El desafío: mantener la seguridad al ritmo del crecimiento de la empresa
Pomelo es una empresa fintech que ofrece soluciones de tarjetas y cuentas digitales para criptomonedas, financiamiento instantáneo y opciones de tarjetas de crédito con garantía a sus clientes. Como maneja tantos datos confidenciales, el equipo de Pomelo sabía que debía priorizar la ciberseguridad desde el primer día.
El equipo de soluciones de plataforma de Pomelo decidió apoyarse en las herramientas nativas que ya existían en su ciclo de vida de desarrollo de software (SDLC) en AWS. Usaban Github, su plataforma de alojamiento de código, y CircleCI, su herramienta de integración continua, para facilitar controles de seguridad como la detección de secretos, el análisis SAST y SCA, los análisis de IaC y los análisis de imágenes base. El equipo de Pomelo dependía de un orb de CircleCI creado a medida, un tipo de paquete YAML que condensa configuraciones repetidas en una sola línea de código. Usaban varias herramientas de código abierto en distintos lenguajes para crear este orb de seguridad. Pero, a medida que Pomelo crecía, este orb de seguridad personalizado no podía seguir el ritmo.
“Varias herramientas, creadas en varios lenguajes, generaban resultados en formatos como JSON, SARIF y YAML, entre otros. Cada extensión tenía su propio formato con etiquetas anidadas, etc. Además, al crecer el número de repositorios, también aumentaron los falsos positivos detectados. Por eso, los datos se volvieron cada vez más difíciles de gestionar”. - Leandro Sanginetto Ingeniero experto técnico, Pomelo
Esta variedad de lenguajes también dificultaba obtener una visión general de todo el programa de seguridad, ya que el equipo tenía que cambiar de contexto entre distintos lenguajes. Sin el nivel de visibilidad adecuado, era difícil generar informes de auditoría, un problema enorme en una industria muy regulada.
La solución: la plataforma de seguridad de aplicaciones de Snyk
El equipo de Pomelo buscaba una solución que resolviera todos estos problemas. Quería aumentar la visibilidad y la escalabilidad, y reducir los falsos positivos. Además, el equipo quería encontrar una solución de seguridad que los desarrolladores pudieran usar fácilmente para crear y ejecutar sus aplicaciones en el entorno de AWS.
“Entendimos que, aunque adquiriéramos la mejor herramienta de seguridad del mundo, si no lográbamos dar visibilidad e involucrar directamente a los equipos de ingeniería, la implementación fracasaría. Queríamos una plataforma que, además de cumplir con todos nuestros estándares de seguridad, fuera fácil de usar para los desarrolladores. La herramienta que eligiéramos debía formar parte del SDLC de una manera liderada por los desarrolladores”. - Nicolas Gomez Ingeniero sénior de seguridad de aplicaciones, Pomelo
Eligieron la solución de seguridad de aplicaciones de Snyk por su facilidad de uso, su bajo número de falsos positivos y el soporte integrado. Al equipo de Pomelo le gustaron especialmente la función de pull request de corrección automática y las integraciones con sus herramientas existentes (Jira, Slack, Github, CircleCI, etc.).
La colaboración entre Pomelo y Snyk
Al comenzar a trabajar con Snyk, el equipo de Pomelo se fijó dos objetivos:
Cubrir los ~900 repositorios con Snyk
Dar acceso a la plataforma Snyk a todos los equipos de desarrollo (~200 desarrolladores)
En menos de un mes, Pomelo y Snyk alcanzaron ambos objetivos y lanzaron capacitaciones de seguridad para gerentes e ingenieros.
“Las integraciones y la API que ofrece esta solución nos ayudan a hacer que todos vean estos [problemas de seguridad], desde los desarrolladores hasta los gerentes y la alta dirección. Además, les da más independencia a los equipos de desarrollo para entrar en Snyk y ver con qué cuentan. Con Snyk, pueden hacer más por su cuenta”. - Leandro Sanginetto Ingeniero experto técnico, Pomelo
Simplificar las compras en AWS Marketplace
Para agilizar los procesos de compra, el equipo de Pomelo aprovechó sus mecanismos de facturación existentes con AWS para adquirir el software de Snyk. Así, pudo consolidar las facturas y acelerar el tiempo para obtener valor al comprar e implementar la solución de Snyk.
Si quieres probar la plataforma de seguridad de Snyk, diseñada para desarrolladores, también puedes crear una cuenta gratuita de Snyk directamente desde AWS Marketplace.
El impacto: un programa de seguridad escalable, listo para crecer con Pomelo
Ahora que el equipo de Pomelo implementó la plataforma de seguridad de aplicaciones de Snyk, tiene cobertura completa de sus aplicaciones, desde el código hasta la producción. Desde que implementó Snyk, el equipo resolvió 9,500 problemas: 2,150 de gravedad alta y 200 críticos, de los cuales 100 contenían exploits maduros.
Además, el equipo implementó varias integraciones para crear un programa de seguridad integral que se adapte a sus necesidades. Por ejemplo, configuró una integración entre Snyk y Slack, que alerta a sus equipos cuando necesitan corregir un problema.
“Lo más importante para nosotros es poder gestionar desde un solo lugar los datos de los hallazgos de las pruebas de seguridad. Si quieres analizar algo con GoSec, puedes hacerlo… Si necesitas analizar algo en Python, también puedes hacerlo. Puedes recuperar toda esa información desde un solo lugar con una sola llamada. Antes de Snyk, eso era lo que nos resultaba más complicado”. - Leandro Sanginetto Ingeniero experto técnico, Pomelo
Para conocer más sobre la colaboración entre Snyk y Pomelo, escucha la conversación de Leandro y Nicolas en DevOps TV.