Défi
Grammarly cherchait à établir une approche plus unifiée de la sécurité qui répondait aux besoins accrus en matière de sécurité découlant de son expansion au service des entreprises B2B.
Grammarly a d’abord exigé une compréhension complète de sa posture de sécurité pour hiérarchiser les investissements en matière de sécurité et permettre à l’entreprise d’agir rapidement et d’atténuer efficacement les risques.
Grammarly a reconnu les opportunités d’améliorer ses processus de sécurité, d’assurer une plus grande cohérence et de permettre aux équipes de répondre plus efficacement aux menaces.
Solution
Grammarly a mis en œuvre une stratégie de sécurité unifiée pour son code, son cloud et ses configurations à l’aide de Wiz, en se concentrant sur trois principes fondamentaux : des résultats reproductibles, un raisonnement approfondi et l’autocorrection.
Grammarly a fourni aux développeurs un accès direct à Wiz, leur permettant d’utiliser Wiz de manière proactive pour identifier et corriger les vulnérabilités plus tôt dans le cycle de développement.
En automatisant les flux de travail et les contrôles de sécurité avec Wiz, Grammarly a rationalisé ses opérations de sécurité et réduit les efforts manuels.
Achieved 100%
coverage of its cloud accounts
Zero critical/high risks
achieved
Established consistent mean time to detect
and faster mean time to remediate
Évoluer pour répondre aux exigences de sécurité de l’entreprise
Qu’il s’agisse d’un marketing captivant, d’essais académiques bien conçus, d’e-mails professionnels et bien plus encore, Grammaire est l’assistant IA de confiance pour la communication et la productivité. L’entreprise aide plus de 40 millions de personnes et 50 000 organisations à réfléchir, à composer et à améliorer la communication qui fait avancer le travail.
Ces dernières années, Grammarly a évolué au-delà de ses solutions axées sur le consommateur pour introduire une plate-forme d’entreprise B2B, qui a apporté de nouveaux cas d’utilisation, des fonctionnalités innovantes et des défis de sécurité uniques. Alors que Grammarly s’adaptait au traitement de grands volumes de données d’entreprise complexes, l’équipe a reconnu la nécessité d’unifier les contrôles de sécurité dans le cloud, le code et l’exécution.
« À mesure que nous évoluons du B2C au B2B, notre profil de risque a complètement changé et nous nous engageons à maintenir la même confiance avec les entreprises clientes que nous avons construite avec nos clients B2C au fil des ans », déclare Sacha Faust, directeur de la sécurité de l’information chez Grammarly. « La sécurité est au cœur de l’ADN de Grammarly et est essentielle à l’avenir de notre entreprise, et c’est pourquoi nous apportons des améliorations significatives pour renforcer nos flux de travail de sécurité. »
Nos équipes d’ingénieurs se déplacent à une vitesse vertigineuse, nous ne voulons donc pas créer de goulots d’étranglement. Nous devions créer des flux de travail automatisés et des contrôles de sécurité capables d’identifier et de corriger rapidement les situations potentiellement indésirables en production.
Pour relever ces défis, Grammarly a évalué les plateformes de sécurité sur la base de quatre critères clés : la découverte automatisée des actifs, les résultats reproductibles, le raisonnement approfondi et les capacités d’autocorrection. Wiz s’est imposée comme la plate-forme idéale pour soutenir les objectifs de Grammarly de mettre en œuvre une stratégie de sécurité complète au niveau de l’entreprise, d’améliorer l’expérience des développeurs avec rapidité et précision, et de soutenir la conformité aux réglementations du secteur.
Mettre en place des processus sécurisés dès la conception avec Wiz
Grammarly a toujours considéré l’ingénierie et la sécurité comme les deux moitiés d’un tout, privilégiant un équilibre entre un développement rapide et des mesures de sécurité solides. Lorsque l’équipe a entrepris d’établir la stratégie de sécurité, elle s’est concentrée sur l’expérience du développeur. Cependant, la configuration existante ne permettait pas aux développeurs d’agir rapidement tout en maintenant les normes de sécurité strictes de Grammarly.
