Sfida
I team di sicurezza e sviluppo di Datavant hanno riscontrato lacune di visibilità nell'infrastruttura e nei processi dell'azienda.
Il ciclo di vita dello sviluppo del software (SDLC) dell'azienda era eccessivamente complesso; I singoli team hanno utilizzato strumenti e processi diversi, creando processi di sicurezza e di correzione dei rischi incoerenti.
L'approccio decentralizzato ha causato la proliferazione degli strumenti di sicurezza e un aumento delle sfide di raccolta e segnalazione delle informazioni da parte del team.
Soluzione
Datavant può ora vedere tutte le sue risorse nel suo ambiente multi-azienda e multi-cloud, sfruttando il Wiz Security Graph per rappresentare le interconnessioni e il rischio fino a livello di container.
Datavant ha sfruttato i Wiz Admission Controller abbinati alla scansione delle pipeline Wiz CLI e ha aggiunto controlli di sicurezza di integrazione e implementazione, consentendo agli sviluppatori di identificare, assegnare priorità e rimediare ai rischi in modo proattivo, migliorando continuamente la posizione di rischio dell'azienda.
L'azienda sta ora utilizzando Wiz come un'unica piattaforma di sicurezza aziendale per semplificare i processi e la reportistica dei rischi critici.
Holistic visibility
across six-company infrastructure, enabling teams to remediate risk more efficiently
51% reduction
in vulnerabilities and prevented net-new critical/high vulnerabilities from being introduced to the running environment.
Consolidated 7 security tools to 1
increasing savings by 50%, which will increase as other contracts end
Modernizzazione della gestione della sicurezza in un'infrastruttura IT complessa in un settore regolamentato
Datavant, un'azienda sanitaria che fornisce un ecosistema digitale per l'anonimizzazione e lo scambio sicuro dei dati dei pazienti, è utilizzata da oltre 70.000 ospedali e cliniche, dal 70% dei primi 100 maggiori sistemi sanitari, aziende farmaceutiche e altri. Datavant rende anonimi e anonimizza i dati, sfruttando tecnologie come le camere bianche dei dati per renderli accessibili ai partner. Queste organizzazioni utilizzano quindi questi dati per sviluppare nuovi farmaci, terapie e servizi che migliorano la cura e i risultati dei pazienti.
Datavant ha riunito sei aziende sorelle nel corso di diversi anni. L'unione della loro infrastruttura ha creato un ambiente IT complesso, che comprende AWS, Azure e VMware Flex Cloud Storage e numerosi strumenti di sviluppo e operazioni IT, come Terraform, Kubernetes, GitHub e GitLab. Inoltre, Datavant gestisce sia un ambiente IT commerciale per le aziende del settore privato che un ambiente FedRAMP® per i suoi clienti governativi.
A causa della struttura organizzativa decentralizzata dell'azienda, i pod/team di sviluppo utilizzavano i propri strumenti ed erano individualmente responsabili della sicurezza delle loro linee di prodotti. Ciò ha portato a soluzioni sovrapposte, costi elevati del software e policy di sicurezza del codice incoerenti. Di conseguenza, Datavant non disponeva di una visione centralizzata dei rischi dell'infrastruttura e delle applicazioni e non era in grado di applicare le best practice di sicurezza e gestione dei rischi.
Volevamo passare da un modello di sicurezza in cui si operava come un giardino recintato a uno in cui i nostri team di sviluppo partecipavano alla valutazione e alla correzione dei rischi in modo proattivo. La sicurezza deve essere integrata, non imbullonata ai nostri prodotti
Passaggio da processi di sicurezza decentralizzati a processi di sicurezza integrati
"Datavant è un'azienda ad alta autonomia, ma il nostro approccio decentralizzato ha fatto sì che la nostra toolchain del ciclo di vita dello sviluppo del software (SDLC) fosse ovunque", afferma Nick Waringa, Head of Secure Product and Infrastructure, Datavant. I team si sono affidati a 7 strumenti di sicurezza commerciali e open source indipendenti, che forniscono funzionalità e punti di vista diversi.
"I nostri team utilizzavano processi di scansione e correzione incoerenti, il che significava che i rischi rischiavano di non essere affrontati. I team di sviluppo dedicavano anche del tempo a raccogliere informazioni per segnalare ai leader che avrebbero potuto concentrarsi sulla correzione dei rischi", afferma Jonathan Pautz, Senior Engineering Manager, Cloud Security, Datavant.
I responsabili del team Secure Product and Infrastructure hanno visto l'opportunità di modernizzare la strategia di sicurezza della nostra azienda: creare una visibilità olistica tra le sue sei aziende e spostarsi a sinistra per consentire agli sviluppatori di identificare, assegnare priorità e affrontare i rischi nelle prime fasi della pipeline di sviluppo. Il team di sicurezza di Datavant ha valutato in modo approfondito quattro piattaforme e ha scelto Wiz per le continue innovazioni delle funzionalità di Wiz e per la profonda familiarità del team con la piattaforma. "La completezza della piattaforma l'ha resa una scelta facile. Wiz è stato il primo strumento implementato a livello aziendale in tutte e sei le nostre società sorelle. Ciò include tutti gli strumenti presunti come le risorse umane, la finanza, la chat e l'identità", afferma Waringa.
