Défi
Pour permettre aux non-professionnels de la sécurité de gérer facilement et eux-mêmes la sécurité du cloud de leurs bureaux, l’université avait besoin d’un déploiement sans friction avec une solution de sécurité sans agent.
L’université'Les outils de sécurité précédents étaient conçus pour les organisations de développement et de technologie traditionnelles, et l’université souhaitait trouver une solution qui corresponde à son approche fédérée et multi-comptes de la gestion de la sécurité tout en restant conviviale.
Avec des dizaines de milliers d’utilisateurs répartis dans différents départements, Stanford avait besoin de voir plus clairement quelles applications ils utilisaient pour détecter les vulnérabilités.
Solution
Stanford a déployé Wiz dans ses bureaux sans que ses équipes respectives aient à installer manuellement un agent pour analyser leurs environnements.
Pour soutenir au mieux l’ensemble de l’université'disposant d’un large éventail de connaissances techniques, l’équipe s’est tournée vers Wiz pour simplifier sa relation avec la sécurité et permettre des recherches plus rapides et plus sécurisées basées sur le cloud.
L’université'peut fédérer la gestion de la sécurité du cloud à des chefs d’équipe spécifiques dans tous les bureaux, de sorte que chaque responsable a un aperçu des vulnérabilités de son équipe.
Empowers 20k+
faculty and staff members to protect their IT infrastructure with self-service security
Equips 13-person
security team to manage security across seven campuses
Reduces critical risks
throughout the university ecosystem with improved visibility
Amplifier les chercheurs et les universitaires qui résolvent les grands problèmes du monde
Depuis plus de 130 ans, cette université de recherche privée est l’une des principales institutions académiques au monde. Le réseau colossal de campus, d’hôpitaux, d’accélérateurs, d’organisations étudiantes, de restaurants, d’équipes sportives et de laboratoires couvre plus de 13 miles carrés, dessert plus de 20 000 employés et accueille plus de 17,5 000 étudiants.
La recherche de pointe de l’université embrasse cette liberté d’avoir un impact mondial. Son équipe de sécurité du cloud, composée de 13 personnes, s’efforce d’autonomiser les communautés à l’origine des changements, tels que la réduction des émissions de combustibles fossiles, la compréhension et la traduction de textes anciens et le développement de technologies de santé. « Nous sommes là pour permettre », déclare le directeur de la sécurité du cloud. « De nombreuses personnes considèrent les bureaux de sécurité comme des endroits où les bonnes idées meurent, mais la réalité est que si nous travaillons ensemble pour utiliser efficacement notre cloud, nous pouvons travailler plus rapidement et en toute sécurité grâce à la cybersécurité intégrée dès la première étape. »
L’université'La solution de sécurité précédente était enchevêtrée avec des décennies d’infrastructure héritée et de dette technique. Il a également fallu que les équipes déploient des agents pour surveiller leurs applications. « Nous donnons carte blanche à nos titulaires de compte pour faire et construire ce qu’ils veulent, ce qui est une bénédiction et une malédiction », partage le directeur de la sécurité du cloud. « Nous devions distribuer des logiciels et nous attendre à ce qu’un agent soit installé sur chaque machine virtuelle. En pratique, c’est presque impossible. Ces utilisateurs veulent tirer le meilleur parti possible de leurs ressources et de leurs investissements, donc tout ce qui en découle est considéré comme négatif.
Notre petite équipe de sécurité est là pour permettre à nos chercheurs, à notre personnel enseignant et à nos anciens élèves de disposer de systèmes sécurisés. Nous nous dirigeons vers une infrastructure Zero Trust, mais cela ne peut pas entraver les progrès, nous avons donc besoin de solutions de sécurité qui soutiennent le travail de chacun.
L’université souhaitait consolider sa gestion de la sécurité dans un modèle de sécurité simplifié et fédéré afin de donner à l’équipe de sécurité une surveillance plus claire. L’entreprise souhaitait également disposer d’une solution sans agent qui protégerait son large éventail d’utilisateurs finaux sans créer de travail supplémentaire. C’est alors qu’il a trouvé Wiz.
Adopter une solution de sécurité qui fonctionne pour tout le monde
L’université'devait rendre la sécurité facile, compréhensible et accessible à un large éventail d’utilisateurs, allant des ingénieurs de pointe au personnel, avec peu ou pas d’expérience technique. « Pour accommoder tout le monde, nous avons pu'travailler avec un produit de sécurité qui a été étroitement adapté aux ingénieurs DevOps CI/CD modernes », ajoute-t-il. « Wiz peut produire des rapports et fournir des informations sur l’ensemble de notre cloud, mais surtout, il donne à nos utilisateurs finaux les informations qui comptent sans les surcharger. »
Bien que les règles de sécurité de l’université soient restées les mêmes, l’équipe de sécurité peut désormais compter sur Wiz pour valider les états de sécurité de chaque équipe. « Nous essayons d’améliorer notre posture de sécurité parce que nous réagissons à ce qui se passe dans le monde réel pour protéger nos données et éviter des amendes de plusieurs millions de dollars », explique le directeur de la sécurité du cloud. « Avec Wiz, nous pouvons mesurer avec précision les degrés de risque de nos données afin de valider les problèmes à résoudre plutôt que de faire confiance à la classification manuelle des risques. »
Avec notre solution précédente, si les gens n’installaient pas l’agent, leurs ressources étaient complètement hors de notre radar, ce qui signifiait que les risques potentiels pouvaient facilement passer inaperçus. Parce que Wiz est sans agent, nous n’avons pas à nous soucier que quelqu’un oublie d’installer un logiciel - nous avons une visibilité sur tout ce dont nous avons besoin.
