En un coup d'œil
- Centralisation de la sécurité d'un vaste parc diversifié de technologies et d'équipes en une seule vue
- Déploiement d'Aikido par phases, en commençant par le produit code
- Adéquation d'Aikido avec les priorités de souveraineté de KEYES, les données résidant dans l'UE sous législation belge
- Réduction du travail manuel de vérification des résultats, libérant du temps pour d'autres priorités
- Livraison d'une fonctionnalité demandée sous forme de PR, avec correctif et déploiement en quelques jours
- Constat d'une adoption croissante d'Aikido par les développeurs au cœur de leur flux de travail
Centralisation de la sécurité sur un vaste parc
KEYES, anciennement le Groupe NRB, est l'un des plus grands groupes TIC de Belgique. Basé à Herstal et fondé en 1987, il emploie environ 3 700 personnes, exploite ses propres centres de données en Belgique et fournit des services souverains à un large éventail d'équipes et de technologies. Cette échelle constitue la toile de fond de ses activités de sécurité : une organisation de sécurité mature gérant une grande variété d'environnements.
Fabrice Servais, ingénieur de sécurité chez KEYES, fait partie de l'équipe sécurité et opérations qui gère le SOC, la gestion des vulnérabilités et la réponse aux incidents. Son groupe travaille à intégrer davantage la sécurité applicative dans le cycle de vie du développement, et le premier problème à résoudre était la visibilité sur un large ensemble de technologies et d'équipes.
"Nous prenons en charge de nombreuses technologies et piles techniques différentes au sein de multiples équipes. Aikido nous aide à combler les lacunes, à centraliser nos résultats de sécurité et à améliorer notre posture de sécurité globale."
Le défi
Complexité à travers de nombreuses technologies
KEYES prend en charge de nombreuses piles techniques au sein de multiples équipes et exploite ses propres centres de données avec des charges de travail sur site. Pour une équipe de sécurité et d'opérations disposant déjà d'une organisation mature, la difficulté n'a jamais résidé dans la structure. Il s'agissait plutôt de regrouper les résultats de chacun de ces environnements en un seul endroit, au lieu de les suivre pile par pile et équipe par équipe.
Une vue unique pour chaque environnement
Les résultats étaient répartis par conception dans de nombreux environnements, chacun étant proche de son équipe attitrée. KEYES souhaitait également les regrouper pour que l'équipe de sécurité puisse avoir une vue d'ensemble sur tous les environnements simultanément, et non plus équipe par équipe.
Pourquoi KEYES a choisi Aikido
Moins de bruit, un triage plus rapide
Lorsque l'équipe a comparé les différentes solutions, l'utilisation de plusieurs outils entraînait une charge opérationnelle importante consistant à vérifier manuellement les résultats, couche par couche. Aikido a regroupé les résultats selon leur criticité et les a triés directement au sein de la plateforme, ce que a réduit le temps passé par l'équipe à analyser et lui a permis de se consacrer à d'autres tâches.
La souveraineté, une priorité pour KEYES
La souveraineté est une priorité stratégique pour KEYES. En tant qu'acteur belge disposant de ses propres centres de données et d'offres de services souveraines, l'entreprise fait de plus en plus face aux mêmes interrogations de la part de ses propres clients : que deviennent mes données, que deviennent mes résultats, où est hébergée mon application. Le fait qu'Aikido s'aligne sur cette position, en tant qu'entreprise belge dont les données résident dans l'UE sous législation belge, a constitué un avantage supplémentaire par rapport à l'adéquation de la plateforme. Fabrice a noté qu'il restait une marge de progression vers des données hébergées sur site, que l'équipe prévoit de continuer à explorer.
"L'une des remarques qui revient le plus souvent est la suivante : que deviennent mes données, où est située mon application. Le fait qu'Aikido soit une entreprise belge, dont les données résident dans l'UE et sont traitées selon le droit belge, répondait parfaitement à cette priorité."
Commencer par le code, conçu pour évoluer
Plutôt qu'un déploiement massif unique, KEYES intègre Aikido module par module, un choix délibéré compte tenu de la taille du parc. L'équipe a commencé par le produit code, en donnant la priorité à son adoption par les développeurs avant d'élargir le périmètre. La suite est déjà tracée : l'analyse du cloud et des attaques suivra à mesure que le déploiement se poursuivra, et les équipes d'infrastructure devraient s'appuyer sur la posture construite par Aikido au fil du processus.
"Nous entamons notre démarche pour intégrer Aikido dans notre cycle de développement avec le produit code, mais nous constatons déjà le besoin d'analyser également le cloud et les attaques."
Des développeurs qui en demandent plus
L'accueil des développeurs a été excellent dès le premier déploiement. Plutôt que de forcer l'adoption de l'outil, l'équipe de sécurité a vu les développeurs comprendre par eux-mêmes les avantages et demander à intégrer davantage Aikido dans leurs méthodes de travail.
"Lorsque nous avons déployé Aikido, l'accueil a été l'un des meilleurs que nous ayons connus. Les développeurs ont compris les avantages d'eux-mêmes et nous ont demandé de l'intégrer plus profondément dans leur flux de travail."
Un correctif livré en quelques jours
Le partenariat s'est illustré dès l'intégration. KEYES avait besoin d'une fonctionnalité manquante pour déployer le broker d'Aikido avec GitOps, afin de pouvoir exécuter Aikido sur ses dépôts privés. Après que Fabrice a soulevé le point, une pull request, un correctif et un déploiement ont suivi en l'espace de quelques jours. Cette boucle de rétroaction courte a façonné la perception qu'a l'équipe d'Aikido autant que n'importe quelle fonctionnalité.
"Il nous manquait une fonctionnalité pour déployer le broker avec GitOps. J'ai contacté l'équipe, et en quelques jours, il y avait une PR, un correctif et un déploiement. La boucle de rétroaction est très courte. Cela prouve qu'Aikido écoute et agit immédiatement."
Les prochaines étapes pour KEYES
KEYES utilise actuellement Aikido pour l'analyse de code. L'analyse du cloud et des attaques constitue les prochains modules prévus à mesure que le déploiement se poursuit. Le pentest IA est envisagé comme outil supplémentaire en plus des services de pentest que KEYES propose déjà à ses propres clients, intégré au cycle de développement de manière plus automatisée plutôt que de fonctionner séparément.
Verdict final
Pour Fabrice, la relation a su se maintenir bien au-delà du simple processus de vente.
"La discussion ne s'arrête pas une fois le contrat signé. Nous avons été soutenus avant de nous engager avec Aikido, et ce soutien est toujours présent dans nos projets et notre intégration."
