Qu'est-ce qui a changé depuis notre dernière conversation ?
Depuis la publication de ce premier article, nous avons de nouveau rencontré Nicolai Brogaard. Le paysage des menaces a évolué, tout comme la manière dont Visma utilise l’ Aikido . Aujourd’hui, le groupe exploite analyse de la composition logicielle, SAST, AutoFix et les rapports de conformité sur Aikido à l’échelle de son portefeuille, et deux aspects en particulier ont changé : la nature des menaces contre lesquelles Visma se défend, et jusqu’où l’entreprise est prête à pousser l’ Aikido.
Un problème de chaîne d'approvisionnement qui touche désormais tout le monde
La détection des logiciels malveillants est désormais au cœur des préoccupations de Visma. Alors qu’auparavant, un problème dans la chaîne d’approvisionnement se résumait à un seul colis compromis, les attaques ont désormais une portée bien plus large, et le groupe s’y prépare plutôt que d’espérer les éviter. Le service « Aikido » signale si un colis contient du contenu malveillant, et l’équipe traite un colis malveillant actif différemment d’une vulnérabilité CVE connue.
attaques de la chaîne d’approvisionnement Auparavant, il s'agissait d'un seul et même système susceptible d'être compromis. Désormais, ils s'attaquent à tout et à tout le monde, simultanément. Nous devons partir du principe que les chaînes d'approvisionnement que nous utilisons finiront par être piratées.
Avec un CVE connu, il se peut que vous n'ayez pas accès au code vulnérable. En revanche, si un code malveillant s'exécute dans un paquet, vous y avez accès à 100 %. Vous êtes alors confronté à un incident de sécurité en cours.
Défendre en terrain découvert
L'une des choses que Nicolai apprécie particulièrement, c'est qu'Aikido partage ses recherches avec l'ensemble de la communauté, et pas seulement avec ses propres clients.
La sécurité est un jeu où nous sommes tous en défense en même temps. Si nous cessons de partager nos failles, nos expériences et nos recherches, ce sont les attaquants qui l'emportent, car nous restons silencieux.
Protection des appareils de test
Nicolai teste actuellement la protection des appareils ; il est séduit par le fait que celle-ci reste très légère sur les machines des développeurs tout en protégeant les écosystèmes des packages, ainsi que par la possibilité de définir lui-même la durée de latence des mises à jour au lieu d'accepter la valeur par défaut de l'écosystème.
pentest IA et audit du code
L'équipe évalue actuellement pentest IA, dans le but d'accompagner ses testeurs d'intrusion humains plutôt que de les remplacer. Elle s'intéresse également à l'audit de code, notamment à une utilisation qui correspond étroitement au modèle de Visma : l'analyse de l'état d'une base de code dans le cadre d'une due diligence technique portant sur des entreprises susceptibles d'être rachetées.
Le recours à ces outils nous aide à mener à bien notre audit technique sur les cibles d'acquisition potentielles.
Quand on demande à Nicolai ce que tout cela signifie, il revient à l'essentiel.
Pour moi, le principal avantage de l’ Aikido , c’est qu’il met clairement en évidence les points clés, ce qui me permet de savoir sur quoi me concentrer et quelles priorités fixer ensuite.
Publié initialement le 21 novembre 2024
Il y a quelque temps, nous avons annoncé que Visma avait choisi Aikido Security pour ses sociétés de portefeuille. Visma développe et fournit des logiciels aux petites entreprises, aux moyennes entreprises et au secteur public – améliorant la vie professionnelle de millions de personnes à travers le monde. Leurs logiciels simplifient et automatisent les processus de travail complexes et manuels, facilitant ainsi le quotidien des gens.
Récemment, nous avons eu le plaisir de recevoir Nicolai Brogaard, Service Owner SAST & SCA à notre siège belge. Visma développe et fournit des logiciels aux petites et moyennes entreprises, ainsi qu'au secteur public – améliorant la vie professionnelle de millions de personnes à travers le monde. Leurs logiciels simplifient et automatisent les processus de travail complexes et manuels, améliorant ainsi le quotidien des gens. Nikolai fait partie de l'équipe de tests de sécurité chez Visma, un grand conglomérat de plus de 200 sociétés de portefeuille. Visma prend la sécurité très au sérieux – c'est un aspect sur lequel ils se concentrent à tous les niveaux. Avec 15 000 employés (dont 6 000 développeurs) et une équipe de sécurité dédiée de 100 personnes, la sécurité est au cœur de leurs opérations.
Voici ses réflexions sur l'évolution du paysage de la sécurité, et le rôle qu'y joue Aikido.
Pourquoi Aikido ? SCA et une approche tout-en-un
Chez Visma, nous avons envisagé de développer nos propres outils de sécurité, mais nous avons rapidement réalisé que ce n'était pas la meilleure utilisation de nos ressources. C'est là qu'Aikido est intervenu. Ils ont comblé les lacunes que nos outils existants, en particulier le SAST (Tests de sécurité des applications statiques), ne couvraient pas. Avec Aikido, nous n'avons pas eu à nous épuiser à développer des outils à partir de zéro.
Tout tourne autour de la puissante analyse de la composition logicielle (SCA) d'Aikido – l'outil ultime pour l'analyse des dépendances. Les entreprises de Visma pourront surveiller continuellement leur code, trouver les vulnérabilités importantes et les corriger en un clin d'œil. Outre l'outil SCA, la plateforme tout-en-un d'Aikido propose des solutions comme le SAST, regroupant les meilleures solutions open source pour Ruby, Python, Golang et PHP.
