Auf einen Blick
- Sechs separate AppSec durch eine einheitliche Plattform ersetzt
- Reduzierte Sicherheitsmeldungen und verbesserte Priorisierung von Schwachstellen
- Verbesserte Zusammenarbeit zwischen Sicherheits- und Ingenieurteams
- Schnellere Amortisierung und Fehlerbehebung
- Bereitstellung übersichtlicher Sicherheits-Dashboards die Führungskräfte
- Ermöglichte es Sicherheitsteams, als Schutzwall statt als Blockierer zu fungieren.
Herausforderung
Als virtuelle Chief Information Security Officer (vCISO), die unter anderem für Prove arbeitet, unterstützt Amanda Hartle Unternehmen bei der Konzeption und Umsetzung moderner Sicherheitsprogramme. In vielen Umgebungen stieß sie auf ein ähnliches Muster: Die Anwendungssicherheitsstacks waren im Laufe der Zeit organisch gewachsen.
Jedes Tool wurde eingeführt, um ein bestimmtes Problem zu lösen. Einzeln betrachtet machten sie Sinn. Zusammen ergaben sie jedoch ein fragmentiertes und schwer zu verwaltendes Ökosystem.
„In einer Umgebung hatten wir AppSec für AppSec sechs verschiedene Tools. Jedes davon erzeugte seine eigenen Warnmeldungen, Dashboards und Workflows.“
Mit der Zeit ähnelte der Sicherheitsstack zunehmend dem, was Amanda als „Frankenstein“-System bezeichnet: ein Zusammenschluss mehrerer Tools, die nie dafür konzipiert waren, als eine einzige Plattform zu funktionieren.
Diese Fragmentierung führte zu mehreren operativen Herausforderungen:
- Überlappende Warnmeldungen über mehrere Tools hinweg
- Keine einheitliche Sichtweise auf Anwendungssicherheitsrisiken
- Schwierigkeiten bei der Priorisierung von Schwachstellen
- Reibungen zwischen Sicherheitsteams und Entwicklern
Sicherheitsprogramme, die auf zu vielen unverbundenen Tools basieren, verlangsamen Teams oft, anstatt ihnen zu helfen, schneller voranzukommen. Für Amanda steht dieses Ergebnis in direktem Widerspruch zu der Philosophie, die sie in ihre Arbeit als vCISO einbringt.
Sicherheit sollte Entwicklern ermöglichen
Amanda ist der Meinung, dass Sicherheit die Entwicklerteams unterstützen sollte, anstatt sie zu behindern.
„Sicherheit sollte Ingenieurteams nicht behindern. Sie sollte ihnen vielmehr Leitplanken bieten, die ihnen helfen, schneller voranzukommen.“
Dazu sind jedoch Tools erforderlich, die Entwickler auch tatsächlich nutzen möchten. Wenn Sicherheitstools zu viele Warnmeldungen generieren oder ein Wechsel zwischen mehreren Systemen erforderlich machen, wird es für Entwickler schwierig zu erkennen, was tatsächlich behoben werden muss.
Das Ziel war es, die Sicherheitsarchitektur zu vereinfachen und gleichzeitig sowohl den Sicherheits- als auch den Entwicklungsteams einen klareren Überblick über die tatsächlichen Risiken zu verschaffen.
Lösung
Nach der Bewertung mehrerer Optionen entschied sich Prove für Aikido als Grundlage seines Anwendungssicherheitsprogramms.
Aikido mehrere Sicherheitsfunktionen in einer einzigen Plattform und lässt sich direkt in die Arbeitsabläufe von Entwicklern integrieren. Anstatt Warnmeldungen über mehrere Tools hinweg zu korrelieren, sehen Teams nun Schwachstellen, Priorisierungsinformationen und Hinweise zur Behebung an einem Ort.
Durch diese Umstellung konnte sich das Sicherheitsteam auf die tatsächlich wichtigen Schwachstellen konzentrieren.
Warum Prove sich für Aikido entschieden hat und die Auswirkungen
Während des Bewertungsprozesses legte Amanda den Schwerpunkt auf Tools, die den Sicherheitsstack vereinfachen und sich gleichzeitig nahtlos in die technischen Arbeitsabläufe integrieren lassen.
Mehrere Faktoren stachen hervor:
- Konsolidierung mehrerer AppSec auf einer Plattform
- Klare Priorisierung von Schwachstellen statt lauter Warnmeldungen
- Nahtlose Integration in Entwickler-Workflows
- Schnelle Bereitstellung und schnelle Amortisierung
Durch den Ersatz von sechs separaten Tools wurde die Sicherheitsinfrastruktur vereinfacht und der Betriebsaufwand reduziert. Entwickler konnten Probleme auch schneller beheben, da Schwachstellen direkt mit dem Code verknüpft waren.
Amanda beschreibt diese Erfahrung oft mit einer einfachen Analogie:
„Wenn Aikido ein Auto Aikido , wäre es ein Porsche.“
Leistungsstark, effizient und auf Leistung ohne unnötige Komplexität ausgelegt.
Fazit
Durch die Zusammenführung von sechs separaten Tools auf einer einzigen Plattform Aikido Prove dabei, sein Anwendungssicherheitsprogramm zu vereinfachen und gleichzeitig die Priorisierung von Schwachstellen zu verbessern.
Anstatt einen fragmentierten Stack zu verwalten, haben Sicherheitsteams nun einen klareren Überblick über Anwendungsrisiken und können sich auf den Schutz der wichtigsten Elemente konzentrieren, ohne die Entwicklung zu verlangsamen.
Amanda fasst zusammen:
„Wenn man ein Tool findet, das eine solche Amortisationszeit und schnellere Fehlerbehebung bietet, verändert dies die Arbeitsweise von Sicherheitsteams.“
Das Ergebnis ist eine einfachere Möglichkeit, Anwendungssicherheitsprogramme auszuführen: eine Plattform anstelle einer Vielzahl unterschiedlicher Tools.
