Défi
Après avoir réuni deux sociétés, l’équipe de sécurité de Vistra cherchait à améliorer la visibilité sur l’environnement multi-cloud/multi-architecture repensé de Vistra.
La sécurité souhaitait également améliorer la gouvernance de son environnement cloud étendu et la posture de risque de celui-ci.
Avec plusieurs solutions ponctuelles en place, l’équipe de sécurité a cherché à améliorer et à consolider sa boîte à outils.
Solution
Vistra peut voir comment toutes les ressources sont connectées, en utilisant Wiz pour permettre aux équipes interfonctionnelles de collaborer sur l’intégration et la sécurisation de nouvelles unités commerciales' environnements cloud après la fusion.
Vistra maintenant identifie les risques hautement prioritaires et la posture de risque des actifs clés en utilisant Wiz pour hiérarchiser les problèmes de remédiation, renforcer la gouvernance.
Vistra a réduit le besoin de solutions de sécurité multiples grâce à la prise en charge par Wiz des environnements hybrides et des processus sans agent, rationalisant ainsi les processus de sécurité et réduisant les dépenses globales.
Complete visibility
across the multi-cloud environment
Proactively reduces risks
and ensures compliance across all businesses and new products
Deployed a full-featured cloud security platform
reducing the need for multiple point solutions
Améliorer la gouvernance dans un environnement multicloud en pleine croissance
Vistra est l’un des principaux fournisseurs de services commerciaux essentiels, tels que les ressources humaines, la fiscalité, la gestion des entités juridiques et la conformité réglementaire, qui aident les entreprises et les fonds de capital-investissement à se développer tout au long de leur cycle de vie commercial et d’investissement. Créée par la combinaison de Tricor Group et de Vistra, la Vistra réinventée a connu une croissance commerciale rapide et supervise un vaste environnement multi-cloud/multi-architecture.
Par conséquent, l’équipe de sécurité et d’autres parties prenantes clés avaient besoin d’une visibilité globale sur leur empreinte cloud mondiale, avec la possibilité d’appliquer et d’appliquer la gouvernance de manière cohérente et rapide.
Nous voulons consolider ce que nous avons et rassembler les meilleurs outils, pratiques et intégrations pour notre équipe de sécurité. Par exemple, si nous détectons un risque ou un incident sur une plateforme, nous devrions être en mesure de réagir sur une autre. Tout doit fonctionner ensemble de manière transparente et sans friction.
Se déplacer vers la gauche pour développer des produits sécurisés dès leur conception
Vistra souhaitait atteindre des objectifs à court et à long terme en matière de sécurité. À court terme, l’entreprise a vu une opportunité de rationaliser les outils de sécurité. En s’appuyant sur les meilleures solutions, l’équipe de sécurité bénéficierait d’une visibilité globale, garantirait la cohérence de la gouvernance avec un ensemble de politiques et serait en mesure d’identifier les risques et de hiérarchiser les remèdes.
« À l’origine, nous utilisions des capacités CDR natives du cloud au sein de différentes plateformes, mais cela créait plusieurs politiques, règles et mécanismes de surveillance dans notre environnement à un moment où nous voulions centraliser et consolider les fonctionnalités », explique Him Tang, responsable de la cybersécurité chez Vistra.
Rationaliser la collaboration pour permettre l’amélioration continue
Vistra a passé en revue plusieurs fournisseurs, choisissant Wiz en raison de l’étendue de ses services, de sa facilité d’utilisation et de son coût. En déployant Wiz, Vistra a obtenu la visibilité et la gouvernance globales de l’infrastructure cloud recherchées par l’équipe de sécurité. L’équipe a rapidement adopté Wiz CNAPP fonctionnalités, notamment Wiz DSPMet Balayage IaC pour détecter les risques de sécurité à un stade précoce.
