n8n s'est donné pour mission de rendre l'automatisation des flux de travail accessible aux équipes techniques. Au fur et à mesure de l'évolution de son produit et de son organisation technique, la complexité de son dispositif de sécurité s'est accrue. Nous avons discuté avec Cornelius, vice-président de l'ingénierie (et responsable de la sécurité par intérim) chez n8n, de la façon dont Aikido est devenu une pierre angulaire de leurs processus de gestion des vulnérabilités et de conformité.

‍

Salut Cornelius ! Peux-tu te présenter et expliquer ton rôle chez n8n ?

Je suis Cornelius, vice-président de l'ingénierie chez n8n. Je travaille chez n8n depuis près de quatre ans, où je supervise et développe notre équipe d'ingénieurs. Nous sommes actuellement une quarantaine d'ingénieurs (au sein d'une équipe de R&D d'environ 50 personnes), et nous prévoyons d'atteindre 60 personnes d'ici la fin de l'année. En plus de mes responsabilités d'ingénieur, j'agis également en tant que responsable de la sécurité de l'entreprise, aidant à naviguer dans les audits comme SOC 2 et aidant à définir notre posture de sécurité globale au fur et à mesure que nous évoluons.

‍

Qu'est-ce qui rend n8n unique dans le domaine de l'automatisation des flux de travail ?

Notre objectif est de donner aux techniciens les moyens d'agir. Vous n'avez pas besoin d'être un programmeur pour utiliser n8n, mais si vous l'êtes, la plateforme peut vous rendre 10 fois plus productif. Nous combinons le meilleur des deux mondes : la flexibilité d'un code bas et la puissance d'un code personnalisé lorsque cela est nécessaire. Cela facilite la création d'automatismes robustes, d'agents d'intelligence artificielle et d'outils internes.

‍

Quel rôle joue la sécurité dans votre secteur d'activité, et chez n8n en particulier ?

La sécurité est absolument essentielle pour deux raisons. Premièrement, les utilisateurs connectent leurs informations d'identification les plus sensibles (provenant d'outils tels que Google, Salesforce, des bases de données et d'autres API), ce qui signifie que nous devons gagner et conserver leur confiance pour gérer ces secrets.

Deuxièmement, nous servons des entreprises dans des secteurs très réglementés, y compris des agences gouvernementales et des organisations de sécurité ayant les exigences de conformité les plus strictes. Ces organisations choisissent souvent d'héberger elles-mêmes n8n, ce qui leur permet de contrôler totalement leurs données et leur infrastructure tout en respectant leurs normes strictes en matière de sécurité et de confidentialité.

‍

Y a-t-il eu un moment qui a déclenché une approche plus stratégique de la sécurité ?

Dans les premiers temps, la sécurité n'était pas ignorée, mais elle n'était pas non plus gérée de manière très structurée. Nous avions des outils comme Dependabot, GitHub code scanning, et Snyk en place, mais le bruit qu'ils créaient et les emails hebdomadaires qu'ils envoyaient n'étaient tout simplement pas suffisants. Il n'y avait pas de processus centralisé pour voir les résultats, ni de propriétaire pour les gérer.

‍

Nous avions des outils comme Dependabot, GitHub code scanning, et Snyk en place, mais le bruit qu'ils créaient et les emails hebdomadaires qu'ils envoyaient n'étaient tout simplement pas suffisants. Il n'y avait pas de processus centralisé pour voir les résultats, ni de propriétaire pour les traiter.

‍

Aikido nous a aidés à mettre en place ce processus. Aujourd'hui, chaque vulnérabilité signalée par Aikido (qu'il s'agisse de code, d'images Docker ou d'infrastructures) crée automatiquement un ticket dans Linear, avec des accords de niveau de service (SLA) basés sur la gravité. Cela signifie que chaque problème est suivi, priorisé et traité dans des délais définis. La sécurité n'est plus un simple outil, c'est devenu un processus.

‍

Quelles étaient vos principales préoccupations en matière de sécurité avant d'adopter l'Aïkido ?

Principalement :

• Pas de processus cohérent
• Pas de synthèse centrale de tous les résultats 
• Aucun moyen d'appliquer les accords de niveau de service aux problèmes de sécurité

Nous avions besoin de quelque chose qui nous aiderait à respecter les délais de résolution, par exemple 21 jours pour les résultats les plus graves. Aikido nous a donné la structure nécessaire pour atteindre ces objectifs.

‍

Comment gériez-vous la conformité et les audits avant l'Aïkido ?

