Desafio
A Revolut queria uma solução que fornecesse menos alertas mais inteligentes para destacar problemas reais que requerem atenção cuidadosa.
A Revolut precisava criar uma parceria colaborativa e flexível entre as equipes de segurança e engenharia.
Com altos volumes de novos recursos constantemente em produção, uma visibilidade automatizada mais inteligente era necessária para instituir melhores políticas de linha de base.
Solução
A Revolut usou o Wiz para priorizar as ameaças mais críticas e fornecer contexto acionável que permitiu que a segurança e os desenvolvedores concentrassem melhor seu tempo.
A Revolut instituiu um novo comitê multifuncional para discutir rotineiramente novas questões de segurança, apoiado por painéis e relatórios da Wiz.
A Revolut instituiu controles personalizados que se alinham com as políticas de segurança e integrou o Wiz com o Jira, criando tickets automatizados para corrigir vulnerabilidades identificadas mais rapidamente.
Protegendo um aplicativo de finanças em rápido crescimento
A Revolut ajuda mais de 30 milhões de clientes em 40 países a gastar, poupar e investir para construir um futuro financeiro melhor. Ele permite que as pessoas gerenciem todas as suas atividades financeiras a partir de uma única plataforma - de câmbio a transferências de fundos e investimentos.
O crescimento acelerado fez com que a equipe da Revolut se expandisse de centenas para milhares de funcionários em oito anos, com cerca de 1.000 engenheiros trabalhando em vários projetos e atualizações de recursos ao mesmo tempo.
"Quando você essencialmente se torna uma empresa, há novos tipos de processos que você precisa estabelecer", diz Uros Solar, chefe de operações de segurança e segurança de TI da Revolut. "Isso traz muitas mudanças, especialmente em um ambiente de rápido crescimento, onde há muitos novos recursos sendo adicionados constantemente."
Desde a sua fundação, a Revolut tem operado como uma operação nativa da nuvem no Google Cloud, com um pequeno número de sistemas locais para aderir a certos requisitos regulamentares. Mas com foco na construção de uma operação sem servidor e conteinerizada, a empresa está preparada para aproveitar novas oportunidades à medida que as necessidades dos clientes mudam.
Redução do ruído, redução do atrito
Sob seus sistemas tradicionais de varredura, a equipe de segurança da Revolut descobriu que havia simplesmente muito ruído sendo gerado. Altos volumes de alertas e tickets causaram muito trabalho manual, bem como atritos desnecessários entre as equipes de segurança e engenharia.
"É importante que a segurança seja um facilitador de negócios e não limite negativamente o progresso, mas equilibre riscos e benefícios adequadamente", diz Solar. "É melhor dizer aos usuários finais o que realmente está acontecendo e quais são os riscos reais e, em seguida, ver como podemos mitigá-los em um ambiente do mundo real."
Este impulso para construir uma melhor comunicação esteve por trás da busca da Revolut por uma solução que desse visibilidade e contexto ao seu ambiente. Uma abordagem mais direcionada ajudaria a Revolut a construir uma base para conversas iterativas entre as equipes de engenharia e segurança para abordar vulnerabilidades e riscos.
A segurança é como um sistema imunológico da organização. Ele precisa evoluir com a função primária do organismo. Se não o fizer, logo se tornará obsoleto para seu próprio propósito.
Relatórios envolventes e perspicazes
Mudando-se para a Wiz, Solar admite que "instantaneamente se apaixonou pela forma como as questões são apresentadas". A Revolut descobriu que a Wiz entregou valor imediato. "A facilidade de integração foi bastante alta", diz Solar. "Eu não esperava que houvesse muito valor do produto assim que nos integramos. Foi uma grata surpresa."
Indo além de simples alertas, a Revolut apreciou como a Wiz não apenas sinalizava problemas, mas também oferecia recomendações sobre como qualquer problema poderia ser resolvido.
"O Wiz nos concede a capacidade de exibir problemas de uma maneira envolvente e bastante interessante para a organização em geral", diz Solar. "A Wiz realmente parece entender uma empresa como a nossa, e dá muita supervisão imediatamente, orientando alguém a se aprofundar em um problema para realmente entender o que, onde, quando e como ele pode ser explorado."
