Défi
BMW souhaitait permettre aux équipes internes d’utiliser les technologies cloud dont elles ont besoin, tout en mettant en œuvre des contrôles qui n’ajoutent pas de frictions ou de coûts supplémentaires aux projets.
Le fabricant recherchait une solution indépendante du cloud, capable de se connecter à plusieurs clouds et de fournir un point centralisé pour la visibilité et la gouvernance de la sécurité.
Il était primordial d’assurer une sécurité robuste tout en préservant l’agilité des équipes de développement.
Solution
BMW a réduit les frictions et créé des flux de travail plus transparents entre la sécurité et le DevOps en intégrant Wiz aux outils existants qui envoient facilement des informations aux équipes DevOps.
Les capacités sans agent et agnostiques de Wiz ont fourni à BMW une visibilité inégalée sur l’ensemble de son infrastructure cloud.
Les développeurs de BMW ont désormais une visibilité sur les problèmes de sécurité avec des étapes de remédiation détaillées, ce qui rend la sécurité plus digeste et exploitable sans entraver les processus de développement.
95% decrease
in critical cloud security issues
95% of Wiz users
outside of the security team
Complete visibility
into thousands of cloud workloads within a few days
Une transformation digitale pour un innovateur reconnu
BMW a été à l’avant-garde de la transition vers les véhicules électriques et les voitures connectées, un processus qui a renforcé l’engagement de l’entreprise envers l’adoption du cloud et la priorisation de la numérisation au sein des équipes. Cette évolution vers la numérisation a imprégné les processus de développement, de logistique, d’assemblage et de recherche.
Les véhicules électriques et les voitures connectées ont vraiment accéléré le marché. Par conséquent, nous devons être beaucoup plus rapides. Cela a entraîné de nombreux besoins informatiques, et le cloud est l’un des grands éléments.
BMW a hiérarchisé ses stratégies de sécurité pour relever les défis et les complexités uniques des architectures et des opérations basées sur le cloud.
Les objectifs d’une entreprise tournée vers l’avenir
BMW a reconnu très tôt le potentiel des technologies cloud. Cependant, l’introduction de ces technologies pose également des problèmes de sécurité uniques. L’absence de contrôles appropriés en place peut entraîner une exposition accidentelle des données, ce qui peut endommager la posture de sécurité de l’entreprise et sa position de leader sur le marché. Pourtant, des contrôles de sécurité trop restrictifs peuvent entraver la productivité et la créativité des développeurs, et ajouter du temps et des coûts plus élevés aux projets.
Roland Lechner, directeur de la sécurité informatique chez BMW Worldwide, a déclaré que dans sa recherche d’une solution de sécurité conviviale pour les développeurs, il « voulait leur donner quelque chose là où il'Il est facile de faire ce qu’il faut, afin qu’ils puissent se concentrer sur la création de fonctions pour l’entreprise et améliorer l’entreprise. Souvent, la sécurité est l’adversaire du développement rapide. Si vous résolvez cette énigme, vous're doré. BMW a reconnu la nécessité d’un équilibre délicat pour s’assurer que les développeurs peuvent continuer à créer des produits innovants à grande échelle sans compromettre la sécurité.
En tant qu’entreprise ayant des normes historiquement élevées, BMW a compris qu’elle avait besoin d’une visibilité centralisée et d’une transparence dans son environnement multicloud complexe. Cette visibilité était essentielle pour identifier les risques et les vulnérabilités de sécurité. BMW utilisait des outils de sécurité natifs du cloud avec différents contrôles et ensembles de règles, qui ne fournissaient pas la standardisation et la vue globale dont ils avaient besoin.
L’amélioration de l’efficacité opérationnelle était un autre objectif clé pour BMW. L’entreprise devait répondre à ses besoins en matière de sécurité, mais aussi rationaliser les processus et réduire les efforts manuels. Lechner a fait remarquer : « Il's très facile en sécurité de se perdre dans les outils. Les services de sécurité sont connus pour avoir le plus d’outils de tous les services informatiques. Il était donc important pour nous d’avoir les bons outils à bord et d’arriver au point où nous pouvons aider les gens à faire ce qu’il faut.
Embarquer Wiz (et contenir Log4j)
BMW a examiné plusieurs solutions ; Lechner se souvient qu’ils ont recherché « la solution CSPM ou des solutions agnostiques au cloud qui nous offraient une grande surveillance sans friction supplémentaire ». L’équipe a commencé à s’intéresser à Wiz. Lechner explique qu’il a été impressionné par le plan produit de Wiz : « J’ai vraiment aimé la feuille de route du produit, que j’ai trouvée vraiment ambitieuse. »
Le prochain grand facteur (et inattendu) décisif pour BMW a été Log4j. Alors que BMW était encore en phase d’évaluation avec Wiz, la vulnérabilité Log4j a été découverte, nécessitant une action et une correction rapides. Selon Lechner, « en quelques jours, Wiz a intégré toutes nos charges de travail cloud et nous a donné une transparence totale sur les instances Log4j vulnérables, les instances dormantes, etc. C’était vraiment, vraiment impressionnant. Guido Roesler, responsable des opérations informatiques, déclare : « Avec un système sur site, il était beaucoup plus difficile de collecter toutes les informations là où Log4j est disponible. Nous aurions utilisé beaucoup d’énormes listes Excel et demandé équipe par équipe si elles utilisaient Log4j. L’équipe mise en œuvre de Wiz a résolu la situation dans l’ensemble de ses implémentations cloud très rapidement.
