¡Hola, Marcus! ¿Podrías contarnos un poco sobre ti y a qué se dedica TechDivision?

¡Claro! Soy Ingeniero de Seguridad Senior en TechDivision, donde también lidero nuestra comunidad de práctica de ciberseguridad. Soy responsable de asegurar el ciclo de vida de desarrollo en todos los equipos de ingeniería.

En cuanto a TechDivision: comenzamos como una agencia clásica de e-commerce, pero hemos crecido hasta convertirnos en lo que llamamos un habilitador digital. Esto significa que no solo lanzamos tiendas, sino que integramos fuentes de datos, construimos estrategias de marketing y guiamos a nuestros clientes a través de toda su transformación digital. Hoy, somos alrededor de 140 personas, con aproximadamente la mitad del equipo trabajando en ingeniería.

¿Entonces, cómo encaja la seguridad en ese panorama?

En una palabra: fundamental. Para nosotros, la seguridad se basa en dos cosas: estabilidad y confianza. Cuando construimos estrategias digitales o plataformas integradas, queremos estar seguros de que los cimientos son sólidos. Y queremos que nuestros clientes confíen en que estamos haciendo todo lo posible para mantener sus datos seguros.

También nos proporciona la información necesaria para tomar decisiones informadas. Por ejemplo, si queremos implementar una plataforma de autenticación centralizada, primero necesitamos comprender los riesgos. Eso es lo que proporciona una buena seguridad: contexto y claridad.

¿Hubo un momento específico en el que te diste cuenta de que "necesitamos tomarnos la seguridad más en serio"?

Sí, un punto de inflexión clave llegó a principios de 2022 durante los ataques TrojanOrders dirigidos a las instalaciones de Adobe Commerce (y Magento). Aunque los clientes de TechDivision no se vieron afectados (gracias al despliegue de parches en la misma semana), el incidente aumentó significativamente la concienciación sobre la urgencia de las actualizaciones de seguridad a tiempo. También provocó un cambio en la forma en que tanto los stakeholders internos como los clientes abordaban los parches de seguridad. Antes, algunos clientes posponían importantes actualizaciones de seguridad durante meses.

Más tarde, la vulnerabilidad CosmicSting de 2024 ayudó a reforzar la eficacia de nuestros procesos mejorados, confirmando que su enfoque proactivo estaba funcionando según lo previsto.

¿Cómo era la seguridad antes de Aikido?

¿Sinceramente? Un poco caótico. Tenía ocho campeones de seguridad en diferentes equipos de ingeniería. Cada vez que surgía algo como una nueva CVE, tenía que contactar con cada uno de ellos para comprobar si sus repositorios estaban afectados. Era una tarea que consumía mucho tiempo y difícil de gestionar.

Incluso empezamos a construir nuestra propia herramienta interna para rastrear vulnerabilidades, pero finalmente decidimos que tenía más sentido usar una solución dedicada. Probamos algunas otras antes de decantarnos por Aikido.

¿Qué te hizo empezar a buscar algo nuevo?

Nuestra herramienta anterior, la del logo del perro, ladraba mucho pero no cumplía lo prometido.

Una mezcla de cosas. El precio fue un detonante: nuestra herramienta anterior, la del logo del perro, ladraba mucho pero no cumplía. Subieron los precios significativamente, y no nos pareció justificado en función del valor que estábamos obteniendo. Además, teníamos limitaciones técnicas. Nuestra infraestructura es bastante no estándar, por lo que no pudimos obtener el nivel de integración que necesitábamos.

También hubo problemas con el producto. Su plugin para IDE se bloqueaba constantemente en repositorios grandes, y nos ahogábamos en falsos positivos. Llegó un punto en que nuestros desarrolladores ya ni siquiera usaban la herramienta.

¿Y entonces encontraste Aikido?

¡Sí! Lo que nos llamó la atención fue que parecía haber sido construido por desarrolladores, para desarrolladores. La experiencia de onboarding fue fluida, el soporte fue receptivo y los flujos de trabajo simplemente tenían sentido.

Lo que hizo que Aikido destacara fue la sensación de que había sido creado por desarrolladores, para desarrolladores.

Una cosa que realmente aprecio es la reducción de ruido. El enfoque de Aikido, especialmente con su análisis de alcanzabilidad, nos ayuda a filtrar los hallazgos irrelevantes, como secretos en archivos de prueba o dependencias inactivas, para que podamos centrarnos en problemas reales y explotables. Ese nivel de precisión ha marcado una diferencia notable en la eficiencia con la que podemos clasificar las vulnerabilidades.

análisis de alcanzabilidad de Aikido nos análisis de alcanzabilidad filtrar los resultados irrelevantes para que podamos centrarnos en cuestiones reales y explotables.

¿Ha cambiado Aikido la forma en que trabajas con los clientes?

No ha cambiado nuestra oferta de servicios per se, pero definitivamente ha aumentado el valor que ofrecemos. Ahora podemos realizar más trabajo de seguridad en menos tiempo, lo que beneficia directamente a nuestros clientes.

También tenemos un paquete de seguridad base que incluimos en los proyectos y tener Aikido implementado fortalece bastante ese paquete.

Ahora podemos realizar más trabajo de seguridad en menos tiempo, lo que beneficia directamente a nuestros clientes.

¿Cuál es tu característica favorita?

Es fácil: la capacidad de buscar dependencias en múltiples espacios de trabajo. Ha supuesto un gran cambio a la hora de clasificar los problemas entre los equipos de ingeniería. También estoy deseando probar algunas de las nuevas funciones, como la corrección automática con IA y escaneo de máquinas virtuales. Podrían convertirse fácilmente en mis nuevas favoritas.

¿Cómo ha sido su experiencia trabajando con el equipo de Aikido?

Sinceramente, fantástico. Cuando tuvimos un problema con el flujo de autenticación, se solucionó en una semana. Ese tipo de capacidad de respuesta es poco común.

Hay una verdadera apertura en la comunicación, especialmente en el canal de Slack compartido. Se nota que el equipo se preocupa de verdad y está construyendo un producto mejor cada día. Es refrescante.

Se nota que el equipo de Aikido se preocupa genuinamente y está construyendo un producto mejor cada día. Es refrescante.

¿Reflexiones finales?

Si es una empresa que quiere tomarse la seguridad en serio sin añadir fricción a sus equipos de desarrollo, Aikido es una elección obvia. Es eficiente, reflexivo y amigable para desarrolladores. Nos está ayudando a generar confianza. No solo con nuestros clientes, sino también con nosotros mismos.