¿Qué ha cambiado desde la última vez que hablamos?
Desde que se publicó este artículo por primera vez, nos hemos reunido de nuevo con Nicolai Brogaard. Tanto el panorama de amenazas como la forma en que Visma utiliza Aikido han evolucionado. En la actualidad, el grupo gestiona análisis de composición de software, SAST, AutoFix y los informes de cumplimiento normativo en Aikido en toda su cartera, y hay dos aspectos que han cambiado especialmente: la amenaza contra la que se defiende Visma y hasta qué punto está dispuesta a llevar el uso de Aikido.
Un problema en la cadena de suministro que ahora afecta a todo el mundo
La detección de malware ha pasado a ocupar un lugar prioritario en la estrategia de Visma. Si antes un problema en la cadena de suministro se limitaba a un único paquete comprometido, ahora los ataques tienen un alcance mucho mayor, y el grupo se prepara para ello en lugar de limitarse a esperar que no ocurra. Aikido señala si un paquete contiene contenido malicioso, y el equipo trata un paquete malicioso activo de forma diferente a un CVE conocido.
ataques a la cadena de suministro Antes se trataba de un único paquete que podía verse comprometido. Ahora atacan todo y a todo el mundo, todo a la vez. Debemos dar por hecho que las cadenas de suministro que utilizamos acabarán siendo vulneradas.
Con un CVE conocido, es posible que no tengas acceso al código vulnerable. Sin embargo, si hay código malicioso ejecutándose en un paquete, tienes acceso al 100 %. En ese momento, te encuentras ante un incidente de seguridad en curso.
Defensa en campo abierto
Una de las cosas que Nicolai valora es que Aikido comparta sus investigaciones con la comunidad en general, y no solo con sus propios clientes.
La seguridad es un juego en el que todos defendemos al mismo tiempo. Si dejamos de compartir nuestras vulnerabilidades, nuestras experiencias y nuestras investigaciones, los atacantes ganan, porque nos quedamos callados.
Comprobación de la protección del dispositivo
Nicolai está probando la protección de dispositivos; le llama la atención lo ligera que resulta en los equipos de los desarrolladores, al tiempo que protege los ecosistemas de paquetes, y le gusta poder establecer su propio intervalo de espera para las actualizaciones en lugar de aceptar el predeterminado del ecosistema.
pentesting de IA y auditoría de código
El equipo está evaluando pentesting de IA, con el objetivo de apoyar a sus pentesters humanos en lugar de sustituirlos. Además, está estudiando la auditoría de código, incluyendo un uso que se ajusta muy bien al modelo de Visma: analizar el estado de una base de código como parte de la diligencia debida técnica que se lleva a cabo en las empresas que podría adquirir.
El uso de estas herramientas nos ayuda a llevar a cabo la diligencia debida técnica sobre posibles objetivos de adquisición.
Si le preguntas a Nicolai qué significa todo eso, vuelve a centrarse.
La mayor ventaja que le veo al aikido es que me ayuda a estar atento a las señales, de modo que sé a qué debo enfrentarme y qué debo priorizar a continuación.
Publicado originalmente el 21 de noviembre de 2024
Hace poco, compartimos que Visma eligió Aikido Security para sus empresas de cartera. Visma desarrolla y suministra software a pequeñas y medianas empresas, así como al sector público, mejorando la vida laboral de millones de personas en todo el mundo. Su software simplifica y automatiza procesos de trabajo complejos y manuales, mejorando la vida cotidiana de las personas.
Recientemente, tuvimos el placer de recibir a Nicolai Brogaard, Service Owner de SAST y SCA en nuestra sede belga. Visma desarrolla y suministra software a pequeñas y medianas empresas, así como al sector público, mejorando la vida laboral de millones de personas en todo el mundo. Su software simplifica y automatiza procesos de trabajo complejos y manuales, mejorando la vida cotidiana de las personas. Nikolai forma parte del equipo de pruebas de seguridad de Visma, un gran conglomerado con más de 200 empresas en cartera. Visma se toma la seguridad muy en serio, es algo en lo que se centran en todos los ámbitos. Con 15.000 empleados (6.000 de los cuales son desarrolladores) y un equipo de seguridad dedicado de 100 personas, la seguridad es el núcleo de sus operaciones.
Estas son sus reflexiones sobre el panorama de seguridad en evolución y el papel que Aikido desempeña en él.
¿Por qué Aikido? SCA y un enfoque todo en uno
En Visma, habíamos pensado en desarrollar nuestras propias herramientas de seguridad, pero nos dimos cuenta rápidamente de que no era el mejor uso de nuestros recursos. Ahí es donde entró Aikido. Cubrieron las lagunas que nuestras herramientas existentes, especialmente SAST (Pruebas de seguridad de aplicaciones estáticas), no cubrían. Con Aikido, no tuvimos que esforzarnos en desarrollar herramientas desde cero.
Todo gira en torno al potente análisis de composición de software (SCA) de Aikido, la herramienta definitiva para el análisis de dependencias. Las empresas de Visma podrán monitorizar continuamente su código, encontrar las vulnerabilidades importantes y solucionarlas al instante. Además de la herramienta SCA, la plataforma todo en uno de Aikido ofrece soluciones como SAST, reuniendo las mejores soluciones de código abierto para Ruby, Python, Golang y PHP.