L'expertise régionale compte
Étant basés dans l'UE, il est très important pour nous de travailler avec des fournisseurs qui comprennent les réglementations spécifiques auxquelles nous sommes confrontés – en particulier des éléments comme le RGPD et les exigences de résidence des données. Aikido le comprend. Ils connaissent les tenants et les aboutissants des réglementations de l'UE, ce qui nous facilite grandement la conformité avec des exigences telles que la conservation des données sur le territoire national.
Aikido surveille de près la législation européenne en matière de cybersécurité et de confidentialité, telle que le RGPD, NIS2, CRA, DORA, etc. Grâce à la fonction de reporting d'Aikido, le suivi de la conformité technique de sécurité de votre entreprise devient un jeu d'enfant.
Comment Visma évalue les logiciels de sécurité
Lorsque nous examinons de nouveaux fournisseurs, nous appliquons la règle des 80/20 : si une solution répond aux besoins de 80 % de nos sociétés de portefeuille, elle mérite d'être prise en compte. Aikido a parfaitement répondu à cette exigence pour nous. Au-delà du simple SCA, ils offrent des fonctionnalités supplémentaires, comme la résolution des angles morts de sécurité et l'aide au CSPM (Cloud Security Posture Management). Ces avantages supplémentaires ont vraiment scellé l'accord pour nous.
Tenter de réduire le bruit généré par [d'autres] outils – en se plongeant dans le rapport signal/bruit – est un cauchemar. Aikido a parfaitement répondu à nos attentes.
Les avantages d'Aikido
Aikido n'a pas seulement amélioré notre posture de sécurité, il nous a également aidés à mettre en lumière des éléments que nous manquions avec nos outils précédents. Initialement, nous les avons adoptés pour le SCA, mais nous avons rapidement réalisé qu'ils pouvaient faire bien plus, notamment en réduisant le temps et les efforts consacrés à la gestion des faux positifs. Leur fonctionnalité de correction automatique représente un gain de temps considérable pour nos équipes. Elle élimine le bruit, permettant ainsi à nos développeurs de se concentrer sur l'essentiel.
La fonctionnalité de correction automatique d'Aikido représente un gain de temps considérable pour nos équipes. Elle élimine le bruit, permettant ainsi à nos développeurs de se concentrer sur l'essentiel.
Transition fluide
Le réseau de Visma est colossal et en constante croissance, c'est pourquoi les logiciels que nous utilisons doivent non seulement renforcer la posture de sécurité de nos sociétés de portefeuille, mais aussi être sans tracas. En pratique, Visma valorise la simplicité d'intégration, et Aikido offre précisément cela : une intégration rapide, facile et efficace à travers l'ensemble du réseau de Visma.
Chez Visma, nous disposons d'un portail interne pour développeurs en sécurité appelé Hubble, qui rend l'intégration de nouveaux outils extrêmement simple. Avec Aikido, il a suffi de les intégrer à Hubble et d'inciter doucement nos sociétés de portefeuille à faire la transition. La plupart des entreprises ont effectué la transition rapidement, et les autres suivront avec le temps à mesure que nous suivons les risques en interne. L'API d'Aikido s'intègre parfaitement à la gestion des stocks de Visma. Ainsi, en quelques clics, le réseau de Visma peut commencer à utiliser Aikido en un rien de temps.
Ce que Visma apprécie chez Aikido
Ce qu'il y a de mieux avec Aikido ? Ils sont extrêmement proactifs. Nous avons un canal Slack partagé avec eux, et ils sont toujours rapides à répondre et à résoudre les problèmes rencontrés par nos équipes. C'est formidable de se sentir plus qu'un simple client – ils se soucient réellement que nous tirions le meilleur parti de leur produit.
Aikido n'est pas seulement un fournisseur pour nous, c'est un véritable partenaire. Leur réactivité et leur dévouement à nous aider à réussir font toute la différence.
Le défi budgétaire de sécurité de Visma
Brogaard souligne : “Les outils de sécurité coûtent beaucoup trop cher.”
La plupart des plateformes similaires ont un modèle de tarification axé sur les développeurs, ce qui génère des coûts imprévisibles et rend la budgétisation inutilement complexe et constamment problématique. Par conséquent, pour Visma, le modèle de tarification devient un point sensible de sécurité de haute priorité. Compte tenu de la taille de Visma et de l'expansion continue de son réseau, l'augmentation exponentielle des coûts et l'imprévisibilité budgétaire deviennent insoutenables.
Aikido Security résout le problème du modèle de tarification problématique de Visma grâce à son plan entreprise avec utilisateurs illimités – un tarif forfaitaire connu à l'avance. L'absence de coûts inconnus représente un avantage considérable pour la budgétisation.
Points saillants :
- Combler les lacunes de sécurité : Aikido met en lumière les angles morts que nos autres outils ne détectent pas.
- Automatisation gain de temps : La fonctionnalité d'auto-remédiation réduit le bruit, permettant à nos développeurs de se concentrer sur les problèmes réels.
- Intégration simple : Grâce au portail interne de Visma, intégrer les entreprises à Aikido est un jeu d'enfant.
- Support proactif : Le support rapide et réactif d'Aikido via les plateformes de messagerie instantanée (comme Slack) nous donne le sentiment d'être entre de bonnes mains.
- Tarification prévisible : Aikido utilise des grilles tarifaires incluant les utilisateurs et les packs de fonctionnalités. Une tarification transparente, sans frais cachés par utilisateur ou pour l'utilisation.
