El desafío: obtener visibilidad sobre la postura de seguridad de las aplicaciones
InVision es una plataforma líder de diseño y desarrollo de productos digitales, creada para facilitar la colaboración entre equipos y regiones. De hecho, más de 7 millones de personas de decenas de miles de organizaciones usan la plataforma para desarrollar, crear prototipos y animar nuevos productos digitales. Cada día, diseñadores de todo el mundo usan InVision para crear experiencias de cliente de primer nivel a gran escala.
A medida que su plataforma seguía creciendo y más empresas adoptaban proyectos de innovación impulsados por el diseño, InVision quería agilizar las iniciativas de seguridad de las aplicaciones y aportar transparencia a los procesos de gestión de vulnerabilidades. Aunque InVision ya usaba Snyk Open Source para analizar dependencias de terceros, también quería centralizar la información de seguridad de numerosos proyectos. El desafío consistía en hacer que estos datos estuvieran disponibles para los equipos de ingeniería de InVision sin trabajo manual adicional.
«Nuestros gerentes de ingeniería tenían que consultar demasiados lugares para entender la postura de seguridad, así que queríamos reunir todo en un solo lugar», afirmó David Epler, «ingeniero sénior de seguridad en InVision. Por eso, nuestro equipo creó una herramienta para nuestro proceso de gestión de vulnerabilidades, y Snyk fue una parte fundamental».
La solución: informes de Snyk en tiempo real a gran escala
Con la API de Snyk, InVision automatiza los informes de seguridad para la gestión de dependencias mediante informes semanales estáticos y un panel a pedido. El panel a pedido aprovecha la API de Snyk para recopilar fácilmente grandes cantidades de datos en tiempo real y garantizar que los líderes de ingeniería tengan una visión pertinente y oportuna de la postura de seguridad de las aplicaciones de la empresa.
«Si el responsable de un servicio quiere saber cuál es el estado de vulnerabilidad del servicio —explicó Epler—, ahora puede ir a un único panel y ver la información de Snyk, las vulnerabilidades que encontramos y cualquier otra tarea o problema relacionado con la seguridad. La solución reúne todo esto en tiempo real».
En concreto, InVision escribió una biblioteca en Go para acceder a la API de Snyk y recopilar información periódicamente. La herramienta personalizada descarga cada hora todos los proyectos y problemas de InVision, y almacena los datos en memoria para que otras herramientas puedan consultarlos y compilar informes personalizados. Estos informes son una herramienta invaluable para que los gerentes de proyectos y departamentos comprendan los posibles riesgos de seguridad de las aplicaciones en InVision.
«La API nos permitió obtener los datos de Snyk, pero, más importante aún, nos permitió crear informes consolidados. Estos informes personalizados se ajustan muy bien a nuestro modelo organizativo único, compuesto por zonas y equipos».
API de Snyk: facilidad de uso
Cuando InVision buscaba una herramienta de análisis de seguridad, la empresa evaluó las API de varias opciones, pero descubrió que la documentación de Snyk era la más sencilla de implementar. Descargar manualmente la información para los informes lleva tiempo, pero con la API es fácil autenticarse y recopilar automáticamente datos de varios proyectos de Snyk.
«La API es bastante sencilla y permite obtener una gran cantidad de datos con mucha facilidad», afirmó Epler. «Así no tienes que hacer muchas solicitudes, especialmente ahora que Snyk agregó el endpoint de problemas agregados. Esto facilitó mucho la creación de un panel de seguridad integral para todos nuestros proyectos».
El impacto: gestión fluida de AppSec en toda la organización
Desde que adoptó Snyk, InVision puede identificar y resolver vulnerabilidades de seguridad en sus dependencias de terceros a gran escala. Además, la API de Snyk permitió integrar sin problemas el análisis y los informes de seguridad en los flujos de trabajo de AppSec existentes, sin esfuerzo continuo adicional. En el futuro, InVision espera seguir usando la API de Snyk para mejorar la visibilidad de su programa de AppSec.
«Nuestro equipo realiza actividades tradicionales de AppSec, como revisiones de código, pero también crea herramientas de automatización», afirmó Epler. «La API de Snyk nos permitió integrar la plataforma de Snyk en nuestro programa de seguridad mediante la automatización, en lugar de tratarla como un componente independiente que debíamos gestionar manualmente».