Sfida
FullStory, fornitore di soluzioni di analytics digitale, desiderava ampliare la visibilità della sicurezza del cloud per identificare e mitigare le vulnerabilità difficili da prevedere.
Il team di sicurezza di FullStory ha cercato di coltivare la collaborazione a livello aziendale, integrando la sua etica di sicurezza in tutta l'organizzazione, a vantaggio di tutti.
FullStory aveva bisogno di una soluzione in grado di identificare i rischi critici e generare avvisi prioritari che non sovraccaricassero la funzione di ingegneria.
Soluzione
FullStory correla i problemi di sicurezza del cloud in tutto il suo ambiente cloud e abilita il contesto di runtime distribuendo il Sensore di runtime Wiz nei suoi cluster Kubernetes.
Con le informazioni generate da Wiz, il team di sicurezza può spiegare meglio ai colleghi tecnici perché i rischi devono essere mitigati, rafforzando ulteriormente la partnership e la collaborazione.
FullStory utilizza Wiz per distinguere tra rischi critici e ipotetici, falsi positivi e rischi bassi/medi, per ottimizzare l'allocazione delle risorse di sicurezza.
Rivelare i fattori scatenanti che influenzano il comportamento d'acquisto dei consumatori
Fondata ad Atlanta nel 2014, Storia completa è leader di mercato nel software di analitica digitale per le aziende digitali. La sua piattaforma offre alle aziende un quadro completo di come i consumatori utilizzano il loro sito web, l'app mobile o la piattaforma software, in modo che possano migliorare la CX e aumentare i tassi di conversione dei clienti.
Con la sua tecnologia Session Replay, FullStory consente ai fornitori di aziende digitali di vedere quando un cliente abbandona il suo carrello e perché, dando ai fornitori l'opportunità di affrontare i problemi di UX. FullStory utilizza la tecnologia di acquisizione automatica per aiutare a rivelare queste informazioni, estraendo le sezioni HTML pertinenti necessarie per ricreare le interazioni con i clienti.
Per rendere possibile tutto ciò, il team di FullStory utilizza Google Kubernetes Engine per i deployment dei container, Google Compute Engine per ospitare le macchine virtuali e BigQuery per l'archiviazione dei dati.
Mark Stanislav, VP of Security Engineering, Governance, Risk and Compliance di FullStory, afferma che concentrarsi su un unico fornitore di servizi cloud è una scelta strategica: "FullStory è radicato in Google Cloud e lo è sempre stato. Una grande sicurezza si riduce in ultima analisi alla riduzione al minimo della complessità. Minore è la complessità, più facile è raggiungere i propri obiettivi".
Abilitazione della funzione di ingegneria attraverso una collaborazione rafforzata
Migliorare il rapporto tra i team di ingegneria del software e sicurezza di FullStory è stata una delle principali priorità per Stanislav quando è stato promosso a VP of Security Engineering nel settembre 2022. Senza alcuna influenza del team di sicurezza, la funzione ingegneristica dell'azienda aveva già creato solidi processi per la progettazione del software di prodotto, la creazione di documenti e la revisione tra pari. Il team di ingegneri aveva i propri processi di approvazione, che includevano un'analisi dei blocchi dei rischi per la sicurezza del cloud per ogni prodotto.
Stanislav afferma che il suo obiettivo è quello di alimentare questo ambiente e abilitare ulteriormente gli ingegneri di FullStory, piuttosto che bloccarli con ostacoli alla sicurezza. "C'è questa cultura ingegneristica rigorosa e matura in FullStory", spiega. "Assumiamo ingegneri estremamente talentuosi e premurosi, quindi vogliamo farli muovere in sicurezza, piuttosto che mettere barriere di sicurezza davanti a loro", spiega.
Secondo Stanislav, ogni implementazione del software FullStory segue uno schema simile. Questo approccio basato su modelli garantisce la massima coerenza per la creazione e la distribuzione di nuovo codice. Ma nonostante il team di ingegneri attenti alla sicurezza di FullStory e un ambiente Google Cloud semplificato con implementazioni standardizzate, Stanislav e il suo team avevano ancora bisogno di un modo rapido ed efficace per identificare e mitigare le minacce impreviste all'ambiente cloud dell'azienda.
Molti team di sicurezza diventano molto bravi a proteggere le cose che conoscono. Quindi, il vero rischio risiede nelle cose di cui non sono a conoscenza, o nella tecnologia che non sapevano fosse stata implementata. Avevamo bisogno di una soluzione che potesse concentrarsi sulle lacune della sicurezza del cloud, sui rischi anomali e sulle incognite.