A Revolut está agora a utilizar o Wiz para identificar proativamente potenciais vulnerabilidades e configurações incorretas, para monitorizar a conformidade em PCI e SOC2 e para detetar explorações críticas, como malware. A equipe de segurança também instituiu controles personalizados que se alinham às políticas de segurança, enviando alertas automatizados diretamente aos engenheiros para mitigar o risco.
Embora a Revolut tenha obtido sucesso com a integração da Wiz em seus processos, a equipe de segurança também se esforçou para fazer progressos para melhorar a cultura geral de segurança da organização.
"Não queremos tomar todas as decisões dentro da segurança", diz Solar. "A segurança toca tudo, mas nunca seríamos especialistas em tudo. Precisamos ouvir outros pontos de vista e tomar outras contribuições também para considerar se um determinado problema potencial deve ser tratado como um problema real ou não."
É sempre ouvir o ritmo da organização, ser flexível, saber o que está acontecendo e como facilitar e viabilizar. Precisamos saber muito sobre muitas coisas. Caso contrário, não podemos protegê-lo.
Para fazer isso, a Revolut organiza encontros regulares entre as principais partes interessadas e as equipes de segurança. "Não queremos criar tickets para as pessoas sem que elas façam parte da conversa - incluindo-as no processo de gerenciamento de vulnerabilidades desde o início antes mesmo de os problemas gerarem um ticket", diz Solar.
A clareza contextual proporciona uma mitigação mais rápida
Por exemplo, a Wiz foi capaz de vincular contas de serviço com o acesso a dados subjacente que elas permitiam, garantindo que problemas relevantes fossem associados adequadamente para revelar exatamente quais sistemas e conjuntos de dados estavam em risco.
"Entender quando uma conta de serviço específica é capaz de ver ativos em diferentes projetos ou ambientes ajuda a identificar se uma conta pode ter mais permissões do que você esperaria que tivesse e como isso se relaciona com implantações e ativos ativos", diz Solar. Destacar estes problemas num só local deu às equipas da Revolut uma compreensão imediata de como reduzir as permissões para as funções necessárias.
Com a Wiz fornecendo automaticamente esses insights, a Solar vê uma redução significativa no tempo e no esforço dos pesquisadores de segurança que precisam buscar manualmente detalhes dos engenheiros sobre para que uma determinada conta é usada, para que possa passar para a fase de mitigação sem demora.
Colocar os problemas em contexto mostra como eles podem se encadear para criar um grande problema, mas sempre foi um problema quando eles foram identificados de forma independente. Fazer com que a Wiz saiba automaticamente como os problemas se relacionam com os ativos subjacentes é extremamente poderoso.
Para a Revolut, a clareza e o foco fornecidos pela Wiz apoiaram o esforço da equipe para construir confiança entre as equipes de segurança e engenharia. Tendo criado novos comitês multifuncionais que se reúnem para discutir o progresso nos controles de segurança e conformidade, a Revolut vê que está atingindo seu objetivo de tornar a segurança um facilitador de suporte de excelentes serviços ao cliente. Além disso, a Solar é capaz de usar o painel para mostrar à liderança sênior de engenharia até que ponto as vulnerabilidades estão sendo corrigidas. "É importante apresentar o que você está trabalhando da melhor forma", diz Solar, "A Wiz nos ajuda a fazer isso."
Menos perguntando, mais ouvindo
À medida que aprofunda o uso do Wiz em toda a empresa, a Revolut espera continuar seu esforço para incluir a equipe no processo de decisão de segurança. "Queremos receber informações porque muitas vezes o usuário vai entender o contexto mais do que nós", diz Solar. "A maior parte do trabalho de investigação é perguntar aos funcionários o que eles pensam sobre os eventos. Queremos minimizar a necessidade de fazer perguntas nós mesmos e, principalmente, apenas ouvir as respostas à medida que elas vêm através de um processo melhor. É essencialmente sempre uma questão de contexto."
Quer saber como o seu programa de segurança na nuvem pode alcançar os mesmos resultados que o Revolut? Confira em detalhes as soluções do Wiz em segurança na nuvem para serviços financeiros.
