PSG ist eine Growth-Equity-Firma, die mit Software- und technologiegestützten Dienstleistungsunternehmen zusammenarbeitet, um sie dabei zu unterstützen, transformatives Wachstum zu meistern, strategische Chancen zu nutzen und starke Teams aufzubauen. Mit der Unterstützung von über 150 Unternehmen und der Ermöglichung von über 520 Add-on-Akquisitionen bringt PSG umfassende Investitionserfahrung, tiefgreifendes Fachwissen in Software und Technologie sowie ein starkes Engagement für die Zusammenarbeit mit Managementteams mit. PSG wurde 2014 gegründet und unterhält Büros in Boston, Kansas City, London, Paris, Madrid und Tel Aviv. Um mehr über PSG zu erfahren, besuchen Sie www.psgequity.com.

​

PSG verfolgt einen strategischen und pragmatischen Ansatz für die operative Umsetzung, einschließlich der Sicherheit. Als das Unternehmen die Anwendungssicherheit im gesamten Portfolio vereinheitlichen wollte, wandte es sich an Aikido.

Wir sprachen mit Adam Glick, Chief Information Security Officer bei PSG, darüber, wie Aikido das Unternehmen bei der Gewährleistung der Sicherheit Aikido und welche Rolle die Plattform mittlerweile bei der Sorgfaltspflicht, Überwachung und Befähigung spielt.
‍

Hallo Adam! Könntest du dich und deine Rolle bei PSG kurz vorstellen?

Ich bin der CISO bei PSG. Ich bin seit etwa zwei Jahren in der Firma. Meine Verantwortlichkeiten sind zweigeteilt: Ich beaufsichtige die interne IT und InfoSec bei PSG selbst und fungiere auch als Governance- und Aufsichtsfunktion für die Portfolio-Unternehmen. Das bedeutet, sicherzustellen, dass unsere Portfolio-Unternehmen („PortCos“ oder „Portfolio-Unternehmen“) in Sicherheit investieren, ihre Programme weiterentwickeln und sicheren Code ausliefern.

​

Wie unterstützt PSG seine Portfoliounternehmen in puncto Sicherheit?

Wir haben ein Operations-Team, das unsere PortCos im Tagesgeschäft unterstützt: sei es bei der Technologieauswahl, der Personalbeschaffung, der GTM-Strategie oder eben der Sicherheit. Wir arbeiten eng mit ihnen zusammen, um Anbieter zu bewerten, Richtlinien zu erstellen, Audits vorzubereiten oder Compliance-Herausforderungen anzugehen.

Im Bereich Sicherheit sind wir da, um unseren Portfoliounternehmen zu helfen zu verstehen, was benötigt wird, und die richtigen Tools und Partner zu finden, um dies zu erreichen.

​

Welche Rolle spielt die Anwendungssicherheit in den von Ihnen geförderten Frameworks?

Wir sind davon überzeugt, dass AppSec einer der Grundsätze jeder Entwicklungsorganisation AppSec . Wir erwarten von unseren PortCos, dass sie sichere Codierungspraktiken priorisieren, sowohl im Hinblick auf das Unternehmensrisiko als auch auf die Reputation. Unsere Aufgabe ist es, unsere PortCos bei der Bewertung und Einführung sicherer Codierungstools zu unterstützen. 

​

Was veranlasste PSG, eine portfolioübergreifende Initiative für Anwendungssicherheit zu prüfen?

Jede Initiative, die wir portfolioübergreifend umsetzen können, ist ein Gewinn. Wenn wir einen programmatischen oder systemischen Bedarf (insbesondere in Bereichen wie Sicherheit) identifizieren können, lohnt es sich, diesen auf einheitliche Weise zu lösen. 

​

Wie haben Sie die richtigen Tools für diese Art von Initiative identifiziert?

Wir haben regelmäßige Kontaktpunkte mit unseren PortCos und verstehen deren Reifegrad. Dieses Maß an Engagement gibt uns Einblick, wo gemeinsame Lösungen portfolioübergreifend unterstützend wirken könnten.

Die größte Herausforderung bei der Einführung einer portfolioweiten Anwendungsinitiative ist die Minimierung der Reibung. Jedes Unternehmen ist anders. Die Frage ist: Was ist der gemeinsame Nenner? Wir brauchten eine Lösung, die für die Mehrheit der Unternehmen mit minimalen Bereitstellungshürden funktionieren konnte.

​

Wie hat sich Aikido also Aikido ?

Die einfache Bereitstellung war ein wichtiger Faktor. Sobald wir unsere Sorgfaltspflicht erfüllt und den Vertrag unterzeichnet hatten, konnten wir ein Unternehmen mit Aikido verbinden Aikido buchstäblich innerhalb von Sekunden mit dem Scannen beginnen. Keine Feinabstimmung, keine Kopfschmerzen. Allein dadurch wurde eine große Hürde beseitigt.

​

„Sobald wir unsere Sorgfaltspflicht erfüllt und den Vertrag unterzeichnet hatten, konnten wir ein Unternehmen mit Aikido verbinden Aikido buchstäblich innerhalb von Sekunden mit dem Scannen beginnen.“

​

Aber darüber hinaus auch die Bandbreite der technischen Fähigkeiten: SAST, DAST, CSPM, secrets alles in einer einzigen Plattform integriert, war wirklich überzeugend. Für PSG war die Bereitstellung mit geringem Aufwand verbunden und lieferte hervorragende Ergebnisse.