Nous travaillions avec Drata, mais les preuves de conformité nécessitaient encore beaucoup d'efforts manuels. Aikido complète maintenant Drata en fournissant une seule fenêtre pour nos outils de sécurité. Cela nous a permis de réduire le temps nécessaire à la collecte des preuves et à la réussite des audits.

‍

L'intégration de Drata d'Aikido nous aide à réduire le temps nécessaire à la collecte de preuves et à la réussite des audits.

‍

Qu'est-ce qui est ressorti de l'Aïkido lors de votre évaluation ?

Nous avons été les premiers à adopter Aikido. L'intégration de GitHub était prête à l'emploi, en quelques clics. 

Mais surtout, l'équipe d'Aikido a été incroyablement réactive. Nous donnions notre avis et l'équipe d'Aikido répondait dans l'heure et livrait les améliorations ou les corrections dans la journée. Elle le fait encore aujourd'hui. Ce type de partenariat était inestimable, en particulier lors de la préparation d'un audit SOC 2.

‍

L'équipe d'Aïkido est incroyablement réactive. Nous donnons notre avis et recevons une réponse dans l'heure qui suit. Les améliorations ou les corrections sont souvent livrées dans la journée.

‍

Comment avez-vous intégré l'Aïkido dans vos processus de travail ?

• GitHub pour l'analyse des bases de code
• Linéaire pour la remise et la résolution des tickets

Dans l'ensemble, cela nous a aidés à garder le contrôle de la situation.

‍

Comment s'est déroulée votre expérience au sein de l'équipe d'Aïkido ?

Excellents. Ils sont incroyablement rapides et transparents, et toujours prêts à répondre à un appel ou à résoudre un problème rapidement. Il y a beaucoup de confiance là-dedans. Comme nous l'avons mentionné, chaque fois que nous rencontrons un bogue ou que nous avons un retour d'information, l'équipe s'en occupe rapidement et corrige généralement les choses en moins d'une journée. Ce soutien a largement contribué à la réussite du déploiement.

‍

Quelle est votre caractéristique préférée en Aïkido ?

Le filtrage par équipe est indéniable. Il nous permet d'acheminer instantanément les vulnérabilités vers la bonne équipe. 

Mais c'est sur le fil principal que je passe le plus de temps. Je le consulte au moins cinq fois par semaine pour voir ce qui est ouvert, ce qui est urgent et ce qui a été résolu. Cela me donne une visibilité totale.

‍

C'est sur le fil principal d'Aïkido que je passe le plus clair de mon temps. Je le consulte au moins cinq fois par semaine pour voir ce qui est ouvert, ce qui est urgent et ce qui a été résolu. Cela me donne une visibilité totale.

‍

Étant donné que nous sommes à la fois un produit commercial et open-source, nous nous appuyons fortement sur des bibliothèques open-source. La vue des licences open-source et les fonctionnalités SBOM (Software Bill of Materials) sont également essentielles pour nous.

‍

n8n fait état d'une réduction du bruit de 92 % grâce à l'aïkido. Quel est l'impact ? 

Oui ! La réduction du bruit de 92 % change la donne. Elle nous permet de nous concentrer sur les 8 % qui comptent vraiment. Rien que cela, c'est de l'or en barre. 

Bien que certains billets soient un peu énigmatiques, ils sont suffisants pour permettre aux ingénieurs de démarrer. Honnêtement, nous nous sommes rapidement habitués au "silence", et j'aimerais maintenant qu'il soit encore plus silencieux. C'est un énorme gain de productivité et de santé mentale.

‍

Avec une réduction du bruit de 92 %, nous nous sommes rapidement habitués au silence. Maintenant, j'aimerais qu'il soit encore plus silencieux ! C'est un énorme gain de productivité et de sérénité.

‍

‍

Avez-vous constaté des résultats mesurables ?

Le simple fait de pouvoir dire "nous avons réduit le bruit de 92 %" a un impact. Mais au-delà de cela, la capacité à respecter les accords de niveau de service et à passer les audits plus efficacement est une grande victoire pour nous.

‍

Comment l'aïkido a-t-il modifié votre position en matière de sécurité ?

Il a centralisé notre approche. Auparavant, les choses étaient éparpillées entre les outils et les boîtes de réception. Aujourd'hui, nous disposons d'une source unique de vérité.

‍

Si vous deviez résumer l'impact de l'Aïkido à n8n en une phrase ?

‍

L'aïkido nous apporte la tranquillité d'esprit en matière de sécurité (ce qui est déjà impressionnant en soi).

‍

‍