TechnologyOne es mucho más que un proveedor global de planificación de recursos empresariales (ERP) SaaS: es una empresa que crea, implementa y opera todo su software internamente, sin depender de consultores externos. Esta oferta integral es un diferenciador clave y cambia drásticamente las reglas del juego para sus clientes. La empresa fomenta una cultura de compromiso profundo en la que se preocupa «sin descanso» por la seguridad de sus clientes, ya sea que lleven seis meses o 20 años con ella.
Nick Baker, líder de Operaciones e Ingeniería de Seguridad, y Chris Polkinghorne, director de Programas de Seguridad y Cumplimiento, sabían que para mantener este alto nivel de confianza y acelerar el trabajo de sus equipos de desarrollo, debían transformar por completo su programa de seguridad de aplicaciones (AppSec).
El desafío: brechas de visibilidad y cuellos de botella en el desarrollo
Antes, dependían de una combinación de herramientas de código abierto y herramientas internas de análisis estático de código (SCA). Las herramientas desarrolladas internamente, diseñadas principalmente para el código .NET, que representaba la mayor parte del código de la empresa, no cubrían las nuevas plataformas ni las tecnologías que la empresa quería explorar. Aunque inicialmente satisfacían las necesidades básicas de seguridad, pronto se convirtieron en un cuello de botella para los equipos de ingeniería.
Nick explica: «Como la mayor parte de nuestro código era .NET, el alcance era muy limitado. No había herramientas para dar soporte a nuevas plataformas y tecnologías».
Nick agregó que las herramientas existentes generaban demasiado ruido. «Un informe hablaba de “miles de días de deuda técnica”; los falsos positivos dificultaban tener “conversaciones productivas” con los equipos de producto».
Los problemas de seguridad solían salir a la luz justo antes del lanzamiento, el peor momento posible. Esto era una gran preocupación para el equipo de seguridad, ya que existía una brecha importante en las capacidades.
«Los desarrolladores no tenían visibilidad hasta que estaban por lanzar el producto», recordó Nick. «Eso es costoso. Si encuentran un problema de seguridad, tienen que volver atrás, corregirlo y reiniciar todo el ciclo».
En productos grandes, incluso una sola corrección podía significar horas de reconstrucción y nuevas pruebas.
«Algunos de nuestros programas tardan 30 minutos solo en compilarse», dijo Nick. «Si tienes que hacerlo tres veces para una sola corrección, son 90 minutos perdidos».
El equipo necesitaba dar comentarios de seguridad a los desarrolladores antes y con mayor frecuencia, directamente en su flujo de trabajo.
En ese momento, los requisitos estaban claros: reducir el ruido, mejorar la cobertura de lenguajes y frameworks, y dar a los desarrolladores comentarios rápidos y contextualizados sobre los que pudieran actuar.
La solución: un socio colaborativo, de alta señal y poco ruido
Al evaluar soluciones, el equipo de TechnologyOne tenía requisitos innegociables, todos enfocados en hacer que la herramienta fuera un habilitador para el negocio:
Alta señal y poco ruido: las herramientas heredadas abrumaban a los equipos con hallazgos que no permitían tomar medidas y problemas menores de linting.
Brechas de cobertura: la solución debía admitir varios lenguajes en .NET, Node.js, Python, Go y más, no solo la tecnología heredada de TechnologyOne.
Cobertura integral: debía cubrir tanto el análisis de terceros (SBOM) como el análisis estático de código.
Escalabilidad: la solución debía poder escalar a miles de repositorios.
El equipo de Snyk se destacó como un verdadero socio, tanto por la compatibilidad técnica como por la calidad de la colaboración. Nick comentó: «Las primeras reuniones con Snyk parecían sesiones para resolver problemas de verdad. La colaboración estuvo presente desde el primer día».
La decisión de TechnologyOne de adquirir Snyk a través de AWS Marketplace agilizó aún más el proceso y permitió que el equipo pasara rápidamente de la evaluación a la implementación. El despliegue de Snyk fue rápido y transformador. TechnologyOne incorporó todo su software desde sus repositorios de código en cuestión de días. Fue un gran avance frente a las herramientas anteriores.
