1.500+ Repositories, keine Sicherheitsüberlastung: wie November Five die Sicherheit angeht

Treffen Sie November Five: Eine Digitalagentur, die auf Innovation setzt

Hallo Leute! Erzählen Sie mir ein wenig über sich und über November Five?

Hallo Team Aikido! Wir sind Stijn, Expert Leader Architecture, und Tim, Director of Product & Technology, bei November Five. 

November Five ist ein Unternehmen für digitale Produkte, das mit Unternehmen zusammenarbeitet, um wirkungsvolle digitale Kundenerlebnisse zu schaffen. Wir sind spezialisiert auf Strategie, Design und Technologie und liefern Lösungen, die den Unternehmenszielen und den Bedürfnissen der Nutzer entsprechen. November Five ist der Ort, an dem Digitales auf Emotionen trifft. Hier erwecken wir einprägsame digitale Erlebnisse zum Leben, die ankommen, inspirieren und nachhaltig sind. Mit unserem maßgeschneiderten MX™-Framework zapfen wir angeborene Wünsche an und wecken echte Emotionen, um Sie aus dem Meer der Gleichheit herauszuheben - mit dem Ziel, Loyalität über die Zufriedenheit hinaus zu wecken.

Das Unternehmen besteht zu 95 % aus Produkt- und Technikspezialisten. Wir arbeiten in kundenorientierten Teams, was bedeutet, dass wir für jeden neuen Kunden/jedes neue Projekt eine maßgeschneiderte Gruppe von Kollegen (mit Fachkenntnissen in den Bereichen Produkt, Design und Technik) auswählen, um die Bedürfnisse des Kunden zu erfüllen. Unser Architekturteam ist an großen Iterationen oder Partnerschaften beteiligt und stellt sicher, dass alles, was wir tun, skalierbar bleibt - dazu gehört auch die Sicherheit. 

‍

Wie ist November Five im Bereich der Digitalagenturen und im Vergleich zum Wettbewerb positioniert?

November Five ist bekannt für seinen Fokus auf Innovation und die Bereitstellung von hochwertigen digitalen Lösungen. Wir heben uns durch unseren strategischen Ansatz für die digitale Transformation und unser Engagement für die Schaffung von Mehrwert für unsere Kunden ab. Wir legen Wert auf die Kombination von Kreativität und Technologie, um uns in der digitalen Agenturlandschaft abzuheben.

‍

Sicherheit in digitalen Agenturen: ein Gebot
‍

"Das Produkt von Aikido ist zu 100 % für den Agenturkontext konzipiert: Es ist leicht zu implementieren, umfasst eine Vielzahl von Funktionen, ermöglicht ein angemessenes Triangulationssystem zwischen den Teams und gibt nur dann Warnmeldungen aus, wenn sie notwendig sind.

Welchem Zweck sollte die Sicherheit im Kontext einer Digitalagentur dienen?

Sicherheit ist für Digitalagenturen von entscheidender Bedeutung, um sensible Kundendaten zu schützen, das Vertrauen zu erhalten und die Einhaltung von Vorschriften zu gewährleisten. Sie hilft, Datenschutzverletzungen und Cyberangriffe zu verhindern, die schwerwiegende finanzielle und rufschädigende Folgen haben können.

Um ein wenig mehr ins Detail zu gehen: Wir entwickeln CX-Produkte, die sehr nah am Kern des Geschäfts unserer Kunden sind. In der Regel arbeiten wir daran, die intrinsische Kundenloyalität und -bindung in den wichtigsten digitalen Kanälen mit Kundenkontakt zu erhöhen. Die meisten dieser Projekte werden von uns kontinuierlich weiterentwickelt. Bei einigen Projekten arbeiten wir saisonal. Wie Sie sich vorstellen können, ist es wichtig, dass wir einen guten Überblick darüber behalten, was in der gesamten Branche passiert. Deshalb sind Aikidos Komponenten wie SCA und SAST so wichtig für uns: Wir behalten den Überblick über alle Projekte und werden nur dann alarmiert, wenn wir uns auf die Behebung von Schwachstellen für Kunden konzentrieren müssen.