Lorsque l’université a déployé Wiz, elle a rapidement été en mesure de découvrir des vulnérabilités qui avaient été négligées par sa solution précédente. « Nous avons considérablement sous-estimé l’ampleur des pertes dues au fait que nous nous étions appuyés sur une solution basée sur un agent », explique le directeur de la sécurité du cloud. « Wiz nous donne un contexte sur l’emplacement des ressources dans des chaînes de ressources plus longues, afin que nous puissions orienter les équipes vers les racines de leurs problèmes. »
L’université a profité de cette prise de conscience accrue pour identifier les sources de vulnérabilités critiques sur ses campus et mieux cibler sa stratégie de sécurité. « Au fur et à mesure que de plus en plus d’utilisateurs découvrent Wiz et l’adoptent, nous avons constaté qu’un petit pourcentage de nos utilisateurs est responsable d’un nombre important de nos critiques », dit-il. « Une fois, nous avons découvert qu’un titulaire de compte avait des logiciels malveillants sur 100 % de ses machines virtuelles. Nous les avons désactivés et avons profondément amélioré notre posture de sécurité presque instantanément.
Fédérer la gestion de projet pour démocratiser la sécurité du cloud
Pour soutenir plus de 20 000 employés, l’équipe de sécurité a adopté une approche non interventionniste et en libre-service de la gestion de la sécurité. Avec Wiz, l’entreprise peut fournir aux employés non liés à la sécurité l’éducation, la formation et les outils nécessaires pour protéger leurs projets tout en étant en mesure de consolider et de surveiller à distance. « Nous avons quelques milliers de comptes cloud dans notre environnement multicloud, et dans Wiz, nous pouvons regrouper ces comptes dans des projets dans de vastes départements tels que les sciences humaines ou les sciences », explique le directeur de la sécurité cloud. « Nous affectons ensuite des responsables à ces projets, et ces responsables de l’informatique distribuée nous aident à protéger l’ensemble de l’université. »
Cet investissement dans la sécurité collective du cloud continue de se répercuter dans toute l’université grâce à l’utilisation croissante des API et à de nouveaux champions de la sécurité qui montrent à leurs équipes l’avantage de collaborer sur la sécurité. « Nous continuons à suivre les connexions et nous constatons une adoption continue et progressive de Wiz », partage-t-il. « L’amélioration de la surveillance de la sécurité accélère notre transition globale vers le cloud, car nos utilisateurs ont la liberté et les connaissances nécessaires pour se mettre en libre-service, résoudre les problèmes rapidement et reprendre leur travail. »
On ne sait jamais ce que sera le prochain Log4J. Avec Wiz, je peux surveiller les modèles avant qu’ils ne deviennent trop gros pour être manipulés. Je peux examiner les principales vulnérabilités émergentes, voir combien de systèmes nous avons qui peuvent être impactés et partager mes conclusions avec nos champions de la sécurité via les canaux internes Slack pour anticiper les menaces.
Ces champions de la sécurité permettent aux équipes individuelles d’acquérir plus de compétences et de sensibilisation à la sécurité pour gérer leurs propres normes de sécurité. En éduquant leurs collègues sur l’impact direct de la sécurité sur leurs propres recherches, les équipes sont plus incitées à continuer à se renseigner sur les pratiques de sécurité pour protéger leur travail innovant. Les responsables informatiques distribués peuvent s’approprier les pratiques de sécurité au sein de leur propre projet dans Wiz et s’assurer que leur organisation est sûre, soulageant ainsi la sécurité du Cloud'de micro-gestion de l’ensemble de l’université'.
Étant donné que l’autonomisation, motivée par l’éducation, est le principal objectif de sécurité de l’organisation, celle-ci mesure actuellement le succès en fonction de la réactivité des équipes plutôt que des seules vulnérabilités. L’université a conçu un tableau de bord de sécurité que ses responsables informatiques distribués peuvent utiliser pour évaluer le travail de leurs équipes. Ces évaluations prennent en compte des informations telles que l’âge moyen des problèmes et les taux de connexion des utilisateurs pour donner aux RSSI et aux DSI un aperçu de la façon dont leurs équipes répondent à leurs responsabilités en matière de sécurité.
Faire évoluer l’université'grâce à l’automatisation
Avec Wiz, les groupes de l’université utilisent des API pour créer leurs propres outils, rapports et tableaux de bord afin de personnaliser davantage leur gestion de la sécurité. Une approche plus personnalisable de la sécurité a permis d’attirer davantage de champions de la sécurité parmi les grandes organisations sur le campus. « Notre projet de champion de la sécurité nous a permis d’entrer en contact avec des personnes intéressées par la sécurité du cloud et de créer une communauté de praticiens partageant les meilleures pratiques et le soutien », partage-t-il. « Ils partagent régulièrement des suggestions pour de nouvelles intégrations et applications, ou des conseils sur celles qui répondent le mieux à nos besoins. »
Parallèlement à cet espace communautaire en expansion, l’équipe développe actuellement des tableaux de bord pour présenter efficacement les mises à jour de l’état de la sécurité aux cadres supérieurs. « Nous voulons aider nos dirigeants à se connecter et à voir un simple visage souriant ou un visage triste pour vérifier notre santé en matière de sécurité », ajoute-t-il. « Avec Wiz, notre équipe de résolveurs de problèmes cybernétiques rend cela possible, et nous pouvons continuer à améliorer ce que la sécurité du cloud signifie pour l’université. »
