Die Herausforderung: Risikomanagement in die Entwicklung integrieren
Asurion ist ein Versicherer für Unterhaltungselektronik. Das Unternehmen hilft seinen Kunden, Geräte wie Smartphones, Tablets und Haushaltsgeräte zu schützen, reparieren und ersetzen. Über 10.000 Experten unterstützen 300 Millionen Kunden weltweit bei technischen Problemen. Ein erstklassiges Kundenerlebnis in diesem Umfang erfordert eine schnelle und agile Entwicklungsumgebung.
Das gesamte Geschäftsmodell von Asurion basierte auf Risikomanagement. Dennoch musste das Unternehmen Risikominderung auch in seine Entwicklungsprozesse integrieren. Asurion wuchs schnell und setzte dabei auf eine Vielzahl von Tools und Technologien. Doch die Unternehmensleitung sorgte sich zunehmend darüber, dass es in der Organisation an Verantwortung für technische Schulden und Sicherheit mangelte.
„Die Produktteams bei Asurion hatten relativ freie Hand bei der Wahl ihrer Anwendungs-Stacks und der unterstützenden Infrastruktur“, berichtet Jeremy Young, Principal Security Engineer bei Asurion. „Diese Freiheit sorgt zwar für zufriedene Entwickler, die schnell vorankommen, kann aber auch zu zahlreichen Herausforderungen bei Management und Betrieb führen.“
Die Lösung: Ein entwicklerorientiertes Toolkit entwickeln
Früher fiel es dem Sicherheitsteam schwer, mit der Produktentwicklung bei Asurion Schritt zu halten. Das führte zu mangelnder Transparenz und einem reaktiven Ansatz beim Risikomanagement. Deshalb entwickelte Asurion ein Toolkit, das handelsübliche Software einfach mit den verschiedenen Continuous-Integration-Engines (CI) verbindet, die von den Entwicklungsteams genutzt werden.
„Uns fehlte schon immer der vollständige Überblick über unsere Produkte. Um diese Lücken zu schließen, haben wir zahlreiche Drittanbieterlösungen zusammengetragen“, erklärt Young. „Diese Lösungen ließen sich jedoch nicht in unsere Tools integrieren. Dadurch entstand Misstrauen zwischen Sicherheits- und Produktteams. Wir brauchten ein entwicklerorientiertes Sicherheitstool wie Snyk.“
Das mit Python entwickelte Toolkit für Produktsicherheit von Asurion besteht aus containerisierten, von Snyk unterstützten Scan-Prozessen. Entwickler können es in jedes Projekt integrieren, das Container nutzt. Jetzt können sie einfach den Toolkit-Container ausführen, um mit Sicherheitsscans zu beginnen und sofort wichtige Daten und Erkenntnisse zur Produktsicherheit zu erfassen.
„Unser Toolkit generiert viele Daten aus dem Code, den wir mit Snyk scannen“, ergänzt Young. „Diese Daten lassen sich direkt nutzen – insbesondere, um nachzuverfolgen, wie viele Teams unser Toolkit weiterhin verwenden. Die Erkenntnisse stoßen Gespräche zwischen dem Sicherheitsteam und unseren Kollegen an, in denen wir Chancen für kontinuierliche Verbesserungen erkennen.“
Snyk für Sicherheitsscans auswählen
Ein entwicklerorientierter Ansatz bei der Einführung neuer Tools und Technologien war entscheidend für das schnelle Wachstum von Asurion. Deshalb entschied sich das Unternehmen für Snyk, das als entwicklerfreundlich gilt und sich unkompliziert implementieren lässt. Snyk lässt sich problemlos in die CI/CD-Pipeline von Asurion integrieren – zusammen mit Tools wie Artifactory, Jenkins, Kubernetes, AWS und weiteren.
„Entwicklerorientierte Tools wie die von Snyk, die auf gut dokumentierten APIs basieren, haben die Entwicklung unseres Toolkits erheblich vereinfacht“, erklärt Young. „So erhalten wir an einem zentralen Ort Einblick in Software Composition Analysis, Container-Image- und Schwachstellenscans, sicherheitsorientierte Regressionstests, Secret Scanning, statische Codeanalyse und sogar Infrastructure-as-Code-Scans.“
Die Wirkung: DevSecOps als Partnerschaft
Mit dem neuen Toolkit hat Asurion jetzt vollständige Transparenz über die Produktsicherheit. Snyk stellt wichtige Sicherheitserkenntnisse früh im Entwicklungsprozess bereit, sodass Entwickler Probleme beheben können, bevor Code in die Produktion gelangt. Außerdem kann das Produktsicherheitsteam Richtlinien und Best Practices durchsetzen, etwa die Verschlüsselung von Datenspeichern in der Cloud vorzuschreiben oder zu verhindern, dass schwerwiegende Probleme in öffentlich zugänglichen Produkten in die Produktion gelangen. Das ist ein echter DevSecOps-Ansatz für Produktsicherheit.
„Statt zu sagen: ‚Sehen Sie, was die Entwickler schon wieder gemacht haben‘, fragen wir: ‚Wie können wir helfen?‘“, sagt Young. „Empathie zu zeigen und ein guter Partner zu sein, ist viel produktiver und schafft langfristige Beziehungen, die uns helfen, gemeinsam wirklich etwas zu bewegen. Das ist bei Asurion unser Ansatz für Produktsicherheit – und Snyk hilft uns, ihn umzusetzen.“
Asurion schreibt Entwicklern die Nutzung des Toolkits zwar nicht vor, doch die Unterstützung dafür wächst, weil es einen echten Mehrwert bietet. Mit Lunch-and-Learn-Veranstaltungen und internen Demos hat Asurion ganz organisch eine Community von Toolkit-Nutzern in den Entwicklungsteams aufgebaut. Diese Partnerschaft zwischen dem Produktsicherheitsteam und den „Sicherheitsexperten“ in den Entwicklungsteams hat Sicherheit zu einem festen Bestandteil der Unternehmenskultur von Asurion gemacht.
„Mentoring schafft Beziehungen und Zusammenhalt – beides ist entscheidend für unseren nachhaltigen Erfolg“, resümiert Young. „Sicherheit wird dadurch nicht mehr als Hindernis, sondern als Wegbereiter wahrgenommen. Partner wie Snyk haben unseren Bemühungen, unsere Sicherheitsziele zu erreichen, zudem einen kräftigen Schub gegeben. Snyk ist ein wichtiges Tool in unserem Toolkit, mit dem wir die Akzeptanz in allen Entwicklungsteams fördern.“