Datavant ha adottato rapidamente Wiz CNAPP funzionalità, a partire da Wiz CSPM e Wiz DSPM, che ha implementato negli ambienti AWS e Azure per identificare facilmente le informazioni sanitarie personali e rilevare e correggere le configurazioni errate. L'azienda ha quindi sfruttato il provider Wiz Terraform per aggiungere controlli alle pipeline Terraform e ha implementato Scansione IaC per eseguire attività e rilevare segreti, vulnerabilità ed errori di configurazione nei piani Terraform e nei cluster Kubernetes. Datavant sfrutta così tanto il provider Terraform che Terraform l'intera istanza Wiz (utenti, progetti e regole).
L'azienda ha anche iniziato a utilizzare Controller di ammissione Wiz Kubernetes e Sensore di runtime Wiz per consentire il rilevamento e la risposta in tempo reale delle vulnerabilità in oltre 1.700 Kubernetes, container e altri carichi di lavoro cloud, e il Connettore Wiz VMware per analizzare e correggere le macchine virtuali. "I nostri sviluppatori ora hanno una visibilità completa su questi ambienti, vedono i rischi all'interno del contesto e adottano misure proattive per ridurli", afferma Pautz. Il team ha distribuito i controlli dei contenitori con l'interfaccia della riga di comando di Wiz durante il processo di promozione del codice. "Attualmente concludiamo l'interfaccia a riga di comando di Wiz in Golang per fornire un approccio PR personalizzato che fornisca dati completi dell'interfaccia a riga di comando di Wiz per il nostro personale di sviluppo", afferma Pautz.
I team di sicurezza e sviluppo ora utilizzano Scansione segreta Wiz Per eseguire scansioni automatizzate su repository di codice, pipeline di esecuzione, file di configurazione, commit e altre origini dati per prevenire potenziali minacce alla sicurezza poste dai segreti esposti. Per semplificare i flussi di lavoro di sviluppo, il team di sicurezza contrassegna le risorse e i progetti con nomi di pod/team nei provider cloud con Terraform. Questi tag identificativi vengono poi Terraformati in Wiz, in modo che sia facile per gli sviluppatori trovare progetti associati al loro pod/team. Il team di sicurezza ha inoltre scritto una regola personalizzata che ha notificato ai team i container dell'infrastruttura che non aderiscono alle policy di tagging, garantendo che le dashboard del progetto Wiz riflettano accuratamente il carico di vulnerabilità per i pod/team decentralizzati.
"Centralizzando la visibilità, automatizzando le scansioni e abilitando l'assegnazione di tag, Wiz ha reso più facile per i nostri team interfunzionali identificare e dare priorità ai rischi", afferma Waringa. "Abbiamo anche utilizzato le regole per applicare le best practice di sicurezza, compresi i container configurati in modo errato".
Abbiamo utilizzato Wiz in altre due aziende. Ciò che ci ha spinto a sceglierlo di nuovo sono tutte le scelte tecnologiche che Wiz continua a fare e la velocità con cui implementa nuove funzionalità. Le scelte che fanno sul backend migliorano davvero la protezione dell'ambiente sul frontend.
Affrontare in modo proattivo le vulnerabilità per ridurre i rischi e i costi
Grazie alla visibilità dell'infrastruttura di sei aziende e ai processi di rischio automatizzati, Datavant è ora in grado di spostare la correzione del rischio all'inizio del ciclo di vita dello sviluppo. "Lavorando insieme, i nostri team di sicurezza e sviluppo hanno ridotto il numero di vulnerabilità dei container del 51%", afferma Pautz. Ciò consente ai team di concentrarsi sul miglioramento continuo, concentrandosi sui rischi medi e bassi e migliorando la posizione di rischio dell'azienda. Oggi, Datavant impedisce l'introduzione di tutte le nuove vulnerabilità critiche e alte al di fuori degli SLA nel suo ambiente di esecuzione.
"Bloccando le vulnerabilità non appena si verificano, gli sviluppatori possono risolvere i problemi quando sono più facili ed economici da risolvere, prima che il loro codice venga eseguito in produzione e presenti ganci, integrazioni o altri problemi che potrebbero richiedere una collaborazione multi-team per essere risolti", afferma Waringa.
Essere in grado di vedere e comprendere tutta la nostra infrastruttura e il suo funzionamento ha reso i nostri team di sicurezza e sviluppo più efficienti. Usiamo Wiz come Google: se abbiamo bisogno di sapere cosa sta succedendo nel nostro ambiente, lo apriamo e usiamo il Wiz Security Graph per interrogare quelle risorse.
Collaborazione per migliorare le funzionalità di sicurezza per il mercato
Datavant mantiene uno stretto rapporto con Wiz, proponendo nuove funzionalità e testando nuove funzionalità. L'azienda ha implementato i controller di ammissione la prima settimana in cui sono stati rilasciati e ha fatto un dispiegamento di un giorno del suo inquilino federale sfruttando la loro strategia per "Terraform to tool" subito dopo che Wiz ha raggiunto Autorizzazione FedRAMP® Moderata.
"Come cliente, non puoi chiedere di più che poter parlare con un partner che condivida la nostra prospettiva su come sarà il futuro della sicurezza, capisca il business case che stiamo cercando di raggiungere e possa spostare le montagne dietro le quinte", afferma Waringa. "Non ho mai visto un team di prodotto ricettivo che ascolta così bene come fa il team di Wiz".
