Ce qui a changé depuis notre dernière discussion
Depuis la publication de cet article, nous nous sommes entretenus à nouveau avec Nicolai Brogaard. Le paysage des menaces et la manière dont Visma utilise Aikido ont tous deux évolué. Aujourd'hui, le groupe déploie l'analyse de la composition logicielle, le SAST, AutoFix et les rapports de conformité d'Aikido sur l'ensemble de son portefeuille. Deux aspects se sont particulièrement transformés : la nature des menaces contrées par Visma et l'étendue de l'utilisation qu'elle fait d'Aikido.
Un problème de chaîne d'approvisionnement qui touche désormais tout le monde
La détection des logiciels malveignants est devenue une priorité absolue pour Visma. Alors qu'un problème de chaîne d'approvisionnement se limitait autrefois à un seul paquet compromis, les attaques sont aujourd'hui beaucoup plus vastes, et le groupe préfère s'y préparer plutôt que d'espérer y échapper. Aikido signale si un paquet contient du malware, et l'équipe traite un paquet malveillant actif différemment d'une vulnérabilité CVE connue.
Les attaques de la chaîne d’approvisionnement se résumaient auparavant à un seul paquet potentiellement compromis. Désormais, elles prennent pour cible l'ensemble des systèmes et des collaborateurs, simultanément. Nous devons partir du principe que les chaînes d'approvisionnement que nous utilisons seront compromises.
Face à une CVE connue, il est possible que vous n'ayez aucune accessibilité au code vulnérable. En revanche, avec du code malveillant s'exécutant dans un paquet, l'accessibilité est de 100 %. Vous faites alors face à un incident de sécurité en cours.
Défendre en mode open source
Ce que Nicolai apprécie particulièrement, c'est qu'Aikido partage ses recherches avec l'ensemble de la communauté et pas seulement avec ses propres clients.
La sécurité est un domaine où nous devons tous faire front commun. Si nous cessons de partager nos compromissions, nos retours d'expérience et nos recherches, les attaquants gagnent, car nous choisissons le silence.
Test de la protection des appareils
Nicolai teste la protection des appareils, séduit par la légèreté de la solution sur les postes de développement tout en protégeant les écosystèmes de paquets, ainsi que par la possibilité de configurer sa propre fenêtre de délai de mise à jour au lieu d'accepter les paramètres par défaut de l'écosystème.
Pentest IA et audit de code
L'équipe évalue le pentest IA, avec pour objectif d'épauler ses pentesters humains plutôt que de les remplacer. Elle examine également l'audit de code, avec un cas d'usage particulièrement adapté au modèle de Visma : l'analyse de l'état d'une base de code dans le cadre d'une due diligence technique sur des entreprises potentiellement ciblées par une acquisition.
L'utilisation de ces outils facilite notre due diligence technique sur les cibles d'acquisition potentielles.
Si l'on demande à Nicolai ce que tout cela représente au final, il recentre la discussion sur l'essentiel.
Le plus grand avantage que je retire d'Aikido est la pertinence des alertes, ce qui me permet de savoir exactement sur quoi intervenir et quoi prioriser ensuite.
Publié initialement le 21 novembre 2024
Il y a quelque temps, nous avons annoncé que Visma avait choisi Aikido Security pour ses sociétés de portefeuille. Visma développe et fournit des logiciels aux petites entreprises, aux moyennes entreprises et au secteur public – améliorant la vie professionnelle de millions de personnes à travers le monde. Leurs logiciels simplifient et automatisent les processus de travail complexes et manuels, facilitant ainsi le quotidien des gens.
Récemment, nous avons eu le plaisir d'accueillir Nicolai Brogaard, responsable des services SAST & SCA, dans notre siège social en Belgique. Visma développe et fournit des logiciels aux petites et moyennes entreprises ainsi qu'au secteur public, améliorant ainsi la qualité de vie au travail de millions de personnes à travers le monde. Leurs logiciels simplifient et automatisent les processus de travail complexes et manuels, facilitant ainsi la vie quotidienne de chacun. Nikolai fait partie de l'équipe de tests de sécurité chez Visma, un vaste conglomérat regroupant plus de 150 entreprises. Visma prend la sécurité très au sérieux, c'est une priorité absolue à tous les niveaux. Avec 15 000 employés (dont 6 000 développeurs) et une équipe de sécurité dédiée de 100 personnes, la sécurité est au cœur de leurs activités.
Voici ses réflexions sur l'évolution du paysage de la sécurité, et le rôle qu'y joue Aikido.
Pourquoi Aikido ? SCA et une approche tout-en-un
Chez Visma, nous avons envisagé de développer nos propres outils de sécurité, mais nous avons rapidement réalisé que ce n'était pas la meilleure utilisation de nos ressources. C'est là qu'Aikido est intervenu. Ils ont comblé les lacunes que nos outils existants, en particulier le SAST (Tests de sécurité des applications statiques), ne couvraient pas. Avec Aikido, nous n'avons pas eu à nous épuiser à développer des outils à partir de zéro.
Tout tourne autour de la puissante analyse de la composition logicielle (SCA) d'Aikido – l'outil ultime pour l'analyse des dépendances. Les entreprises de Visma pourront surveiller continuellement leur code, trouver les vulnérabilités importantes et les corriger en un clin d'œil. Outre l'outil SCA, la plateforme tout-en-un d'Aikido propose des solutions comme le SAST, regroupant les meilleures solutions open source pour Ruby, Python, Golang et PHP.
