Die Herausforderung: Vertrauliche Gesundheitsdaten schützen
Angesichts der Sensibilität der erhobenen Daten gehören solide Sicherheits- und Datenschutzpraktiken zu den wichtigsten Prioritäten des Unternehmens. Aufgrund des äußerst schnellen Produktentwicklungstempos benötigte Flo Health eine Möglichkeit, Anwendungssicherheitsprozesse einzuführen, ohne das Engineering-Team auszubremsen.
Die Lösung: Snyk in DevOps-Prozesse integrieren
Als Flo Health entschied, ein Sicherheitstool einzuführen, um während der Entwicklung einen besseren Überblick über die Anwendungssicherheit zu erhalten, fiel die Wahl auf Snyk. Zunächst integrierte Flo automatisierte Schwachstellenscans in die vorhandenen Entwicklungstools. Dadurch konnten sowohl die Sicherheit als auch die Entwicklungsgeschwindigkeit für über 300 Code-Repositories und 600 Container verbessert werden.
„Wir haben 15 Entwicklungsteams, die jeweils für ihren Code und ihre Pipeline verantwortlich sind“, erklärt Dmitry Yackevich, Security Engineering Lead bei Flo Health. „Als Sicherheitsteam haben wir ihnen dabei geholfen, Snyk in ihren Entwicklungslebenszyklus zu integrieren, indem wir Dokumentation, Beispiele und Basis-Images bereitgestellt haben.“
Nach den ersten Erfolgen mit Snyk Container und Snyk Open Source führte Flo Snyk Infrastructure as Code ein, um mit Terraform eine grundlegende Sicherheitsbasis für mehr als 20 AWS-Konten zu gewährleisten. Mit Snyk konnte das Unternehmen einheitliche Richtlinien einrichten und diese Codebasen automatisch auf Schwachstellen überprüfen.
„Snyk bietet einen erstklassigen Kundenservice“, sagt Leo Cunningham, CISO bei Flo Health. „Das umfasst ganz unterschiedliche Bereiche: von maßgeschneiderten Berichten über Schulungsveranstaltungen bis hin zu Installationsmaterialien.“
Anwendungssicherheit im Hyperwachstum skalieren
Da Flo Health rasant wächst, kam ein Sicherheitstool, das die Entwicklungsteams ausbremst, nicht infrage. Früher konnte es bei Flos manuellem Vorgehen Monate dauern, bis Korrekturen das Sicherheitsteam erreichten. Dank der automatisierten Prüfungen von Snyk bei jedem Code-Commit können Entwickler Probleme jedoch innerhalb weniger Minuten beheben, ohne auf das Sicherheitsteam warten zu müssen.
„Bevor wir mit Snyk gearbeitet haben, ließen wir alle sechs Monate externe Penetrationstests durchführen und nahmen jedes Quartal eine interne Bewertung vor. Dadurch war die Feedbackschleife beim Finden und Beheben von Schwachstellen ziemlich lang“, erklärt Yackevich. „Mit Snyk konnten wir dieses Vorgehen ändern und kontinuierliche Tests einführen.“
Trotz der Integration von Sicherheitsprüfungen mit Snyk stieg die Zahl der Code-Commits um 150 %, während die Bereitstellungszeiten weiterhin unter einer Minute lagen. Indem Snyk früh im Entwicklungsprozess konkrete Sicherheitserkenntnisse bereitstellt, unterstützt es Flos Entwicklungsteams dabei, Sicherheit nach links zu verlagern und Schwachstellen direkt bei ihrer Entdeckung effizienter zu beheben. Angesichts des schnellen Unternehmenswachstums ist es entscheidend, Sicherheit und Entwicklungsgeschwindigkeit zugleich zu verbessern.
„Die Zusammenarbeit mit Snyk war definitiv eine gute Entscheidung für uns, denn es geht nicht nur ums Scannen, sondern auch darum, Sicherheit richtig umzusetzen“, fügt Yackevich hinzu. „Snyk hat uns dabei geholfen, einen angemessenen Sicherheitsansatz in unserem Unternehmen zu etablieren.“
Die Wirkung: Sicherheit und Geschwindigkeit zusammenbringen
Seit der Einführung von Snyk beheben Entwickler statt fünf bis zehn Sicherheitslücken pro Monat nun 300 bis 1.900. Flo Health schätzt, dass mindestens 20 neue Sicherheitsfachkräfte nötig wären, um mit dem bisherigen manuellen Vorgehen die aktuelle Zahl an Sicherheitskorrekturen zu erreichen.
„Mit Snyk prüfen wir den Code jetzt bei jedem Commit auf Sicherheitsprobleme“, sagt Yackevich. „Das hat die Feedbackschleife definitiv verkürzt und dazu beigetragen, Sicherheit nach links zu verlagern.“
Mit Snyk konnte Flo Health nicht nur die Sicherheitslage seiner mobilen App verbessern, sondern auch neue Funktionen schneller als zuvor veröffentlichen. Entwickler verbringen jetzt weniger Zeit mit dem Rückstand an Sicherheitsproblemen und können sich stärker auf innovative Funktionen konzentrieren, die das Wachstum und die Nutzung von Flo Health vorantreiben. So konnte die Sicherheit erheblich verbessert und den Kunden in kürzerer Zeit ein besseres, sichereres Produkt bereitgestellt werden.
„Bei Flo hat die kontinuierliche Entwicklung eines Sicherheits-Frameworks mit einem soliden Regelwerk und klaren Prozessen höchste Priorität“, schließt Cunningham. „Da die Daten unserer Nutzer sehr persönlicher Natur sind, setzen wir alles daran, potenzielle Sicherheitsrisiken zu minimieren. Snyk ist bei Flo schnell zu einem unserer wichtigsten Sicherheitstools geworden. Sichere Container und Infrastructure as Code sind für uns unverzichtbar. Snyk scannt all unsere Code-Pipelines in Rekordzeit und erkennt Probleme, bevor sie in die Produktion gelangen – so können wir Sicherheit nach links verlagern. Insgesamt hat Snyk uns geholfen, unseren Sicherheitsansatz zu mobilisieren und ihn in Rekordzeit unternehmensweit umzusetzen.“