Ich kann mir vorstellen, dass bei Digitalagenturen die Kosten und Gewinnspannen von den Kunden oft unter die Lupe genommen werden. Andererseits kann man auch keine Kompromisse bei der Sicherheit eingehen, wenn man riskiert, dass Kundendaten angreifbar werden. Wie hilft Ihnen Aikido dabei, damit umzugehen?

Aikido bietet eine Sicherheitslösung, die es digitalen Agenturen ermöglicht, hohe Sicherheitsstandards aufrechtzuerhalten, ohne ihre Kostenstruktur übermäßig zu belasten. Aikido bietet Tools und Prozesse, die helfen, Risiken effizient zu identifizieren und zu minimieren, um Kundendaten zu schützen und das Vertrauen zu erhalten und gleichzeitig die Kosten effektiv zu verwalten. 

Die Sicherheit wirkt sich in zweierlei Hinsicht auf digitale Agenturen aus:

• Erstens sehen wir, dass Sicherheitsanforderungen und Compliance-Fragebögen in der Ausschreibungs- oder Vertragsphase immer häufiger hinzugefügt werden. Aikido hilft uns dabei, eine Menge Kästchen zu überprüfen.
• Zweitens können wir durch die Gewährleistung robuster Sicherheitsmaßnahmen zusätzliche Dienstleistungen anbieten. Zum Beispiel bieten wir nach der Auslieferung eines Produkts Supportverträge an. Diese Support-Verträge beinhalten Sicherheitsupdates, die wir mit Hilfe von Aikido verwalten können.

Das Produkt von Aikido ist zu 100 % für den Agenturkontext konzipiert: Es ist leicht zu implementieren, umfasst viele Funktionen, ermöglicht eine angemessene Aufteilung zwischen den Teams und bietet Warnmeldungen nur dann, wenn sie notwendig sind. 

Die Herausforderung der Sicherheit: Die Verwaltung von über 1.500 Repositories
‍

"Wir haben keine eigenen Sicherheitsingenieure - wir brauchen Sicherheit, die sich selbst bedienen kann. Aikido ermöglicht das mit einem dezentralen Workflow."

Was war der Auslöser dafür, dass Sie sagten: "Wir müssen uns ernsthaft um die Sicherheit kümmern"?

Die zunehmende Häufigkeit und Raffinesse von Cyber-Bedrohungen machen deutlich, dass ein ernsthafteres Sicherheitskonzept erforderlich ist. Darüber hinaus sind der regulatorische Druck und die Anforderungen der Kunden an den Datenschutz wichtige Faktoren.

Was hat Sie vor dem Aikido nachts in Bezug auf die Sicherheit wachgehalten?

Schwachstellen werden ständig gefunden. Im Kontext einer Agentur erfordern viele unserer Partnerschaften kontinuierliche Arbeit, aber nicht alle. Bei vielen Produkten gibt es eine Saison, in der die Entwicklung für längere Zeit eingestellt wird. Aikido nimmt uns die Sorge, dass sich auftauchende Probleme ohne unser Wissen auf bestehende Produkte auswirken, für die wir verantwortlich sind. Aikido stärkt unser Vertrauen und damit auch das Vertrauen unserer Kunden in uns.

Welche Herausforderungen oder Schmerzen hatten Sie, bevor Sie sich für Aikido entschieden haben?

Es war schwierig, einen objektiven und vollständigen Überblick über den Zustand aller Codebases und Produkte zu erhalten. Manuelle Eingriffe ergeben immer nur eine Momentaufnahme, die innerhalb von Tagen oder Wochen veraltet, was für uns nicht akzeptabel war. Ein zentraler Überblick über den Sicherheitsstatus aller aktiven und inaktiven Projekte mit einer an unseren Standards ausgerichteten Klassifizierung und Dringlichkeit ist für unseren SDLC und unser langfristiges Engagement für unsere Kunden unerlässlich.

Haben Sie vor Aikido ein Sicherheitsinstrument benutzt?

