Sfida
BMW voleva consentire ai team interni di utilizzare le tecnologie cloud di cui avevano bisogno, implementando al contempo controlli che non aggiungessero ulteriori attriti o costi ai progetti.
Il produttore era alla ricerca di una soluzione indipendente dal cloud in grado di connettersi su più cloud e fornire un punto centralizzato per la visibilità e la governance della sicurezza.
Garantire una solida sicurezza era fondamentale, mantenendo al contempo l'agilità dei team di sviluppo.
Soluzione
BMW ha ridotto l'attrito e creato flussi di lavoro più fluidi tra sicurezza e DevOps integrando Wiz con gli strumenti esistenti che inviano facilmente informazioni ai team DevOps.
Le funzionalità agentless e cloud-agnostiche di Wiz hanno fornito a BMW una visibilità senza pari sull'intera infrastruttura cloud.
Gli sviluppatori di BMW hanno ora visibilità sui problemi di sicurezza con passaggi di correzione dettagliati, rendendo la sicurezza più digeribile e attuabile senza ostacolare i processi di sviluppo.
95% decrease
in critical cloud security issues
95% of Wiz users
outside of the security team
Complete visibility
into thousands of cloud workloads within a few days
Una trasformazione digitale per un innovatore riconosciuto
BMW è stata in prima linea nel passaggio verso i veicoli elettrici e le auto connesse, un processo che ha rafforzato l'impegno dell'azienda per l'adozione del cloud e la priorità della digitalizzazione tra i team. Questo passaggio alla digitalizzazione ha permeato i processi di sviluppo, logistica, assemblaggio e ricerca.
I veicoli elettrici e le auto connesse hanno davvero accelerato il mercato. Pertanto, dobbiamo essere molto più veloci. Questo ha determinato molte esigenze dell'IT e il cloud è una delle cose più importanti.
BMW ha dato priorità alle sue strategie di sicurezza per affrontare le sfide e le complessità uniche delle architetture e delle operazioni basate su cloud.
Obiettivi in un'azienda lungimirante
BMW ha riconosciuto presto il potenziale delle tecnologie cloud. Tuttavia, l'introduzione di queste tecnologie comporta anche problemi di sicurezza unici. La mancanza di controlli adeguati può portare all'esposizione accidentale dei dati, danneggiando potenzialmente la posizione di sicurezza dell'azienda e la posizione di leader nel mercato. Tuttavia, controlli di sicurezza eccessivamente restrittivi possono ostacolare la produttività e la creatività degli sviluppatori e aggiungere tempo e costi più elevati ai progetti.
Roland Lechner, Director of IT Security di BMW Worldwide, afferma che nella sua ricerca di una soluzione di sicurezza adatta agli sviluppatori, "voleva dare loro qualcosa dove'è facile fare la cosa giusta, in modo che possano concentrarsi sulla creazione di funzioni per l'azienda e migliorare l'attività. Molte volte, la sicurezza è l'avversario del rapido sviluppo. Se risolvi questo enigma, tu're d'oro". BMW ha riconosciuto la necessità di un delicato equilibrio per garantire che gli sviluppatori possano continuare a creare prodotti innovativi su larga scala senza compromettere la sicurezza.
In qualità di azienda con standard storicamente elevati, BMW ha capito di aver bisogno di visibilità e trasparenza centralizzate nel suo complesso ambiente multi-cloud. Questa visibilità è stata fondamentale per identificare i rischi e le vulnerabilità per la sicurezza. BMW utilizzava strumenti di sicurezza nativi per il cloud con diversi controlli e set di regole, che non fornivano la standardizzazione e la visione globale di cui avevano bisogno.
Migliorare l'efficienza operativa era un altro obiettivo chiave per BMW; L'azienda aveva bisogno di soddisfare le proprie esigenze di sicurezza, ma anche di semplificare i processi e ridurre lo sforzo manuale. Lechner ha osservato: "È's molto facile in sicurezza per perdersi negli strumenti. I dipartimenti di sicurezza sono noti per avere il maggior numero di strumenti tra tutti i reparti IT. Quindi per noi era importante avere gli strumenti giusti a bordo e arrivare al punto in cui possiamo aiutare le persone a fare la cosa giusta".
Portare Wiz a bordo (e contenere Log4j)
BMW ha esaminato diverse soluzioni; Lechner ricorda che cercavano "la soluzione CSPM o soluzioni che fossero indipendenti dal cloud e ci fornissero molta supervisione senza ulteriori attriti". Il team ha iniziato a guardare Wiz. Lechner spiega di essere rimasto colpito dal piano di prodotto di Wiz: "Mi è piaciuta molto la roadmap del prodotto, che ho trovato davvero ambiziosa".
