El problema
Como el mayor corredor hipotecario minorista de Australia, LendiGroup da máxima importancia al servicio al cliente. Esto incluye garantizar que la tecnología que usan los corredores funcione al más alto nivel.
Después de una prueba de penetración trimestral, se descubrió que muchas dependencias de Lendi estaban desactualizadas y que no había forma de entender los riesgos asociados con esas dependencias sin parches.
Lendi se asoció con Snyk para gestionar sus productos de «software como servicio» (SaaS) con un enfoque de configuración como código. Al iniciar este proyecto, Lendi fomentó nuevas ideas de colaboración entre las disciplinas de ingeniería y seguridad de aplicaciones.
Adoptar una nueva forma de trabajar
Con una sólida base de atención al cliente y experiencias excelentes, Lendi se comunica con instituciones financieras de todo el país para encontrar la mejor opción hipotecaria para cada cliente, según sus circunstancias. Tras la fusión en mayo de 2021 con Aussie Home Loans, una empresa pionera que revolucionó el sector de corretaje, Lendi Group se convirtió en el mayor corredor hipotecario minorista de Australia, con una cartera de préstamos valorada en más de 70 mil millones de dólares.
Como proveedor líder de préstamos hipotecarios digitales en Australia, Lendi cuenta con un equipo de aproximadamente 120 ingenieros de software, y el grupo en general reúne a miles de corredores hipotecarios. Estos corredores usan la plataforma de Lendi para agilizar la comunicación con clientes potenciales y encontrarles una opción de préstamo hipotecario adecuada lo más rápido posible.
Tras la fusión, Lendi Group buscaba formas de modernizar y automatizar los procesos tecnológicos heredados para que los corredores pudieran trabajar de manera mucho más eficiente. Una prueba de penetración trimestral detectó problemas con las dependencias y reveló que muchas estaban desactualizadas, sin que hubiera forma de entender los riesgos asociados con ellas.
«Dependemos mucho de las herramientas de código abierto para identificar vulnerabilidades en las dependencias de los distintos microservicios que tenemos en el backend. El problema es que estas herramientas no necesariamente cubren todos los lenguajes que usamos en el backend ni proporcionan telemetría y métricas útiles», comentó Cole Cornford, ingeniero sénior de SecOps en Lendi.
Lendi necesitaba una solución rentable que ayudara a identificar y corregir vulnerabilidades. En julio de 2021, comenzó a usar Snyk para gestionar sus productos de «software como servicio» (SaaS) con un enfoque de configuración como código.
«El proceso tenía que ser sencillo para que los ingenieros entendieran sus responsabilidades y la importancia de aplicar parches para corregir vulnerabilidades. Al analizar las posibles soluciones, Snyk Open Source era el líder indiscutible del mercado. Conozco Snyk desde hace mucho tiempo; de hecho, oí hablar de Snyk cuando todavía estaban desarrollando el producto, así que fue la primera opción que consideré», señaló Cole.
Reducir las vulnerabilidades en la plataforma hace que los sistemas sean más resilientes, mejora la confiabilidad y aumenta la confianza de los clientes en la postura de seguridad de Lendi. Las instituciones financieras requieren registros de identificación, domicilio, información de contacto, ingresos y más, por lo que Lendi debe garantizar que esta información se almacene de forma segura.
«La implementación inicial de Snyk fue increíblemente rápida porque nuestros repositorios de código fuente del backend tienen una estructura muy sencilla. Snyk permite asociar cada repositorio individual de Bitbucket con el equipo responsable. Así podemos ver qué equipos tienen los elementos más críticos, moderados y de baja gravedad, y quién los corrige más rápido», afirmó Cole.
Eliminar los silos entre equipos para potenciar la eficiencia
Lendi Group unifica sus proyectos de operaciones de desarrollo (DevOps) y operaciones de seguridad (SecOps) con un objetivo compartido: que el uso de la plataforma sea fácil, seguro y confiable para todos, desde los ingenieros y corredores hasta los clientes. El equipo de plataforma está estrechamente conectado con todos los equipos de tecnología e ingeniería de Lendi, por lo que todos se comunican y evolucionan constantemente para ayudar a los equipos a navegar y gestionar la plataforma de la mejor manera.
La principal diferencia de Snyk es que se integra en el flujo de trabajo diario de los desarrolladores, lo que significa que no tienen que usar un sistema externo.