La sfida dell'implementazione di una soluzione di sicurezza cloud granulare, tuttavia, è che i team di sicurezza possono essere inondati di notifiche (comprese ipotetiche e falsi positivi) e questo rumore può mascherare vulnerabilità critiche.
Il team di Stanislav aveva bisogno di una soluzione che non solo desse priorità ai rischi critici, ma fornisse anche un contesto completo, in modo da poter spiegare al team di ingegneri l'urgenza di mitigare vulnerabilità specifiche. Questo livello di informazioni condivise rafforzerebbe ulteriormente la collaborazione all'interno di FullStory.
Sfruttare una soluzione "incredibilmente veloce", costruita da zero
FullStory ha adottato la piattaforma Wiz sulla base di almeno due USP. Il primo è stata la velocità con cui gli utenti possono interagire con la piattaforma. "Anche quando ci si concentra su query molto complesse e sfumate, le risposte di Wiz sono incredibilmente rapide", afferma Stanislav. "Puoi creare praticamente qualsiasi tipo di richiesta e Wiz ti risponderà quasi immediatamente. Altri CSPM possono richiedere pochi minuti per generare una risposta, il che può essere molto frustrante".
FullStory era inizialmente cauto riguardo al lancio di Wiz', adottando un approccio "land and expand", che consente loro di valutare appieno l'impatto della soluzione. Hanno dimostrato che il sensore non degrada le prestazioni e hanno riscontrato un enorme valore nei nuovi casi d'uso sbloccati dal sensore. Ora, il sensore di runtime viene distribuito nei cluster gestiti da GKE. Ciò consente il monitoraggio in tempo reale, il rilevamento in tempo reale e il contesto di runtime. Stanislav considera le funzionalità aggiuntive del sensore come un'estensione naturale del prodotto principale senza agenti. L'aggiunta del contesto di run-time, vedendo la vulnerabilità in esecuzione, mostra che la soluzione sta dando correttamente priorità alla mitigazione del rischio, aggiungendo un ulteriore livello di fiducia per il team di Stanislav.
Il rischio con altre tecnologie ad alta automazione è che emettono così tanti avvisi che gli utenti si dissintonizzano. Wiz, tuttavia, classifica il rischio in modo altamente perseguibile. Non riceviamo 200 avvisi al giorno, quindi quando riceviamo un avviso critico, sappiamo che dobbiamo risolverlo immediatamente.
Ad esempio, questa visibilità granulare può consentire al team di Stanislav di identificare rapidamente una porta di servizio esposta, un problema che altrimenti potrebbe richiedere mesi o anni per essere identificato. Possono anche isolare immediatamente le nuove vulnerabilità del codice prima del lancio di un prodotto, riducendo praticamente a zero i rischi per la sicurezza del cloud.
Uno degli altri punti chiave di vendita di FullStory è che la piattaforma Wiz è stata sviluppata in modo indipendente, senza goffe tecnologie di terze parti. "Con molte soluzioni di sicurezza informatica, si può dire che sono state messe insieme a seguito di una fusione o acquisizione", afferma Stanislav. "È ovvio che queste piattaforme non hanno la stessa base di codice sottostante o le stesse API. Wiz è diverso perché è stato costruito da zero, con un'uniformità intenzionale. La qualità superiore che ne deriva è evidente".
Fare della sicurezza una responsabilità condivisa
Stanislav e il suo team sono stati in grado di migliorare ulteriormente la collaborazione interna offrendo ai team di ingegneri l'accesso a Wiz. Ciò consente loro di comprendere e assegnare facilmente le priorità ai rischi in modo più rapido e a un livello più granulare, interrogando il grafico di sicurezza della piattaforma ed eseguendo report di sicurezza accurati.
Il team di sicurezza sta supportando un maggior numero di stakeholder e sta ampliando la propria sfera di influenza in tutta l'azienda sfruttando i dati forniti da Wiz per consentire a tutti di svolgere un ruolo nella salvaguardia di FullStory dalle minacce alla sicurezza.
Estendere la visibilità al team di ingegneri è una parte fondamentale del processo collaborativo per Stanislav. Dice che "non è sufficiente dire a un ingegnere di correggere una vulnerabilità di sicurezza, vogliono sapere perché. Vogliono essere partner. Ciò significa che anche il team di sicurezza deve avere un'idea di come potrebbe essere una soluzione".
Stanislav e il suo team stanno ora esplorando nuove entusiasmanti opportunità per collaborare con gli stakeholder interni di una gamma più ampia di funzioni aziendali, condividendo avvisi di vulnerabilità di Wiz e diffondendo il loro messaggio unico sulla sicurezza del cloud man mano che procedono.