«Necesitábamos cobertura de inmediato, y la tuvimos en cuestión de días, no de semanas ni de meses», dijo Nick.
La colaboración con Snyk fue más allá de las herramientas. Cuando un equipo de producto se topó con un obstáculo, el equipo de ingeniería de Snyk llegó con una solución funcional y ayudó a mantener el trabajo en marcha.
«Me impresionó; el equipo de producto quedó muy satisfecho con la forma en que se manejó».
El impacto: velocidad y confianza
El tiempo para obtener valor importa, tanto si tienes cuatro desarrolladores como si tienes 400. Con Snyk, los líderes de seguridad podían ver que se aplicaban prácticas seguras sin tener que perseguir a cada equipo.
Chris explica: «Queremos que nuestros equipos de desarrollo avancen rápido y trabajen de forma segura. Eso es innegociable. Snyk brindó esa capa de confianza: datos de respaldo que muestran que los equipos hacen lo correcto mientras avanzan a buen ritmo».
Eso está en línea con la promesa de marca de TechnologyOne: innovación segura y confiable.
Al reemplazar herramientas heredadas ruidosas e ineficientes, TechnologyOne obtuvo visibilidad de su amplia base de código y redujo el tiempo necesario para corregir vulnerabilidades.
Un verdadero enfoque shift-left y una mejor experiencia para los desarrolladores, sin fricciones
El análisis de pull request se implementó de la noche a la mañana. «Pudimos activarlo y les facilitó la vida a las personas», señala Nick.
Ese cambio a la izquierda no era solo una teoría. Abordó directamente una parte costosa del ciclo de vida de desarrollo de software (SDLC) de TechnologyOne: los ciclos de comentarios tardíos que provocaban reconstrucciones de varias horas y retrasaban las aprobaciones de lanzamiento. Ahora, los desarrolladores reciben recomendaciones en segundos, justo en la línea de código.
Chris dijo: «Con Snyk y el IDE, el desarrollador ve la línea, recibe la recomendación, hace el cambio en segundos y sigue adelante».
La seguridad como habilitador, no como obstáculo
Snyk transformó la experiencia de los desarrolladores al integrar los comentarios de seguridad directamente en su flujo de trabajo, convirtiéndola en un habilitador y no en un obstáculo. La cultura de seguridad de TechnologyOne es muy diferente de la de muchas empresas de software empresarial.
La colaboración con Snyk transformó el enfoque de TechnologyOne hacia la seguridad de aplicaciones y cambió la percepción de la seguridad: dejó de ser un obstáculo para el desarrollo y se convirtió en un habilitador clave de la velocidad y la calidad de los flujos de trabajo de los desarrolladores.
«Somos un equipo de seguridad que quiere ser visto como un habilitador», dijo Chris. «Rara vez decimos “No, no puedes”. Lo habitual es decir “Sí, con ciertas condiciones”».
Esa mentalidad, que combina rapidez y seguridad, es parte de lo que hace de TechnologyOne un lugar excepcional para trabajar.
Próximos pasos: ampliar la capacitación de desarrolladores con Snyk Learn
El siguiente paso fue implementar Snyk Learn para ofrecer capacitación contextualizada y específica para cada stack a todos los equipos. ¿El objetivo? Que la programación segura se vuelva algo natural.
Chris comentó: «Cuando tienes cientos de desarrolladores que trabajan en distintas plataformas y con diferentes stacks tecnológicos, es muy difícil crear una capacitación que se pueda repetir y que resuelva todos esos desafíos únicos. Históricamente, nuestra capacitación para desarrolladores era o bien “este es nuestro software principal” o bien “este es uno genérico”. Hay una gran desconexión en eso».
Nick agregó: «Snyk Learn nos ofrece contenido adaptado al stack de cada equipo, y eso es lo que hace que perdure. A nadie le gusta hacer una capacitación genérica. Con Snyk Learn, es relevante, atractiva y realmente útil».
Al integrar Snyk en cada etapa del ciclo de vida del software, TechnologyOne creó una cultura de seguridad desde el diseño que permite a los desarrolladores avanzar rápido y trabajar con confianza. Así demostró que la velocidad y la seguridad no tienen por qué competir. Cuando se hace bien, se potencian mutuamente.