«Snyk se ejecuta continuamente en segundo plano y presenta los resultados en un lenguaje sencillo, así que los ingenieros de seguridad no tenemos que dedicar tiempo a leerlos e interpretarlos. Podemos ver el gráfico de vulnerabilidades, una forma sencilla de comunicar nuestras actividades a la alta dirección. Esto fue muy importante para nosotros, porque queremos asegurarnos de que la experiencia de nuestros ingenieros sea excepcional», comentó Cole.
Estos beneficios también llegan a los corredores de Lendi y, en última instancia, a sus clientes, ya que Snyk ayuda a aplicar parches de manera constante, lo que se traduce en menos interrupciones y vulnerabilidades de seguridad para los usuarios finales.
«Snyk aporta valor a todo Lendi Group porque da tranquilidad a nuestros corredores y clientes. Pueden confiar en que usan tecnología de alto rendimiento y en que todos sus datos personales están seguros», comentó Cole.
Tras implementar Snyk Open Source en el tercer trimestre del año pasado, los objetivos y resultados clave (OKR) de Lendi Group incluían implementar correctamente Snyk y promover su uso en los departamentos pertinentes. En el cuarto trimestre, el objetivo pasó a ser corregir correctamente con Snyk el 90 % de los problemas críticos y de alto riesgo. Lendi alcanzó esta meta con creces: en los últimos seis meses, la cifra subió al 98 %, un logro poco común para muchas organizaciones. Para el primer trimestre de este año, Lendi se propone reducir el tiempo necesario para corregir problemas: a 14 días para los críticos y de alto riesgo, y a 60 días para los demás.
El trabajo en equipo hace posible lo imposible
Para garantizar una implementación exitosa, Lendi Group trabajó de cerca con el equipo de Snyk para explicar detalladamente a los equipos lo que estaba ocurriendo, darles acceso a la documentación adecuada y migrar a las personas al nuevo sistema con la menor interrupción posible de su jornada.
«El software de Snyk está muy bien documentado, así que aprovechamos la información disponible públicamente para capacitar a nuestro equipo. Realizamos varias sesiones de capacitación y creamos guías de buenas prácticas sobre cómo usar Snyk. Por suerte, nuestros ingenieros de software en Lendi son muy hábiles y aprendieron a usarlo casi de inmediato, porque se integra con las plataformas y actividades que usan todos los días. Ahora todos tenemos una pila tecnológica uniforme y consistente», comentó Cole.
Para facilitar una comunicación abierta y rápida entre Lendi y Snyk, se creó un canal compartido de Slack para que el equipo plantee preguntas o problemas.
«Todo el equipo de plataforma de Lendi tiene acceso a este canal, incluidos los ingenieros de SecOps y DevOps, así que pueden plantear y resolver problemas con Snyk de inmediato y solicitar recursos adicionales. Junto con Snyk, hemos intentado que este proceso sea lo más fluido y directo posible», comentó Cole.
Una vez que Lendi Group implementó Snyk con éxito y comprobó que había mejorado significativamente su forma de trabajar, el equipo fue un paso más allá y lanzó un proyecto para automatizar la integración de Lendi Group con Snyk.
«Nos gusta que todo lo que implementamos esté definido como código y disfrutamos de los proyectos de código abierto, así que decidimos crear un proveedor de Terraform de código abierto que nos ayude, no solo a nosotros, sino también a otras empresas, a integrar sus distintos equipos y proyectos con Snyk. Nuestro equipo recibió recientemente un premio Snykie Innovator por este proyecto», comentó Cole.
Próximos pasos
Al asociarse con Snyk, Lendi fomentó nuevas ideas de colaboración entre las disciplinas de ingeniería y seguridad de aplicaciones. El próximo objetivo de Lendi Group en el ámbito tecnológico es consolidar en un solo lugar servicios similares que hoy funcionan de forma independiente en ambas marcas.
«Como equipo, siempre nos planteamos nuevos desafíos para innovar y adoptar las tecnologías más recientes, sin dejar de divertirnos con proyectos interesantes. Snyk se alinea directamente con nuestra visión de futuro, ya que ayuda a garantizar que todo lo nuevo que construimos reciba parches con regularidad y que conozcamos el nivel de seguridad y riesgo asociado con cada vulnerabilidad», comentó Cole.