Desafío
BMW quería permitir que los equipos internos utilizaran las tecnologías en la nube que necesitaban, al tiempo que implementaba controles que no añadieran fricción ni costes adicionales a los proyectos.
El fabricante buscaba una solución independiente de la nube que pudiera conectarse a través de múltiples nubes y proporcionar un punto centralizado para la visibilidad y la gobernanza de la seguridad.
Garantizar una seguridad sólida era primordial y, al mismo tiempo, mantener la agilidad de los equipos de desarrollo.
La solución
BMW redujo la fricción y creó flujos de trabajo más fluidos entre la seguridad y DevOps al integrar Wiz con las herramientas existentes que envían fácilmente información a los equipos de DevOps.
Las capacidades sin agentes e independientes de la nube de Wiz proporcionaron a BMW una visibilidad inigualable de toda su infraestructura en la nube.
Los desarrolladores de BMW ahora tienen visibilidad de los problemas de seguridad con pasos de corrección detallados, lo que hace que la seguridad sea más digerible y procesable sin obstaculizar los procesos de desarrollo.
95% decrease
in critical cloud security issues
95% of Wiz users
outside of the security team
Complete visibility
into thousands of cloud workloads within a few days
Una transformación digital para un innovador reconocido
BMW ha estado a la vanguardia del cambio hacia los vehículos eléctricos y los coches conectados, un proceso que reforzó el compromiso de la empresa con la adopción de la nube y la priorización de la digitalización en todos los equipos. Este movimiento hacia la digitalización permeó en los procesos de desarrollo, logística, ensamblaje e investigación.
Los vehículos eléctricos y los coches conectados han acelerado mucho el mercado. Por lo tanto, tenemos que ser mucho más rápidos. Eso ha impulsado muchas necesidades de TI, y la nube es una de las grandes cosas.
BMW ha priorizado sus estrategias de seguridad para abordar los desafíos y complejidades únicos de las arquitecturas y operaciones basadas en la nube.
Objetivos en una empresa con visión de futuro
BMW reconoció el potencial de las tecnologías en la nube desde el principio. Sin embargo, la introducción de estas tecnologías también conlleva problemas de seguridad únicos. La falta de controles adecuados puede conducir a la exposición accidental de los datos, lo que puede dañar la postura de seguridad de la empresa y su posición de liderazgo en el mercado. Sin embargo, los controles de seguridad demasiado restrictivos pueden obstaculizar la productividad y la creatividad de los desarrolladores, y añadir tiempo y mayores costes a los proyectos.
Roland Lechner, Director de Seguridad de TI de BMW Worldwide, dice que en su búsqueda de una solución de seguridad amigable para los desarrolladores, "quería darles algo donde'Es fácil hacer lo correcto, para que puedan concentrarse en crear funciones para el negocio y mejorar el negocio. Muchas veces, la seguridad es el oponente del desarrollo rápido. Si resuelves ese enigma,'re dorado. BMW reconoció la necesidad de un delicado equilibrio para garantizar que los desarrolladores puedan seguir construyendo productos innovadores a escala sin comprometer la seguridad.
Como empresa con estándares históricamente altos, BMW entendió que necesitaba visibilidad y transparencia centralizadas en su complejo entorno multinube. Esta visibilidad era fundamental para identificar los riesgos y vulnerabilidades de seguridad. BMW había estado utilizando herramientas de seguridad nativas de la nube con diferentes controles y conjuntos de reglas, lo que no proporcionaba la estandarización y la visión global que necesitaban.
Mejorar la eficiencia operativa era otro objetivo clave para BMW; La empresa necesitaba abordar sus necesidades de seguridad, pero también optimizar los procesos y reducir el esfuerzo manual. Lechner remarcó: "Es's muy fácil en seguridad para perderse en herramientas. Los departamentos de seguridad son conocidos por tener la mayor cantidad de herramientas de cualquier departamento de TI. Por lo tanto, para nosotros era importante contar con las herramientas adecuadas y llegar al punto en el que pudiéramos ayudar a las personas a hacer lo correcto".
Incorporando a Wiz (y conteniendo Log4j)
BMW analizó varias soluciones; Lechner recuerda que buscaron "la solución o soluciones de CSPM que fueran independientes de la nube y nos dieran mucha supervisión sin fricción adicional". El equipo comenzó a mirar a Wiz. Lechner explica que quedó impresionado por el plan de producto de Wiz: "Me gustó mucho la hoja de ruta del producto, que me pareció muy ambiciosa".
