Desafío
Grammarly buscaba establecer un enfoque más unificado de la seguridad que abordara las crecientes necesidades de seguridad derivadas de su expansión para servir a los clientes empresariales B2B.
En primer lugar, Grammarly requería una comprensión integral de su postura de seguridad para priorizar las inversiones en seguridad y capacitar a la empresa para que se moviera rápido y mitigara los riesgos de manera efectiva.
Grammarly reconoció las oportunidades para mejorar sus procesos de seguridad, lo que garantiza una mayor coherencia y permite a los equipos responder a las amenazas de manera más eficiente.
La solución
Grammarly implementó una estrategia de seguridad unificada para su código, nube y configuraciones utilizando Wiz, centrándose en tres principios básicos: resultados reproducibles, razonamiento en profundidad y autocorrección.
Grammarly proporcionó a los desarrolladores acceso directo a Wiz, lo que les permitió usar Wiz de manera proactiva para identificar y abordar vulnerabilidades en las primeras etapas del ciclo de desarrollo.
Al automatizar los flujos de trabajo y los controles de seguridad con Wiz, Grammarly optimizó sus operaciones de seguridad y redujo el esfuerzo manual.
Achieved 100%
coverage of its cloud accounts
Zero critical/high risks
achieved
Established consistent mean time to detect
and faster mean time to remediate
Evolucionando para cumplir con los requisitos de seguridad de nivel empresarial
Desde marketing cautivador y ensayos académicos bien elaborados hasta correos electrónicos profesionales y más, Gramaticalmente es el asistente de IA de confianza para la comunicación y la productividad. La compañía ayuda a más de 40 millones de personas y 50,000 organizaciones a generar ideas, componer y mejorar la comunicación que hace avanzar el trabajo.
En los últimos años, Grammarly ha evolucionado más allá de sus soluciones centradas en el consumidor para introducir una plataforma empresarial B2B, que ha traído nuevos casos de uso, características innovadoras y desafíos de seguridad únicos. A medida que Grammarly se adaptaba a procesar grandes volúmenes de datos empresariales complejos, el equipo reconoció la necesidad de unificar los controles de seguridad en la nube, el código y el tiempo de ejecución.
"A medida que evolucionamos de B2C a B2B, nuestro perfil de riesgo ha cambiado por completo, y nos dedicamos a mantener la misma confianza con los clientes empresariales que hemos construido con nuestros clientes B2C a lo largo de los años", dice Sacha Faust, director de seguridad de la información de Grammarly. "La seguridad está en el centro del ADN de Grammarly y es imprescindible para el futuro de nuestra empresa, y es por eso que estamos realizando mejoras significativas para fortalecer nuestros flujos de trabajo de seguridad".
Nuestros equipos de ingeniería se mueven a una velocidad vertiginosa, por lo que no queremos crear cuellos de botella. Necesitábamos crear flujos de trabajo automatizados y controles de seguridad que identificaran y corrigieran rápidamente situaciones potencialmente indeseables en la producción.
Para hacer frente a estos desafíos, Grammarly evaluó las plataformas de seguridad en función de cuatro criterios clave: descubrimiento automatizado de activos, resultados reproducibles, razonamiento en profundidad y capacidades de autocorrección. Wiz se destacó como la plataforma ideal para respaldar los objetivos de Grammarly de implementar una estrategia de seguridad integral a nivel empresarial, mejorar las experiencias de los desarrolladores con velocidad y precisión, y respaldar el cumplimiento de las regulaciones de la industria.
Establecimiento de procesos seguros por diseño con Wiz
Grammarly siempre ha visto la ingeniería y la seguridad como dos mitades de un todo, priorizando un equilibrio entre un desarrollo rápido y medidas de seguridad sólidas. Cuando el equipo se propuso establecer la estrategia de seguridad, se centró en la experiencia del desarrollador. Sin embargo, la configuración existente no permitía a los desarrolladores moverse rápidamente mientras mantenían los estrictos estándares de seguridad de Grammarly.
Anteriormente, Grammarly dependía de las herramientas de seguridad integradas en AWS y priorizaba el cambio a la izquierda para optimizar los ciclos de desarrollo. Sin embargo, el equipo reconoció que lograr este objetivo requería una mejor visibilidad en todo el entorno de la nube para proporcionar a los ingenieros una única fuente de verdad
"Estamos comprometidos a hacer lo correcto tanto para nuestros clientes empresariales como para nuestros desarrolladores. Nuestra configuración anterior no consistía en crear una experiencia que cumpliera con nuestros estándares, tanto para nuestros clientes como para los equipos internos", explica Faust. "Estábamos usando varias herramientas que no contaban una historia coherente y no podían proporcionar el contexto que necesitábamos para tomar decisiones informadas".
