De un vistazo
- Unificó la seguridad de un conjunto amplio y diverso de tecnologías y equipos en una sola vista
- Despliegue de Aikido por fases, empezando por el producto de código
- Aikido se adaptó a las prioridades de soberanía de KEYES, con los datos albergados en la UE bajo la legislación belga
- Redujo el trabajo manual de comprobación de hallazgos, liberando tiempo para otras prioridades
- Vio cómo una función solicitada se convertía en una PR, se corregía y se desplegaba en pocos días
- Observamos cómo los desarrolladores pedían que Aikido se integrara más a fondo en su flujo de trabajo
Centralización de la seguridad en una gran infraestructura
KEYES, anteriormente NRB Group, es uno de los grupos de TIC más grandes de Bélgica. Con sede en Herstal y fundada en 1987, cuenta con unos 3.700 empleados, opera sus propios centros de datos en Bélgica y ofrece servicios soberanos a una amplia gama de equipos y tecnologías. Dicha escala constituye el trasfondo de su labor de seguridad: una organización de seguridad madura que gestiona una gran variedad de entornos.
Fabrice Servais, ingeniero de seguridad en KEYES, forma parte del equipo de seguridad y operaciones que gestiona el SOC, la gestión de vulnerabilidades y la respuesta a incidentes. Su grupo trabaja para integrar aún más la seguridad de las aplicaciones en el ciclo de vida del desarrollo, y el primer problema que debían resolver era la visibilidad en un amplio conjunto de tecnologías y equipos.
"Damos soporte a muchas tecnologías diferentes y a distintas pilas tecnológicas en numerosos equipos. Aikido nos ayuda a acortar distancias, centralizar nuestros hallazgos de seguridad y mejorar nuestra postura de seguridad general".
El desafío
Complejidad en múltiples tecnologías
KEYES da soporte a numerosas pilas tecnológicas en diversos equipos y opera sus propios centros de datos con cargas útiles locales. Para un equipo de seguridad y operaciones que ya cuenta con una operativa de seguridad madura, la dificultad nunca radicó en la estructura. El reto consistía en recopilar los hallazgos de cada uno de esos entornos en un único lugar, en lugar de hacer un seguimiento pila por pila y equipo por equipo.
Una única vista para todos los entornos
Por diseño, los hallazgos se encontraban dispersos en múltiples entornos, y cada equipo estaba cerca del suyo. KEYES también los quería en un solo lugar para que el equipo de seguridad pudiera supervisar todos los entornos de manera global, y no solo equipo por equipo.
Por qué KEYES eligió Aikido
Menos ruido, triaje más rápido
Cuando el equipo comparó las alternativas, el coste de trabajar con múltiples herramientas se tradujo en la carga operativa de revisar los hallazgos capa por capa de forma manual. Aikido agrupó los hallazgos según lo que más importaba y realizó el triaje dentro de la plataforma, lo que redujo el tiempo que el equipo dedicaba al análisis y le permitió centrarse en otras tareas.
La soberanía, una prioridad para KEYES
La soberanía es una prioridad estratégica para KEYES. Como empresa belga con centros de datos propios y ofertas de servicios soberanos, recibe cada vez con más frecuencia las mismas preguntas por parte de sus clientes: qué ocurre con mis datos, qué ocurre con mis hallazgos y dónde se aloja mi aplicación. Que Aikido compartiera esa postura —al tratarse de una empresa belga cuyos datos residen en la UE bajo la legislación belga— supuso una ventaja adicional que se sumó a la idoneidad de la plataforma. Fabrice señaló que aún hay margen para avanzar más hacia la residencia de datos en las instalaciones (on-premises), algo que el equipo planea seguir explorando.
"Uno de los comentarios que escuchamos con más frecuencia es: qué pasa con mis datos y dónde está ubicada mi aplicación. El hecho de que Aikido sea una empresa belga, con datos que residen en la UE y operados bajo la ley belga, se ajustaba perfectamente a esa prioridad".
Empezar por el código, diseñado para expandirse
En lugar de un despliegue masivo repentino, KEYES está incorporando Aikido módulo a módulo, una decisión meditada debido al tamaño de la infraestructura. El equipo comenzó con el producto de código, priorizando su entrega a los desarrolladores antes de ampliar el alcance. El plan ya está en marcha: el análisis de cloud y de ataques será lo siguiente a medida que continúe el despliegue, y se espera que los equipos de infraestructura aprovechen la postura que Aikido va construyendo en el proceso.
"Estamos iniciando nuestro camino para integrar Aikido en nuestro ciclo de vida de desarrollo con el producto de código, pero también vemos una necesidad directa del análisis de cloud y de ataques".
Desarrolladores que pidieron más
La acogida por parte de los desarrolladores fue excelente desde el primer despliegue. En lugar de imponer la herramienta a los equipos, el departamento de seguridad observó cómo los desarrolladores comprendían los beneficios por sí mismos y solicitaban que Aikido se integrara aún más en su forma de trabajar.
"Cuando desplegamos Aikido, tuvimos una de las mejores acogidas que recordamos. Los desarrolladores comprendieron los beneficios por sí mismos y nos pidieron que lo integráramos aún más en su flujo de trabajo".
Una solución implementada en pocos días
La colaboración quedó patente durante la integración. KEYES necesitaba una función de la que carecía para desplegar el broker de Aikido utilizando GitOps, de modo que el equipo pudiera ejecutar Aikido en sus repositorios privados. Tras plantearlo Fabrice, se creó una pull request, se solucionó el problema y se desplegó en un par de días. Ese breve ciclo de retroalimentación influyó en la percepción que el equipo tenía de Aikido tanto como cualquier otra característica individual.
"Nos faltaba una función para desplegar el broker con GitOps. Me puse en contacto con ellos y, en un par de días, ya había una PR, una corrección y un despliegue. El ciclo de retroalimentación es muy corto. Demuestra que Aikido escucha y toma medidas inmediatas".
Los próximos pasos de KEYES
KEYES utiliza actualmente Aikido para el análisis de código. El análisis de la nube y de ataques son los siguientes módulos previstos a medida que avanza el despliegue. El pentesting de IA se está valorando como una herramienta adicional junto con los servicios de pentesting que KEYES ya ofrece a sus propios clientes, integrándolo en el ciclo de vida del desarrollo de forma más automatizada en lugar de ejecutarlo por separado.
Veredicto final
La lectura que hace Fabrice de la relación es que se mantuvo sólida mucho después del proceso de ventas.
"La conversación no termina cuando se firma el contrato. Recibimos soporte antes de contratar a Aikido, y ese soporte sigue estando ahí mientras planificamos e integramente".
