WillowTree-Roundtable: Sicherheit für Hypergrowth-Unternehmen

Moderne Softwareunternehmen bieten oft vieles gleichzeitig. Ihre Reichweite geht über ein einzelnes Produkt oder eine einzelne Dienstleistung hinaus – und ihre Sicherheitstools müssen mit diesem Tempo Schritt halten. Unser Steve Kinman (Field CISO bei Snyk) und Adrian Guevara (Head of Cybersecurity bei WillowTree) diskutierten kürzlich in einer Roundtable-Runde über die Herausforderungen, vor denen Hypergrowth-Unternehmen bei der Einführung von Code-Sicherheit in einem schnelllebigen Umfeld stehen.

WillowTree ist eine Digitalagentur, die Anwendungen für verschiedene namhafte Fortune-500-Unternehmen entwickelt. Als Agentur „arbeitet WillowTree mit vielen Programmiersprachen“, so Guevara. „Eine der Herausforderungen, über die wir hier sprechen werden, ist, dass es nicht nur um eine Sprache, eine Plattform oder ein Produkt geht. Wir entwickeln Produkte für Unternehmen und übergeben sie anschließend an diese.“ Da viele Projekte mit hohem Risiko gleichzeitig entwickelt werden, setzt Guevara darauf, Innovation und Sicherheitsbewusstsein im Unternehmen in Einklang zu bringen.

In der Roundtable-Runde berichtete Guevara von seinen Erfahrungen damit, Best Practices für Sicherheit zu etablieren und ein Toolset auszuwählen, das den besonderen Anforderungen von WillowTree gerecht wird.

Der Wandel hin zu mehr Sicherheit

Als Guevara, der zuvor in den Bereichen Audit und Compliance tätig war, seine heutige Rolle übernahm, „interessierten sich die Kunden nicht wirklich“ für die internen Sicherheitsmaßnahmen von WillowTree. Wie er weiter berichtete, hat sich das in den letzten Jahren drastisch geändert. „Jetzt wollen sie alle Abhängigkeiten aufgelistet sehen. Sie wollen sicherstellen, dass Sie keine GPL-Lizenzen verwenden und dass die Container, Bibliotheken und Programmiersprachen, die Sie nutzen, keine schwerwiegenden Sicherheitslücken aufweisen.“

Dieses Interesse an Code-Sicherheit spiegelte Guevaras interne Bemühungen während seiner sechsjährigen Tätigkeit wider. Als er zu WillowTree kam, beschränkte sich Sicherheit hauptsächlich auf statische Scans. Da diese außerhalb der Entwicklungsprozesse stattfanden, verursachten sie hohe Kosten. Da sich die Sicherheitsteams nur schwer direkt vergrößern ließen, war die Integration von Sicherheit in die Entwicklungsprozesse der effizienteste und wirksamste Weg, die Sicherheit zu verbessern. Für WillowTree war die Einführung eines modernen, agilen Entwicklungsworkflows entscheidend. Wie Guevara erklärte: „Wir haben Sicherheit zum Weg des geringsten Widerstands gemacht. So gehen die Entwickler diesen Weg automatisch, ohne dass wir viel eingreifen müssen.“

Die Einführung entwicklerorientierter Sicherheit begann bei den Senior-Entwicklern von WillowTree. Indem Guevara sie bat, Sicherheitstools zu testen und am Auswahlprozess mitzuwirken, gab er ihnen eine Stimme und Raum, über ihre Bedürfnisse zu sprechen. Er betrachtete es als „ersten Schritt“ zu einer erfolgreichen Sicherheitskultur, „die Senior-Gruppe für sich zu gewinnen“.

„Die Meinung der Senior-Entwickler war wichtiger als meine, denn wenn ihnen das Tool nicht gefällt, werden sie es nicht nutzen.“

Adrian Guevara

Der Wandel von „Die Sicherheit will, dass wir das tun“ zu „Adrian möchte, dass wir das tun“ war entscheidend, um die Kluft zwischen Sicherheits- und Entwicklungsteams zu überbrücken, wie Guevara berichtete. Für Sicherheitsteams verändert es „die gesamte Dynamik zwischen Ihnen und den Entwicklern“, wenn Sie sich als Mensch zeigen und erklären, warum Ihre Anliegen wichtig sind. Letztendlich gehören Entwickler und Sicherheitsexperten alle zum selben Team. Kommunikation und Zusammenarbeit sind für eine erfolgreiche Produktentwicklung unerlässlich – und oft beginnt das bei den Tools, für die sich ein Team entscheidet.