Wiz encaja a la perfección en la estrategia de Grammarly de crear soluciones seguras por diseño que permitan a los equipos iterar rápidamente sin comprometer la seguridad. Al implementar Nube Wiz, Grammarly obtuvo una visibilidad completa de su entorno en la nube. Esto permite al equipo detectar vulnerabilidades de forma temprana y recibir recomendaciones prácticas para su corrección, minimizando así la posible exposición de la empresa a las amenazas cibernéticas.
Automatización de la detección y la respuesta para reducir las vulnerabilidades
Con su enfoque implacable en la experiencia del desarrollador, Grammarly proporcionó a todos los ingenieros acceso a Wiz, lo que les permitió obtener rápidamente el contexto y la información que necesitaban, exactamente cuando lo necesitaban. "Hemos integrado la seguridad en las prácticas de ingeniería para que nunca se convierta en una ocurrencia tardía", dice Faust.
Wiz Security Graph ha sido particularmente valioso para la exploración abierta, lo que permite a los desarrolladores investigar los entornos de producción actuales y su correspondencia con el repositorio de código. Además, Grammarly aprovecha el método Sensor de tiempo de ejecución Wiz para mejorar la telemetría dentro de Wiz, proporcionando a los desarrolladores la información que necesitan para tomar decisiones más informadas sobre los riesgos y las prioridades de seguridad.
El control de acceso basado en roles de Wiz proporciona la flexibilidad necesaria para personalizar el acceso a los activos adecuados, lo que permite a los desarrolladores iniciar de forma independiente nuevos análisis y verificar la precisión de sus correcciones. Además, integramos las capacidades de escaneo directamente en nuestros procesos de construcción e implementación utilizando Wiz CLI.
A medida que Grammarly desarrolla e implementa nuevas aplicaciones, su objetivo es proporcionar a los desarrolladores comentarios de seguridad en una etapa más temprana del ciclo de desarrollo y directamente dentro de sus flujos de trabajo. Este enfoque garantiza que los desarrolladores reciban toda la información necesaria para comprender y abordar posibles fallos de seguridad en su código. Al utilizar las barandillas Wiz dentro de Código Wiz, Grammarly ha introducido un enfoque cohesivo de la seguridad para todos los componentes de su cadena de suministro de software con un mecanismo de compuerta multicapa a lo largo de las fases de construcción, implementación y operación.
El equipo integró Wiz CLI directamente con GitLab para alertar a los desarrolladores sobre los problemas introducidos por los cambios en el código, lo que les permitió abordar posibles problemas en las primeras etapas del ciclo de desarrollo. Además, el Wiz Admission Controller agrega una capa adicional de verificación tanto en la etapa de construcción como en la implementación, al tiempo que mantiene el cumplimiento de los estándares de la industria para la seguridad de las aplicaciones.
Lograr el estado cero crítico mediante la consolidación de la seguridad
Wiz'El marco de seguridad integral ha mejorado la visibilidad de Grammarly en su infraestructura. Con una fuente de verdad clara para su entorno de producción, el equipo puede tomar decisiones más informadas. Mediante el uso del Runtime Sensor junto con otras herramientas, Grammarly ha mejorado su capacidad para detectar y priorizar posibles amenazas de seguridad, lo que permite al equipo identificar y monitorear los servicios periféricos dentro de su infraestructura. Esta contextualización en profundidad ha permitido a Grammarly lograr rápidamente cero problemas críticos.
Al optimizar nuestras operaciones de seguridad con Wiz, hemos logrado con éxito un SLA de corrección de 0 errores y, al mismo tiempo, mantenemos la velocidad de los desarrolladores.
Desde que adoptó Wiz, Grammarly ha retirado varias herramientas de seguridad descentralizadas que requerían configuración manual. Esto ha reducido la deuda técnica de Grammarly y ha dado como resultado un tiempo medio constante de detección, un tiempo medio de corrección más rápido y una comprensión más clara de las prioridades de seguridad.
"Con Wiz, podemos ofrecer una experiencia de usuario segura y positiva al mismo tiempo", dice Serhii Vasylenko, ingeniero sénior de automatización de seguridad de Grammarly. "Nuestro equipo ha pasado de ser consultores que asesoran a los ingenieros sobre qué hacer a convertirse en verdaderos socios en la creación de software seguro desde el día cero".