Wir hatten mehrere Tools in unserer CI/CD-Pipeline und einen häufigen Überprüfungszyklus durch unser Technik- und Supportteam, die aber nur einen kleinen Teil des Sicherheitspuzzles abdeckten. Es fehlte uns an einem angemessenen Triaging, an der Möglichkeit, eine repositoryübergreifende Tiefe zu schaffen und an einer Möglichkeit, nur bei wichtigen Dingen alarmiert zu werden.

Wir haben konkurrierende Produkte evaluiert, und fast alle zielen auf Produktteams ab, mit einer kleinen Anzahl von Repositories und vielen Teams, die daran arbeiten. Die meisten von ihnen boten auch nur Enterprise-Preise an, sie würden uns einfach in den Ruin treiben (Snyk zum Beispiel). Aikido bietet uns ein großartiges Werkzeug, Sicherheit, aber vor allem einen Prozess, der uns in unserem Geschäftskontext hilft. Sowohl was die Funktionen als auch was das Preismodell betrifft.

Warum Aikido? Die perfekte Lösung für Agenturen
‍

Wir haben konkurrierende Produkte evaluiert, und fast alle zielen auf Produktteams ab, mit einer kleinen Anzahl von Repositories und vielen Teams, die daran arbeiten. Die meisten von ihnen boten auch nur Unternehmenspreise an, sie würden uns einfach in den Ruin treiben (Snyk zum Beispiel).

‍

Da wir in einer Agentur tätig sind, war Aikido eine natürliche Wahl, da es sich als führendes Unternehmen in unserer Branche positioniert. Die Notwendigkeit, mehr als 1.500 Repositories zu verwalten, mit einer Mischung aus aktivem, unterstütztem und archiviertem Status und einer relativ kleinen Anzahl von Entwicklungsteams, erfordert ein Produkt, das für uns entworfen und entwickelt wurde. Wir haben keine dedizierten Sicherheitsingenieure, weil wir uns auf das Wesentliche konzentrieren und es jedem ermöglichen wollen, sich selbst um die Technik zu kümmern. Das ist es, was wir an Aikido schätzen: Wenn es einmal eingerichtet ist, kann man eine dezentralisierte Arbeitsweise zulassen.

‍

Viele der Git-Repositories in Agenturen können auch verstreut sein: einige befinden sich beim Kunden, andere auf der Agenturseite. Aikido gibt uns die Flexibilität, alle Umgebungen richtig einzurichten und sie nahtlos in einer zentralen Übersicht hinzuzufügen.

‍

Außerdem können viele der Git-Repositorys (ob GitLab, Bitbucket oder andere) in Agenturen auch verstreut sein. Manchmal befinden sie sich beim Kunden, manchmal auf der Agenturseite. Mit Aikido erhalten wir die Flexibilität, alle Umgebungen richtig einzurichten und sie nahtlos in einer zentralen Übersicht hinzuzufügen.

Welche Erfahrungen haben Sie bei der Zusammenarbeit mit dem Aikido-Team gemacht?

Die Zusammenarbeit mit dem Aikido-Team war von Anfang an fantastisch. Da wir beide belgische Unternehmen sind, hatten wir einen schnellen Start. Dennoch hat der Klick des Aikido-Teams, das uns geholfen hat, unseren Kontext, unser Setup und unsere Herausforderungen zu verstehen, es möglich gemacht, die Plattform schnell einzuführen und sofortigen Nutzen aus ihr zu ziehen.

‍

Was ist Ihr Lieblingsmerkmal?

Das beliebteste Merkmal ist - auch auf die Gefahr hin, meta zu klingen - der kontinuierliche Strom von Ergänzungen zur Plattform. Aikido hat ein Händchen dafür, wertvolle Funktionen in gleichmäßigem Tempo hinzuzufügen. Sie hören auf ihre Kunden und handeln danach. In der Praxis gefällt uns die saubere Integration in den Pull-Requests, und wir freuen uns darauf, dass unsere Ingenieure die kürzlich hinzugefügte KI-Autofix-Funktion nutzen werden.

‍