Grammarly s’appuyait auparavant sur des outils de sécurité intégrés au sein d’AWS et privilégiait le décalage vers la gauche pour optimiser les cycles de développement. Cependant, l’équipe a reconnu que pour atteindre cet objectif, il fallait une meilleure visibilité sur l’ensemble de l’environnement cloud afin de fournir aux ingénieurs une source unique de vérité
« Nous nous engageons à bien faire pour nos clients d’entreprise et nos développeurs. Notre configuration précédente ne créait pas une expérience qui répondait à nos normes, tant pour nos clients que pour nos équipes internes », explique Faust. « Nous utilisions plusieurs outils qui ne racontaient pas une histoire cohérente et ne pouvaient pas fournir le contexte dont nous avions besoin pour prendre des décisions éclairées. »
Wiz s’inscrit parfaitement dans la stratégie de Grammarly visant à créer des solutions sécurisées dès la conception qui permettent aux équipes d’itérer rapidement sans compromettre la sécurité. En mettant en œuvre Wiz Cloud, Grammarly a obtenu une visibilité complète sur son environnement cloud. Cela permet à l’équipe de détecter les vulnérabilités à un stade précoce et de recevoir des recommandations concrètes pour y remédier, minimisant ainsi l’exposition potentielle de l’entreprise aux cybermenaces.
Automatiser la détection et la réponse pour réduire les vulnérabilités
En se concentrant sans relâche sur l’expérience du développeur, Grammarly a fourni à tous les ingénieurs un accès à Wiz, leur permettant d’obtenir rapidement le contexte et les informations dont ils avaient besoin, exactement au moment où ils en avaient besoin. « Nous avons intégré la sécurité dans les pratiques d’ingénierie afin qu’elle ne soit jamais une réflexion après coup », explique M. Faust.
Le Wiz Security Graph s’est avéré particulièrement précieux pour l’exploration ouverte, permettant aux développeurs d’étudier les environnements de production actuels et leur correspondance avec le référentiel de code. De plus, Grammarly exploite le Capteur d’autonomie Wiz pour améliorer la télémétrie au sein de Wiz, en fournissant aux développeurs les informations dont ils ont besoin pour prendre des décisions plus éclairées sur les risques et les priorités de sécurité.
Le contrôle d’accès basé sur les rôles dans Wiz offre la flexibilité nécessaire pour personnaliser l’accès aux ressources appropriées, ce qui permet aux développeurs de lancer indépendamment de nouvelles analyses et de vérifier l’exactitude de leurs correctifs. De plus, nous avons intégré des capacités d’analyse directement dans nos processus de construction et de déploiement à l’aide de Wiz CLI.
Au fur et à mesure que Grammarly développe et déploie de nouvelles applications, son objectif est de fournir aux développeurs des informations sur la sécurité plus tôt dans le cycle de développement et directement dans leurs flux de travail. Cette approche garantit que les développeurs reçoivent toutes les informations nécessaires pour comprendre et corriger les failles de sécurité potentielles dans leur code. En utilisant Wiz Guardrails dans Wiz Code, Grammarly a introduit une approche cohérente de la sécurité pour tous les composants de sa chaîne d’approvisionnement logicielle avec un mécanisme de contrôle à plusieurs niveaux tout au long des phases de construction, de déploiement et d’exploitation.
L’équipe a intégré l’interface de ligne de commande Wiz directement à GitLab pour alerter les développeurs des problèmes introduits par les modifications de code, ce qui leur a permis de résoudre les problèmes potentiels dès le début du cycle de développement. De plus, le Wiz Admission Controller ajoute une couche supplémentaire de vérification aux étapes de construction et de déploiement, tout en maintenant la conformité aux normes de l’industrie en matière de sécurité des applications.
Atteindre le statut critique zéro en consolidant la sécurité
Wiz'a amélioré la visibilité de Grammarly sur son infrastructure. Avec une source de vérité claire pour son environnement de production, l’équipe peut prendre des décisions plus éclairées. En utilisant le capteur d’exécution avec d’autres outils, Grammarly a amélioré sa capacité à détecter et à hiérarchiser les menaces de sécurité potentielles, ce qui a permis à l’équipe d’identifier et de surveiller les services de périphérie au sein de son infrastructure. Cette contextualisation approfondie a permis à Grammarly d’atteindre rapidement zéro problème critique.
En rationalisant nos opérations de sécurité avec Wiz, nous avons réussi à atteindre un SLA de remédiation de 0 échec tout en maintenant la vitesse des développeurs.
Depuis l’adoption de Wiz, Grammarly a retiré plusieurs outils de sécurité décentralisés qui nécessitaient une configuration manuelle. Cela a permis de réduire la dette technique de Grammarly et d’obtenir un temps moyen de détection cohérent, un temps moyen de correction plus rapide et une compréhension plus claire des priorités de sécurité.
« Avec Wiz, nous pouvons offrir une expérience utilisateur sécurisée et positive en même temps », déclare Serhii Vasylenko, ingénieur principal, automatisation de la sécurité chez Grammarly. « Notre équipe est passée du statut de consultants qui conseillent les ingénieurs sur ce qu’il faut faire à celui de véritables partenaires dans la création de logiciels sécurisés dès le premier jour. »