El siguiente gran (e inesperado) factor decisivo para BMW fue Log4j. Mientras BMW todavía estaba en la fase de evaluación con Wiz, se descubrió la vulnerabilidad Log4j, lo que requirió una acción y una solución rápidas. En palabras de Lechner, "en cuestión de días, Wiz incorporó todas nuestras cargas de trabajo en la nube y nos dio total transparencia sobre dónde teníamos instancias de Log4j vulnerables, dónde estaban inactivas, etc. Eso fue muy, muy impresionante". Guido Roesler, Gerente de Operaciones de TI, dice: "Con un sistema local, era mucho más difícil recopilar toda la información donde Log4j está disponible. Habríamos estado usando muchas listas enormes de Excel y preguntando equipo por equipo si usaban Log4j". El equipo que implementó Wiz abordó la situación en sus implementaciones en la nube muy rápidamente.
Pudimos obtener transparencia sobre la situación de Log4j. Tuvimos visibilidad de nuestras cargas de trabajo en la nube en unos pocos días, y eso nos puso a la vanguardia. Con nuestro antiguo sistema local, era mucho más difícil recopilar toda la información sobre dónde estaba disponible Log4j. Y en ese momento, la visibilidad con Wiz realmente cambió las reglas del juego para nosotros.
La experiencia también subrayó para BMW lo importante que era la visibilidad para su solución. Lechner reflexiona: "Cuando publicamos nuestra RFP para CSPM, pensé que la corrección automática era mi punto más importante. Y rápidamente descubrí, con Log4j, que la transparencia era lo más importante para mí".
Transparencia inigualable, colaboración mejorada
Después de vencer rápidamente la amenaza de Log4j, BMW'El trabajo de seguridad con Wiz continuó con una revelación esclarecedora. "Encontramos muchas más cargas de trabajo en la nube de las que pensábamos que teníamos," compartió Lechner. Esta realización fue un testimonio de BMW's planificación proactiva en la decisión de lograr una visibilidad completa en todo su panorama de nube. Más tarde, Roesler comentó sobre la transformación: "el enfoque sin agentes de Wiz nos ayudó a obtener una transparencia total sobre la situación de seguridad en la nube a los pocos días de la implementación. Ese" Esta visibilidad también crea medios simplificados para informar sobre las actualizaciones del sistema a los ejecutivos y otros miembros del equipo. Con respecto a la visibilidad de la infraestructura, Lechner dice: "Simplemente entro en Wiz y lo busco. Yo'lo hará, por ejemplo, antes de las reuniones con los vicepresidentes o vicepresidentes sénior".
La integración de Wiz en BMW'El entorno de la nube aportó otros beneficios significativos, como acercar a los desarrolladores y a los equipos de seguridad.
La gobernanza de la seguridad de TI ha sido tradicionalmente alguien que dice "Tienes que arreglar estas vulnerabilidades." Ahora, la gente puede mirar hacia arriba y decir: "Esta es la ruta de ataque, y esto es lo que debo hacer." Nos ha acercado más a los desarrolladores y ha demostrado que nos preocupamos por hacer que la corrección sea fácil para ellos, no difícil.
Este cambio de dinámica transformó la empresa', democratizando el trabajo de seguridad en los múltiples equipos. Roesler dice: "El 95% de los usuarios de Wiz son los equipos de DevOps que deben encargarse de la seguridad. También tenemos otros equipos centrados en la tecnología, como los equipos de arquitectura, que quieren conocer la cobertura de sus tecnologías en la nube."
Además, la implementación de Wiz ayudó a mejorar la postura de seguridad de BMW. Roesler reflexionó: "En comparación con el momento en el que cuando encendimos Wiz, el número de problemas críticos disminuyó en un 95%. Si tenemos en cuenta que el número de cargas de trabajo en la nube se duplicó en este tiempo, la tasa de éxito es aún mayor".
Próximos pasos para un negocio revolucionario
La democratización de la seguridad en la nube por parte de BMW en los equipos globales de DevOps ha facilitado una gestión de riesgos más proactiva. Los equipos de BMW tienen la visibilidad que necesitan para comprender mejor las vulnerabilidades y tomar medidas de corrección rápidamente.
Cada equipo debe solucionar los problemas. Wiz les da toda la información y también les da una guía sobre cómo remediarlo.
Más allá de la seguridad, BMW ha realizado con éxito mejoras en la eficiencia operativa. El uso de informes de seguridad completos generados por Wiz ha reducido significativamente el esfuerzo manual requerido por los equipos. Cambios como este permiten a BMW centrar sus recursos en la innovación y en impulsar el crecimiento del negocio.
En un futuro próximo, BMW tiene como objetivo expandir Wiz a más aspectos de su programa de seguridad en la nube, incluida la expansión de su uso de Wiz Code para detectar problemas en las primeras etapas del proceso de desarrollo, el despliegue de las capacidades de Kubernetes y el avance hacia operaciones sofisticadas de detección y respuesta en la nube (CDR).
El enfoque innovador de BMW en materia de seguridad, junto con Wiz', resultó en una asociación exitosa. BMW ha sido capaz de aprovechar las tecnologías en la nube de forma segura, sin dejar de mantenerse a la vanguardia.