Nous avons pu obtenir de la transparence sur la situation de Log4j. Nous avons eu une visibilité sur nos charges de travail cloud en quelques jours, ce qui nous a permis de prendre une longueur d’avance. Avec notre ancien système sur site, il était beaucoup plus difficile de collecter toutes les informations sur les endroits où Log4j est disponible. Et à ce moment-là, la visibilité avec Wiz a vraiment changé la donne pour nous.
L’expérience a également souligné pour BMW l’importance de la visibilité de sa solution. « Lorsque nous avons lancé notre appel d’offres pour CSPM, j’ai pensé que la correction automatique était mon point le plus important. Et j’ai vite découvert, avec Log4j, que la transparence était ce qui me tenait le plus à cœur.
Transparence inégalée, collaboration renforcée
Après avoir rapidement vaincu la menace de Log4j, BMW'Le travail de sécurité de Wiz s’est poursuivi avec une révélation éclairante. "Nous avons trouvé beaucoup plus de charges de travail cloud que nous ne le pensions," a partagé Lechner. Cette prise de conscience était un témoignage de BMW'en décidant d’obtenir une visibilité totale sur l’ensemble de son paysage cloud. Roesler remarqua plus tard à propos de la transformation : "l’approche sans agent de Wiz nous a permis d’obtenir une transparence totale sur la situation de la sécurité du cloud quelques jours après le déploiement. Cela" Cette visibilité permet également de simplifier la communication des mises à jour du système aux dirigeants et aux autres membres de l’équipe. En ce qui concerne la visibilité de l’infrastructure, Lechner déclare : « Je vais simplement dans Wiz et je le regarde. Je'Je le ferai, par exemple, avant les réunions avec les vice-présidents ou les vice-présidents principaux.
L’intégration de Wiz dans BMW'a apporté d’autres avantages significatifs, notamment le rapprochement entre les développeurs et les équipes de sécurité.
La gouvernance de la sécurité informatique a toujours été dictée par quelqu’un "Vous devez corriger ces vulnérabilités." Maintenant, les gens peuvent lever les yeux et dire : "C’est le chemin d’attaque, et c’est ce que je devrais faire." Cela nous a rapprochés des développeurs et a montré que nous nous soucions de leur faciliter la remédiation, et non de la rendre difficile.
Ce changement de dynamique a transformé l’entreprise', démocratisant le travail de sécurité au sein des multiples équipes. Roesler dit, "95% des utilisateurs de Wiz sont les équipes DevOps qui doivent s’occuper de la sécurité. Nous avons également d’autres équipes axées sur la technologie, comme les équipes d’architecture, qui veulent connaître la couverture de leurs technologies dans le cloud."
De plus, la mise en œuvre de Wiz a permis d’améliorer la posture de sécurité de BMW. Roesler a déclaré : « Par rapport au moment où nous avons activé Wiz, le nombre de problèmes critiques a diminué de 95 %. Si l’on considère que le nombre de charges de travail cloud a doublé au cours de cette période, le taux de réussite est encore plus élevé.
Prochaines étapes pour une entreprise révolutionnaire
La démocratisation de la sécurité du cloud par BMW au sein des équipes DevOps mondiales a facilité une gestion plus proactive des risques. Les équipes BMW disposent de la visibilité dont elles ont besoin pour mieux comprendre les vulnérabilités et prendre rapidement des mesures pour y remédier.
Chaque équipe doit résoudre les problèmes. Wiz leur donne toutes les informations et leur donne également un guide sur la façon d’y remédier.
Au-delà de la sécurité, BMW a réussi à améliorer son efficacité opérationnelle. L’utilisation de rapports de sécurité complets générés par Wiz a considérablement réduit l’effort manuel requis par les équipes. De tels changements permettent à BMW de concentrer ses ressources sur l’innovation et la croissance de l’entreprise.
Dans un avenir proche, BMW vise à étendre Wiz à d’autres aspects de son programme de sécurité cloud, notamment en étendant son utilisation de Wiz Code pour détecter les problèmes plus tôt dans le pipeline de développement, en déployant des capacités Kubernetes et en passant à des opérations sophistiquées de détection et de réponse au cloud (CDR).
L’approche innovante de BMW en matière de sécurité, associée à Wiz', a abouti à un partenariat fructueux. BMW a été en mesure d’exploiter les technologies cloud en toute sécurité, tout en gardant une longueur d’avance.