Und die Beziehung zur Geschäftsleitung war wichtig. Wir möchten sicher sein, dass wir im Falle eines Problems Menschen an der Spitze haben, die uns helfen, das Problem schnell zu lösen. Unsere Erfahrungen mit dem Führungsteam von Aikido positiv.

​

Wie sind Sie den Rollout über das gesamte Portfolio hinweg angegangen?

Wir haben den Rollout ernst genommen. Es war nicht nur: „Hier ist ein Tool, benutzt es.“ Wir hatten Awareness-Sessions, Sprechstunden, 1:1-Gespräche mit Dev-Leadern, Dokumentation, Slack-Channels für Echtzeit-Support… Im Grunde alles, was wir tun konnten, um sicherzustellen, dass unsere PortCos erfolgreich waren.

​

„Es war nicht nur: ‚Hier ist ein Tool, benutzt es.‘ Wir hatten Awareness-Sessions, Sprechstunden, Einzelgespräche... im Grunde alles, was wir tun konnten, um sicherzustellen, dass unsere PortCos auf Erfolg ausgerichtet waren.“

​

Sowohl Aikido PSG hatten Berührungspunkte. Wir waren über mehrere Kanäle erreichbar, um schnelle Reaktionen zu gewährleisten. Die Enablement-Seite war genauso wichtig wie die Technologie selbst.

​

Welche Rolle spielt das Aikido bei Ihrer Aufsicht?

Da ist viel Potenzial. Heute nutzen wir es, um schnell wichtige CVEs zu identifizieren (wie „Wer hat CVE-2024-XXXX?“) und betroffene Unternehmen zu kontaktieren.

Allerdings drängen wir auf leistungsfähigere Berichtsfunktionen. Wir würden gerne mehr Trends auf Makroebene sehen. Dinge wie portfolioweite Schwachstellentrends oder die Behebungsraten einzelner Unternehmen. Aikidohat dieses Feedback sehr positiv aufgenommen, und wir arbeiten gemeinsam an Verbesserungen.

​

Wie würden Sie das „Vorher“ und „Nachher“ der Sicherheitskoordination bei PSG beschreiben?

Früher war das Tooling fragmentierter. Jedes PortCo wählte, was für sie funktionierte. Das ist nicht grundsätzlich schlecht, aber es erschwert die Überwachung und den Support erheblich.

Nun gibt es etwas Zentrales, das vorher nicht da war. Wir haben positives Feedback von den Benutzern erhalten. Das Tool ist einfach zu übernehmen und wirklich hilfreich. Wir sind noch früh in der Quantifizierung der Auswirkungen, aber anekdotisch war es sehr positiv.

​

Haben Sie begonnen, Aikido andere Weise als nur zur Portfoliosicherheit einzusetzen?

​

„Wir beginnen damit, Aikido unsere Due-Diligence-Prozesse zu integrieren … Dadurch erhalten wir einen fundierteren Überblick über das, was wir erwerben.“

​

Ja. Wir beginnen damit, Aikido unsere Due-Diligence-Prozesse zu integrieren. Wenn wir neue Unternehmen im Hinblick auf eine mögliche Übernahme bewerten, können wir sie in Aikido einspeisen Aikido erhalten sofort Einblicke in ihre Sicherheitslage, ohne Zugriff auf den Code selbst zu benötigen. Wir sind der Meinung, dass wir dadurch einen fundierteren Überblick über das erhalten, was wir erwerben.

​

Gibt es Ratschläge für andere, die Technologieinitiativen über ein Portfolio hinweg einführen?

​

„Es gibt keine Einheitslösung, die für alle passt, aber es gibt eine Lösung, die für die meisten passt, und wir glauben, dass Aikido genau diesen Sweet Spot Aikido .“

​

Absolut. Eine Sache, die wir gelernt haben, ist, im IT-Bereich nicht übermäßig vorschreibend zu sein. Wir verfolgen den Ansatz, den ich als „Netflix Road Well-Traveled“ bezeichne (basierend auf dem Managementstil des Unternehmens). Wir teilen Unternehmen mit, welche Ergebnisse wir benötigen. Zum Beispiel ein sicheres Coding-Programm, aber wir schreiben nicht genau vor, wie sie dorthin gelangen.

Aikido ein gutes Beispiel: Es ist eine starke Empfehlung, keine Vorschrift. Wenn es für Sie funktioniert, großartig. Wenn nicht, finden Sie etwas, das funktioniert. Es gibt keine Einheitslösung, aber es gibt eine Lösung, die für die meisten passt, und wir glauben, dass Aikido genau diesen Sweet Spot Aikido .

​

Abschließende Gedanken?

​

Aikidoist ein großartiger Partner. Ob es um Unterstützung im Slack-Kanal, die Verfügbarkeit der Führungskräfte oder die Reaktionsfähigkeit des Produkts geht – sie haben stets hervorragende Arbeit geleistet. Es ist eine großartige Beziehung.

​