Le défi : intégrer la gestion des risques au développement
Asurion est un assureur spécialisé dans l’électronique grand public, qui aide ses clients à protéger, réparer et remplacer leurs appareils, comme les smartphones, les tablettes et les appareils électroménagers. L’entreprise compte plus de 10 000 experts qui aident 300 millions de clients à résoudre des problèmes techniques dans le monde entier. Offrir une excellente expérience client à cette échelle exige un environnement de développement agile et dynamique.
Bien que la gestion des risques soit au cœur du modèle économique d’Asurion, l’entreprise devait encore intégrer l’atténuation des risques à ses processus de développement. Sa croissance rapide s’est appuyée sur un large éventail d’outils et de technologies, mais ses dirigeants étaient de plus en plus préoccupés par le manque de responsabilité concernant la dette technique et la sécurité dans l’ensemble de l’organisation.
« Les équipes produit d’Asurion ont relativement carte blanche pour choisir leurs piles applicatives et l’infrastructure associée », explique Jeremy Young, ingénieur principal en sécurité chez Asurion. « Si cette liberté rend les ingénieurs heureux et leur permet d’avancer rapidement, elle peut aussi entraîner plusieurs difficultés de gestion et d’exploitation. »
La solution : créer une boîte à outils pensée pour les développeurs
Par le passé, l’équipe de sécurité peinait à suivre le rythme du développement produit chez Asurion, ce qui se traduisait par un manque de visibilité et une approche réactive de la gestion des risques. Asurion a donc créé une boîte à outils qui connecte facilement les logiciels prêts à l’emploi aux différents moteurs d’intégration continue (CI) utilisés par les équipes de développement.
« Nous avons toujours manqué d’une visibilité complète sur nos produits et avons compilé une multitude de logiciels tiers pour combler les lacunes », explique Young. « Cependant, ces solutions tierces ne s’intégraient pas à nos outils, ce qui a érodé la confiance entre les équipes de sécurité et les équipes produit. Nous avions besoin d’un outil de sécurité conçu pour les développeurs, comme Snyk. »
Créée avec Python, la boîte à outils de sécurité produit d’Asurion est un ensemble conteneurisé de processus d’analyse propulsés par Snyk, que les développeurs peuvent intégrer à tout projet utilisant des conteneurs. Ils peuvent désormais lancer des analyses de sécurité en exécutant simplement le conteneur de la boîte à outils, et recueillir immédiatement des données et des informations essentielles sur la sécurité produit.
« Notre boîte à outils génère de nombreuses données à partir du code que nous analysons avec Snyk », ajoute Young. « Ces données ont des applications immédiates, notamment pour suivre l’adoption de notre boîte à outils par les équipes. Ces informations suscitent des échanges entre l’équipe de sécurité et nos collègues afin de repérer des pistes d’amélioration continue. »
Choisir l’analyse de sécurité Snyk
L’approche privilégiant les développeurs pour l’adoption de nouveaux outils et de nouvelles technologies a joué un rôle essentiel dans la croissance rapide d’Asurion. L’entreprise a donc choisi Snyk, réputé pour être facile à utiliser pour les développeurs et simple à mettre en œuvre. Snyk s’intègre facilement à l’ensemble du pipeline CI/CD d’Asurion, avec des outils comme Artifactory, Jenkins, Kubernetes, AWS et bien d’autres.
« Les outils conçus pour les développeurs, comme ceux de Snyk, s’appuient sur des API bien documentées et nous ont grandement simplifié la création de notre boîte à outils », explique Young. « Ils offrent une visibilité sur l’analyse de la composition logicielle, l’analyse des images de conteneurs et des vulnérabilités, les tests de régression axés sur la sécurité, l’analyse des secrets, l’analyse statique et même l’analyse de l’infrastructure en tant que code, le tout au même endroit. »
Les résultats : le DevSecOps, un partenariat
Grâce à sa nouvelle boîte à outils, Asurion bénéficie désormais d’une visibilité complète sur la sécurité produit. Snyk fournit des informations essentielles sur la sécurité dès le début du processus de développement, afin que les ingénieurs puissent corriger les problèmes avant que le code n’arrive en production. En outre, l’équipe de sécurité produit peut appliquer des règles et des bonnes pratiques, comme le chiffrement obligatoire des données stockées dans le cloud ou l’interdiction de mettre en production des produits accessibles au public présentant des problèmes critiques. C’est une véritable approche DevSecOps de la sécurité produit.
« Au lieu de dire : “Regardez ce que les développeurs ont encore fait”, nous demandons : “Comment pouvons-nous vous aider ?” », explique Young. « Faire preuve d’empathie et être un bon partenaire est bien plus constructif et permet de bâtir des relations durables qui nous aident à accomplir un véritable travail. Chez Asurion, c’est notre approche de la sécurité produit, et Snyk nous aide à la concrétiser. »
Asurion n’impose pas l’utilisation de sa boîte à outils aux développeurs, mais son adoption progresse grâce à la valeur qu’elle apporte. Grâce à des sessions de formation informelles à l’heure du déjeuner et à des démonstrations privées, Asurion a pu créer naturellement une communauté d’utilisateurs au sein de ses équipes de développement. Ce partenariat entre l’équipe de sécurité produit et les « passionnés de sécurité » des équipes de développement a fait de la sécurité un élément central de la culture d’Asurion.
« Le mentorat crée des liens et un esprit de camaraderie, essentiels à notre réussite à long terme », conclut Young. « La sécurité n’est donc plus perçue comme un obstacle, mais comme un levier. De plus, des partenaires comme Snyk ont véritablement accéléré nos efforts pour atteindre nos objectifs de sécurité. Snyk est un outil clé de notre boîte à outils, qui nous aide à obtenir l’adhésion de toutes les équipes de développement. »