Il successivo grande (e inaspettato) fattore decisivo per BMW è stato Log4j. Mentre BMW era ancora in fase di valutazione con Wiz, è stata scoperta la vulnerabilità Log4j, che ha richiesto un'azione e una correzione rapide. Nelle parole di Lechner, "in pochi giorni, Wiz ha integrato tutti i nostri carichi di lavoro cloud e ci ha fornito una trasparenza completa su dove avevamo istanze Log4j vulnerabili, dove erano dormienti e così via. È stato davvero, davvero impressionante". Guido Roesler, Manager of IT Operations, afferma: "Con un sistema on-premise, era molto più difficile raccogliere tutte le informazioni in cui Log4j era disponibile. Avremmo utilizzato un sacco di enormi elenchi Excel e chiesto team per team se utilizzavano Log4j". Il team ha implementato Wiz ha affrontato la situazione nelle sue implementazioni cloud molto rapidamente.
Siamo riusciti a ottenere trasparenza sulla situazione di Log4j. Abbiamo avuto visibilità sui nostri carichi di lavoro cloud in pochi giorni e questo ci ha portato in prima linea. Con il nostro vecchio sistema on-premise, era molto più difficile raccogliere tutte le informazioni su dove è disponibile Log4j. E a quel tempo, la visibilità con Wiz è stata davvero un punto di svolta per noi.
L'esperienza ha anche sottolineato per BMW quanto sia importante la visibilità per la loro soluzione. Lechner riflette: "Quando abbiamo pubblicato la nostra RFP per CSPM, ho pensato che la correzione automatica fosse il mio punto più importante. E ho scoperto rapidamente, con Log4j, che la trasparenza era la cosa più importante per me".
Trasparenza senza pari, collaborazione migliorata
Dopo aver rapidamente sconfitto la minaccia di Log4j, BMW'Il lavoro di sicurezza con Wiz è continuato con una rivelazione illuminante. "Abbiamo trovato molti più carichi di lavoro cloud di quanto pensassimo," ha condiviso Lechner. Questa consapevolezza è stata una testimonianza per BMW'nel decidere di ottenere una visibilità completa in tutto il suo panorama cloud. Roesler in seguito osservò la trasformazione, "l'approccio agentless di Wiz ci ha aiutato a ottenere la piena trasparenza sulla situazione della sicurezza del cloud entro pochi giorni dall'implementazione. Quella" Questa visibilità crea anche mezzi semplificati per segnalare gli aggiornamenti del sistema ai dirigenti e agli altri membri del team. Per quanto riguarda la visibilità dell'infrastruttura, Lechner afferma: "Vado da Wiz e lo cerco. Io'Lo farò, ad esempio, prima di incontrare i vicepresidenti o i vicepresidenti senior".
L'integrazione di Wiz in BMW'ha portato altri vantaggi significativi, tra cui l'avvicinamento degli sviluppatori e dei team di sicurezza.
La governance della sicurezza IT è stata tradizionalmente qualcuno che dice "È necessario correggere queste vulnerabilità." Ora, le persone possono alzare lo sguardo e dire: "Questo è il percorso di attacco, e questo è ciò che dovrei fare." Ci ha avvicinato agli sviluppatori e ha dimostrato che ci preoccupiamo di rendere la correzione facile per loro, non difficile.
Questo cambiamento di dinamica ha trasformato l'azienda', democratizzando il lavoro di sicurezza tra i diversi team. Roesler ha detto: "Il 95% degli utenti di Wiz sono team DevOps che devono occuparsi della sicurezza. Abbiamo anche altri team incentrati sulla tecnologia, come i team di architettura, che vogliono conoscere la copertura delle loro tecnologie nel cloud."
Inoltre, l'implementazione di Wiz ha contribuito a migliorare la posizione di sicurezza di BMW. Roesler ha riflettuto: "Rispetto al momento in cui abbiamo attivato Wiz, il numero di problemi critici è diminuito del 95%. Se consideriamo che il numero di carichi di lavoro cloud è raddoppiato in questo periodo, il tasso di successo è ancora più alto".
I prossimi passi per un business rivoluzionario
La democratizzazione della sicurezza del cloud da parte di BMW nei team DevOps globali ha facilitato una gestione più proattiva del rischio. I team BMW hanno la visibilità di cui hanno bisogno per comprendere meglio le vulnerabilità e adottare rapidamente le misure di rimedio.
Ogni team deve risolvere i problemi. Wiz fornisce loro tutte le informazioni e fornisce loro anche una guida su come rimediare.
Oltre alla sicurezza, BMW ha apportato con successo miglioramenti all'efficienza operativa. L'utilizzo di report di sicurezza completi generati da Wiz ha ridotto significativamente lo sforzo manuale richiesto dai team. Cambiamenti come questo consentono a BMW di concentrare le proprie risorse sull'innovazione e sulla crescita del business.
Nel prossimo futuro, BMW mira a espandere Wiz a più aspetti del suo programma di sicurezza cloud, tra cui l'espansione dell'uso di Wiz Code per rilevare i problemi nelle prime fasi della pipeline di sviluppo, l'implementazione delle funzionalità Kubernetes e il passaggio a sofisticate operazioni di Cloud Detection and Response (CDR).
L'approccio innovativo di BMW alla sicurezza, abbinato a Wiz', ha portato a una partnership di successo. BMW è stata in grado di sfruttare le tecnologie cloud in modo sicuro, pur rimanendo all'avanguardia.