Auswahl einer Sicherheitsplattform

Als Guevara begann, Sicherheitstools für Entwickler zu bewerten, musste er drei zentrale Probleme lösen. Die bestehenden Sicherheitsprozesse von WillowTree waren zu unübersichtlich, zu langsam und nicht nachhaltig, da sie außerhalb des Entwicklungsworkflows stattfanden. Entwickler mussten daran denken, die Sicherheitsscans zu überprüfen. Diese dauerten lange und lieferten zahlreiche falsch positive Ergebnisse. Anschließend mussten die Entwickler die Schwachstellenberichte bei Bedarf in ihren Workflow integrieren – ein Schritt, der im hektischen Entwicklungsalltag oft vergessen wurde. Deshalb musste das Sicherheitsteam eingreifen, die Schwachstellen selbst beheben und die Korrekturen dann an die Entwickler zurückgeben, damit diese sie in ihre Sprintplanung integrieren konnten. Da sich all diese Schritte bei jedem Durchlauf wiederholten, wurde der Prozess schnell untragbar.

Snyk überzeugte während der Testphase, weil unser Workflow dem agilen Entwicklungsworkflow entsprach, den Guevara einführen wollte. Entwickler arbeiten gern mit guter Technologie. „Weil wir das hatten, haben wir Snyk in die IDEs, in Pull Requests und in CI integriert – dadurch lief alles viel angenehmer. Ich musste den Leuten nicht einmal erklären, wie es funktioniert. Snyk gab bessere Hinweise und Anleitungen dazu, wie man ein Problem behebt und warum es überhaupt aufgetreten ist“, sagte Guevara. Für das WillowTree-Team war es entscheidend, Sicherheitswissen und ein Verständnis dafür zu fördern, warum bestimmte Korrekturen vorgenommen wurden, um eine engagierte Sicherheitskultur unter den Entwicklern zu schaffen. Beim Vergleich der Tools hatte Guevara „mit dem vorherigen Tool eine Nutzungsrate von etwa 20 %. Mit Snyk habe ich diesen Wert auf 90 % steigen sehen“. Die intuitive, einfach zu bedienende Benutzeroberfläche von Snyk half dem Team, effizienter sicheren Code zu entwickeln. Die durchschnittliche Zeit bis zur Behebung sank um 58 %. „Im Durchschnitt dauerte es 60 Tage, Schwachstellen zu beheben. Jetzt sind es nur noch 25“, so Guevara.

Die messbaren Verbesserungen durch Snyk waren zwar beeindruckend, aber nicht ausschlaggebend. Für Guevara war „der Grund, warum ich mich für Snyk entschieden habe, die Partnerschaft. Die Zahl der falsch positiven Ergebnisse und das Rauschen gingen zurück, und der Workflow gefiel uns bereits. Aber würde ich einen guten Partner bekommen?“ Viele Tools können nach Schwachstellen suchen und Berichte erstellen. Das wachsende Sicherheitsprogramm von WillowTree brauchte jedoch einen entwicklerorientierten Partner, der bereit war, auch in Zukunft mit dem Unternehmen zusammenzuarbeiten. „Die Partnerschaft hat mich wirklich überzeugt. Damals unterstützte Snyk noch nicht alle Programmiersprachen. Doch dank dieser Partnerschaft konnte ich Zusagen dafür erreichen, die von uns benötigten Sprachen hinzuzufügen – und bisher hat das gut funktioniert“, sagte Guevara.

Sicherheit und Innovation im Gleichgewicht

WillowTree ist in den vergangenen Jahren weiter rasant gewachsen. Eine Reihe von Expansionen und Übernahmen hat die Belegschaft auf 1.000 Entwickler aus drei Unternehmen anwachsen lassen. Jedes dieser Unternehmen hat eigene Anforderungen und Prozesse. Als Agentur nutzt WillowTree zudem häufig die Tools und Ticketingsysteme seiner Kunden. Doch wie Guevara berichtete: „Snyk ist der gemeinsame Nenner, der all diese Projekte verbindet.“ Für Guevara und sein Team bildet Snyk die Grundlage für die teamübergreifende Zusammenarbeit und hat WillowTree dabei unterstützt, Sicherheitspraktiken für die schnelllebige Welt von Hypergrowth-Unternehmen zu entwickeln und aufrechtzuerhalten.

Ob Sie als Agentur unterschiedliche Sicherheitsstandards Ihrer Kunden erfüllen müssen oder in Ihrem Unternehmen die Code-Sicherheit Ihrer internen Teams verbessern möchten – Snyk kann Ihnen helfen. Starten Sie noch heute Ihren kostenlosen Testzeitraum oder vereinbaren Sie eine Demo, um zu erfahren, wie Sie mit Snyk schnell entwickeln und sicher bleiben können.