La experiencia regional es clave
Al estar basados en la UE, es realmente importante para nosotros trabajar con proveedores que entiendan las regulaciones específicas a las que nos enfrentamos, especialmente aspectos como el GDPR y los requisitos de residencia de datos. Aikido lo entiende. Conocen a fondo las regulaciones de la UE, lo que nos facilita mucho el cumplimiento de aspectos como mantener los datos en suelo nacional.
Aikido monitoriza de cerca la legislación europea sobre ciberseguridad y privacidad, como GDPR, NIS2, CRA, DORA, etc. Gracias a la función de informes de Aikido, el seguimiento del cumplimiento técnico de seguridad de su empresa se vuelve extremadamente sencillo.
Cómo Visma evalúa el software de seguridad
Cuando buscamos nuevos proveedores, nos guiamos por la regla del 80/20: si una solución se adapta a las necesidades del 80% de nuestras empresas de cartera, merece la pena considerarla. Aikido lo consiguió para nosotros. Más allá de SCA, ofrecen funciones adicionales, como abordar los puntos ciegos de seguridad y ayudar con CSPM (Cloud Security Posture Management). Estos beneficios adicionales realmente cerraron el trato para nosotros.
Intentar reducir el ruido que realmente generan [otras] herramientas – profundizando en la relación señal/ruido – es una pesadilla. Aikido lo resolvió a la perfección para nosotros.
Los beneficios de Aikido
Aikido no solo ha mejorado nuestra postura de seguridad, sino que también nos ha ayudado a descubrir cosas que nos faltaban con nuestras herramientas anteriores. Inicialmente, los contratamos para SCA, pero rápidamente nos dimos cuenta de que podían hacer mucho más, especialmente en la reducción del tiempo y el esfuerzo dedicados a lidiar con falsos positivos. Su función de autorremediación es un gran ahorro de tiempo para nuestros equipos. Elimina el ruido, para que nuestros desarrolladores puedan centrarse en lo que realmente importa.
La función de auto-remediación de Aikido supone un gran ahorro de tiempo para nuestros equipos. Elimina el ruido, permitiendo a nuestros desarrolladores centrarse en lo que realmente importa.
Transición fluida
La red de Visma es colosal y está en constante crecimiento, por lo que el software que utilizamos no solo debe fortalecer la postura de seguridad de nuestras empresas de cartera, sino que también debe ser sin complicaciones. En términos prácticos, Visma valora la simplicidad del onboarding, y Aikido ofrece precisamente eso: un onboarding rápido, fácil y efectivo en toda la red de Visma.
En Visma, tenemos un portal interno para desarrolladores de seguridad llamado Hubble, que facilita enormemente la incorporación de nuevas herramientas. Con Aikido, fue solo cuestión de integrarlas en Hubble y dar un pequeño empujón a nuestras empresas de cartera para que hicieran el cambio. La mayoría de las empresas hicieron la transición rápidamente, y el resto lo hará con el tiempo a medida que monitorizamos el riesgo internamente. La API de Aikido se integra a la perfección con la gestión de inventario de Visma. Así, con unos pocos clics, la red de Visma puede empezar a usar Aikido en poco tiempo.
Lo que a Visma le encanta de Aikido
¿Lo mejor de Aikido? Son superproactivos. Tenemos un canal de Slack compartido con ellos y siempre responden rápidamente y resuelven cualquier problema que nuestros equipos encuentren. Es genial sentir que somos más que un simple cliente: realmente se preocupan por asegurarse de que estamos sacando el máximo partido a su producto.
Aikido no es solo un proveedor para nosotros, es un verdadero socio. Su capacidad de respuesta y dedicación para ayudarnos a tener éxito marcan la diferencia.
El punto débil de Visma en la presupuestación de seguridad
Brogaard señala: “Las herramientas de seguridad cuestan demasiado.”
La mayoría de las plataformas similares tienen un modelo de precios centrado en el desarrollador, lo que genera costes impredecibles y convierte la elaboración de presupuestos en un dolor de cabeza innecesariamente desafiante y persistente. En consecuencia, para Visma, el modelo de precios se convierte en un punto crítico de seguridad de alta prioridad. Considerando el tamaño de Visma y su continua expansión de red, el aumento desmesurado de los costes y la imprevisibilidad en torno a la elaboración de presupuestos se vuelven insostenibles.
Aikido Security resuelve el problema anterior del modelo de precios de Visma con su plan empresarial de usuarios ilimitados, una tarifa plana que se conoce de antemano. Sin costes desconocidos = una gran ventaja para la elaboración de presupuestos.
Aspectos destacados:
- Cubriendo brechas de seguridad: Aikido ilumina los puntos ciegos que nuestras otras herramientas pasan por alto.
- Automatización que Ahorra Tiempo: La función de autorremediación reduce el ruido, permitiendo a nuestros desarrolladores centrarse en problemas reales.
- Onboarding sencillo: Con el portal interno de Visma, la incorporación de empresas a Aikido es muy sencilla.
- Soporte proactivo: El soporte rápido y receptivo de Aikido a través de plataformas de mensajería instantánea (como Slack) nos hace sentir que estamos en buenas manos.
- Precios predecibles: Aikido utiliza tramos de precios que incluyen usuarios y paquetes de características. Precios transparentes, sin cargos ocultos por usuario o por uso.