L'expertise régionale compte
Étant basés dans l'UE, il est très important pour nous de travailler avec des fournisseurs qui comprennent les réglementations spécifiques auxquelles nous sommes confrontés – en particulier des éléments comme le RGPD et les exigences de résidence des données. Aikido le comprend. Ils connaissent les tenants et les aboutissants des réglementations de l'UE, ce qui nous facilite grandement la conformité avec des exigences telles que la conservation des données sur le territoire national.
Aikido surveille de près la législation européenne en matière de cybersécurité et de confidentialité, telle que le RGPD, NIS2, CRA, DORA, etc. Grâce à la fonction de reporting d'Aikido, le suivi de la conformité technique de sécurité de votre entreprise devient un jeu d'enfant.
Comment Visma évalue les logiciels de sécurité
Lorsque nous examinons de nouveaux fournisseurs, nous appliquons la règle des 80/20 : si une solution répond aux besoins de 80 % de nos sociétés de portefeuille, elle mérite d'être prise en compte. Aikido a parfaitement répondu à cette exigence pour nous. Au-delà du simple SCA, ils offrent des fonctionnalités supplémentaires, comme la résolution des angles morts de sécurité et l'aide au CSPM (Cloud Security Posture Management). Ces avantages supplémentaires ont vraiment scellé l'accord pour nous.
Tenter de réduire le bruit généré par [d'autres] outils – en se plongeant dans le rapport signal/bruit – est un cauchemar. Aikido a parfaitement répondu à nos attentes.
Les avantages d'Aikido
Aikido n'a pas seulement amélioré notre posture de sécurité, il nous a également aidés à mettre en lumière des éléments que nous manquions avec nos outils précédents. Initialement, nous les avons adoptés pour le SCA, mais nous avons rapidement réalisé qu'ils pouvaient faire bien plus, notamment en réduisant le temps et les efforts consacrés à la gestion des faux positifs. Leur fonctionnalité de correction automatique représente un gain de temps considérable pour nos équipes. Elle élimine le bruit, permettant ainsi à nos développeurs de se concentrer sur l'essentiel.
La fonctionnalité de correction automatique d'Aikido représente un gain de temps considérable pour nos équipes. Elle élimine le bruit, permettant ainsi à nos développeurs de se concentrer sur l'essentiel.
Transition fluide
Le réseau de Visma est colossal et en constante croissance, c'est pourquoi les logiciels que nous utilisons doivent non seulement renforcer la posture de sécurité de nos sociétés de portefeuille, mais aussi être sans tracas. En pratique, Visma valorise la simplicité d'intégration, et Aikido offre précisément cela : une intégration rapide, facile et efficace à travers l'ensemble du réseau de Visma.
Chez Visma, nous disposons d'un portail interne pour développeurs en sécurité appelé Hubble, qui rend l'intégration de nouveaux outils extrêmement simple. Avec Aikido, il a suffi de les intégrer à Hubble et d'inciter doucement nos sociétés de portefeuille à faire la transition. La plupart des entreprises ont effectué la transition rapidement, et les autres suivront avec le temps à mesure que nous suivons les risques en interne. L'API d'Aikido s'intègre parfaitement à la gestion des stocks de Visma. Ainsi, en quelques clics, le réseau de Visma peut commencer à utiliser Aikido en un rien de temps.
Ce que Visma apprécie chez Aikido
Ce qu'il y a de mieux avec Aikido ? Ils sont extrêmement proactifs. Nous avons un canal Slack partagé avec eux, et ils sont toujours rapides à répondre et à résoudre les problèmes rencontrés par nos équipes. C'est formidable de se sentir plus qu'un simple client – ils se soucient réellement que nous tirions le meilleur parti de leur produit.
Aikido n'est pas seulement un fournisseur pour nous, c'est un véritable partenaire. Leur réactivité et leur dévouement à nous aider à réussir font toute la différence.
Le défi budgétaire de sécurité de Visma
Brogaard souligne : “Les outils de sécurité coûtent beaucoup trop cher.”
La plupart des plateformes similaires ont un modèle de tarification axé sur les développeurs, ce qui génère des coûts imprévisibles et rend la budgétisation inutilement complexe et constamment problématique. Par conséquent, pour Visma, le modèle de tarification devient un point sensible de sécurité de haute priorité. Compte tenu de la taille de Visma et de l'expansion continue de son réseau, l'augmentation exponentielle des coûts et l'imprévisibilité budgétaire deviennent insoutenables.
Aikido Security résout le problème du modèle de tarification problématique de Visma grâce à son plan entreprise avec utilisateurs illimités – un tarif forfaitaire connu à l'avance. L'absence de coûts inconnus représente un avantage considérable pour la budgétisation.
Points saillants :
- Combler les lacunes de sécurité : Aikido met en lumière les angles morts que nos autres outils ne détectent pas.
- Automatisation gain de temps : La fonctionnalité d'auto-remédiation réduit le bruit, permettant à nos développeurs de se concentrer sur les problèmes réels.
- Intégration simple : Grâce au portail interne de Visma, intégrer les entreprises à Aikido est un jeu d'enfant.
- Support proactif : Le support rapide et réactif d'Aikido via les plateformes de messagerie instantanée (comme Slack) nous donne le sentiment d'être entre de bonnes mains.
- Tarification prévisible : Aikido utilise des grilles tarifaires incluant les utilisateurs et les packs de fonctionnalités. Une tarification transparente, sans frais cachés par utilisateur ou pour l'utilisation.
