieser Ausrichtung passt, war ein zusätzlicher Pluspunkt neben der fachlichen Passgenauigkeit der Plattform. Fabrice wies darauf hin, dass es noch Potenzial für eine Weiterentwicklung hin zu On-Premises-Daten gibt, was das Team weiterhin prüfen möchte.

"Eine der Rückmeldungen, die wir immer häufiger hören, lautet: Was passiert mit meinen Daten, wo befindet sich meine Anwendung? Die Tatsache, dass Aikido ein belgisches Unternehmen ist, dessen Daten in der EU liegen und das unter belgischem Recht betrieben wird, entsprach genau dieser Priorität."

Beginn mit Code, ausgelegt für Expansion

Anstatt einer einzigen großangelegten Einführung führt KEYES Aikido Modul für Modul ein – eine bewusste Entscheidung angesichts der Größe der Infrastruktur. Das Team startete mit dem Code-Produkt und legte den Schwerpunkt darauf, es den Entwickelnden an die Hand zu geben, bevor der Anwendungsbereich vergrößert wurde. Der weitere Plan ist bereits klar: Cloud- und Attack-Scanning folgen als Nächste im Rahmen der fortlaufenden Einführung, und die Infrastrukturteams werden voraussichtlich auf die Sicherheitsvorgaben setzen, die Aikido schrittweise aufbaut.

"Wir beginnen unsere Reise zur Integration von Aikido in unseren Entwicklungslebenszyklus mit dem Code-Produkt, sehen aber direkt auch den Bedarf für Cloud- und Attack-Scanning."

Entwickelnde, die nach mehr verlangten

Die Resonanz bei den Entwickelnden war von der ersten Einführung an sehr positiv. Anstatt das Tool den Teams aufzuzwingen, beobachtete die Sicherheitsabteilung, wie die Entwickelnden die Vorteile selbst erkannten und darum baten, Aikido noch stärker in ihre Arbeitsabläufe zu integrieren.

"Als wir Aikido eingeführt haben, war das eine der positivsten Reaktionen, die wir je erlebt haben. Die Entwickelnde haben die Vorteile selbst verstanden und uns gebeten, es fester in ihren Workflow zu integrieren."

Ein Fix, der innerhalb von Tagen ausgeliefert wurde

Die Qualität der Partnerschaft zeigte sich bereits während der Integration. KEYES benötigte eine Funktion, die fehlte, um den Broker von Aikido via GitOps zu deployen, damit das Team Aikido gegen seine privaten Repositories laufen lassen konnte. Nachdem Fabrice das Thema angesprochen hatte, folgten innerhalb weniger Tage ein Pull-Request, ein Fix und das Deployment. Diese kurze Feedbackschleife hat die Wahrnehmung von Aikido im Team genauso stark geprägt wie jedes einzelne Feature.

"Uns fehlte eine Funktion, um den Broker mit GitOps zu deployen. Ich habe mich gemeldet, und innerhalb weniger Tage gab es einen PR, einen Fix und ein Deployment. Die Feedbackschleife ist extrem kurz. Das zeigt, dass Aikido zuhört und sofort handelt."

Die nächsten Schritte für KEYES

KEYES nutzt Aikido derzeit für das Code-Scanning. Cloud- und Attack-Scanning sind die nächsten Module, die im Zuge der weiteren Einführung geplant sind. KI-Penetrationstests werden als zusätzliches Tool geprüft – ergänzend zu den Pentesting-Diensten, die KEYES bereits für seine eigenen Kunden anbietet, und stärker automatisiert in den Entwicklungslebenszyklus integriert, anstatt separat durchgeführt zu werden.

Fazit

Fabrices Einschätzung nach hat die Beziehung auch nach dem Vertriebsprozess gut gehalten.

"Die Diskussion endet nicht, wenn der Vertrag unterschrieben ist. Wir wurden bereits vor der Zusammenarbeit mit Aikido unterstützt, und diese Unterstützung ist auch jetzt bei der Planung und Integration weiterhin da."

​