Die Herausforderung: Anwendungssicherheit skalieren
Die größte Herausforderung für Blue Prism war die Anwendungssicherheit. Als das Produktportfolio des Unternehmens auf 12 Produkte anwuchs, stieg auch die Zahl der Entwicklerprojekte. Das verwendete Sicherheits-Scan-Tool war nicht skalierbar genug, um die zunehmende Zahl von Anwendungs-Workflows zu bewältigen. Während Blue Prism weiter wächst, kann das Unternehmen darauf vertrauen, dass die Snyk-Plattform alle Anwendungen vollständig scannt.
„Mit Snyk konnten wir unsere Anwendungssicherheit deutlich verbessern“, erklärt Scott Mitchell, Application Security Manager bei Blue Prism. „Innerhalb weniger Wochen konnten wir statt nur eines Anwendungsprojekts viele Projekte gleichzeitig mit dem Snyk-Produkt scannen.“
Die Lösung: Snyk für eine vollständige Abdeckung einführen
Nachdem Blue Prism mit dem vorherigen Tool die Akkreditierungsmöglichkeiten ausgeschöpft hatte und den wachsenden Anforderungen an die Anwendungssicherheit dennoch nicht gerecht wurde, bewertete das Unternehmen mehrere Sicherheitslösungen. Die Wahl fiel auf Snyk – wegen der Skalierbarkeit, der entwicklerfreundlichen Erkennung von Schwachstellen während des Programmierens, der Möglichkeit, automatisch im Hintergrund zu laufen, und der Integration mit Microsoft Azure-Diensten.
„Snyk ist sehr entwicklerfreundlich, und die Vielzahl an Integrationen hat uns beeindruckt“, sagte Scott Mitchell von Blue Prism. „In den Demos haben wir gesehen, dass Snyk eine vollständige Abdeckung ermöglichen kann. Ich bin sicher, dass auch andere Anbieter, die wir bewertet haben, das leisten konnten. Doch bei den praktischen Vorführungen hob sich Snyk für uns klar ab.“
Einhaltung von Open-Source-Lizenzen sicherstellen
Ein weiteres Merkmal von Snyk, das Blue Prism überzeugte, war das Compliance-Management. Snyk integriert die Einhaltung von Open-Source-Lizenzen in Entwicklungs-Workflows. Das war für Blue Prism eine große Hilfe, da es dem Unternehmen schwerfiel, die Einhaltung der Lizenzen für Open Source in seinen Projekten sicherzustellen, während es neue Produkte in neuen Märkten einführte.
„Da das Snyk-Tool Probleme mit Open-Source-Lizenzen erkennt, können unsere Entwickler einen übersichtlichen, leicht verständlichen Bericht erstellen und an die Rechtsabteilung senden. Das erspart den Entwicklern viele Arbeitstage“, sagte Scott Mitchell.
Die Wirkung: deutlich mehr Sicherheits-Scans
Vor Snyk war die Abdeckung beim Scannen von Anwendungen auf das Hauptprodukt von Blue Prism beschränkt und umfasste nur fünf Prozent des Anwendungsportfolios. Unterprodukte und neue Produkte wurden größtenteils nicht gescannt, wodurch das Unternehmen gefährdet war. Mit Snyk Container und Snyk Open Source hat Blue Prism eine Abdeckung von 100 % im gesamten Unternehmen erreicht.
„Die Abdeckung war für uns definitiv eine wichtige Kennzahl“, erklärt Scott Mitchell. „Mit Snyk scannen wir jetzt statt eines einzelnen Produkts das gesamte Portfolio. Sobald auch nur ein Stück Code in Produktion geht, können wir alles scannen.“
All diese Scans haben die Entwicklung nicht verlangsamt. Im Gegenteil: Sie ist schneller geworden. Durch Hunderte Scans pro Tag werden Sicherheitslücken sofort erkannt und behoben. So können Entwickler weiter an Apps arbeiten, ohne unterbrochen zu werden.
„Früher mussten wir täglich 25 verschiedene Ergebnisse durchgehen. Jetzt sehen wir nur noch jeden zweiten Tag ein Problem, und können uns sofort darum kümmern“, sagte Dan Fuller, Application Security Engineer. „Entwickler lieben Snyk, weil es vollständig automatisiert ist. Die Scans sind schnell, sodass Entwickler sofort über Schwachstellen informiert werden. Sie erleben nur die Vorteile.“
Besseres Verhältnis zwischen gefundenen und behobenen Schwachstellen
In den letzten neun Monaten, in denen Blue Prism den Einsatz von Snyk ausgeweitet hat, wurde die Zahl der neu gefundenen Schwachstellen allmählich von der Zahl der behobenen Schwachstellen übertroffen.
So gab es im Juni 2021 doppelt so viele kritische Schwachstellen wie behobene. Doch im Oktober 2021 kehrte sich dieses Verhältnis dank der Snyk-Tools um: Es wurden fast doppelt so viele kritische Schwachstellen behoben wie neu entdeckt – darunter auch Probleme aus dem Rückstand.