Pour identifier les chemins d’attaque critiques, l’équipe de sécurité utilise Wiz pour analyser toutes les ressources et technologies de son environnement cloud à travers les machines virtuelles, les conteneurs et les fonctions sans serveur. Toutes les équipes Vistra accèdent désormais à Wiz pour obtenir la même vue des ressources cloud, avec les risques, le contexte et les corrélations intégrés, tandis que l’informatique et la sécurité rationalisent les processus de gestion des stocks cloud.
L’équipe de sécurité utilise ces informations et des flux de travail automatisés pour hiérarchiser et corriger les risques, tels que les expositions PII ou PCI. De même, les développeurs obtiennent des informations exploitables sur les risques hautement prioritaires à traiter pendant le cycle de développement du produit, sans bruit ni besoin de créer manuellement le contexte et les corrélations.
« Auparavant, nous pouvions définir des politiques au sein de nos comptes AWS et Azure, mais nous ne pouvions pas voir les incohérences et autres risques. Avec Wiz, nous disposons de la visibilité et des informations nécessaires pour examiner les configurations et les politiques de manière proactive sur tous nos locataires, ce qui permet à Vistra de créer une culture d’amélioration continue », explique M. Tang.
Alors que Vistra poursuit son virage à gauche, en créant une véritable capacité DevSecOps en fournissant aux développeurs les informations dont ils ont besoin pour identifier et gérer les risques tout au long du cycle de développement du produit, plutôt que d’ajouter des correctifs par la suite.
« DevSecOps est encore en train de mûrir pour notre entreprise. Par conséquent, nous analysons les nouvelles applications pour nous assurer que les équipes de développement traitent les risques critiques avant de lancer de nouveaux produits », explique M. Tang.
Alors que nous passons à un modèle d’infrastructure en tant que code, Wiz nous aide à nous déplacer vers la gauche et à scanner le code pour identifier et corriger les risques plus tôt dans le cycle de développement du produit. Le renforcement de ces capacités nous permet de garantir aux propriétaires d’entreprise que les applications sont sécurisées dès la conception.
Les équipes de développement, d’infrastructure et de sécurité utilisent Wiz Projects et les contrôles d’accès basés sur les rôles pour permettre la collaboration entre les contributeurs internes et externes dans Wiz. L’équipe conjointe utilise une zone d’atterrissage cloud et un contrôle de conformité Wiz pour intégrer rapidement et en toute sécurité les nouvelles unités commerciales. Grâce à cette fonctionnalité, Vistra évalue et maintient automatiquement la conformité réglementaire à l’aide d’un score de posture de risque, de cadres intégrés et de rapports.
En offrant aux équipes interfonctionnelles une meilleure visibilité, une meilleure identification des risques et des capacités de remédiation, Vistra a considérablement amélioré sa posture de sécurité cloud, tout en améliorant son efficacité opérationnelle.
Wiz fournit une interface unique pour la sécurité du cloud chez Vistra. Nous avons acquis la visibilité, les outils de collaboration et les capacités de reporting dont nous avons besoin pour accélérer l’intégration de nos deux sociétés et permettre un développement de produits sécurisé.
Des capacités de sécurité en évolution rapide pour soutenir la croissance future
Vistra a mis en place les bases de la sécurité pour permettre une croissance rapide et continue en utilisant Wiz. Les équipes interfonctionnelles peuvent intégrer rapidement et en toute sécurité de nouveaux systèmes, concevoir des produits sécurisés et rationaliser la collaboration. Les équipes disposent d’une visibilité complète de leur infrastructure multicloud, avec des risques et des corrélations contextualisés, ce qui leur permet de définir des stratégies de sécurité, de faire évoluer les capacités de gestion des risques et de traiter les vulnérabilités de manière proactive.
Ensuite, Vistra prévoit d’explorer Wiz CDR améliorer ses capacités de détection, d’investigation et de réponse aux menaces. Wiz CDR combine son approche sans agent, basée sur des graphiques, avec des journaux d’activité dans le cloud, ce qui permet aux équipes d’identifier les menaces de manière proactive, de simuler les vues des attaquants, de limiter leurs dommages et d’effectuer des analyses médico-légales à grande échelle pendant le déroulement d’une menace.
