Le défi : protéger les données de santé sensibles
Compte tenu de la sensibilité des données collectées, garantir des pratiques rigoureuses en matière de sécurité et de protection des données est l’une des priorités de l’entreprise. Face au rythme extrêmement soutenu du développement produit, Flo Health avait besoin de mettre en place des processus de sécurité des applications sans ralentir ses équipes d’ingénierie.
La solution : intégrer Snyk aux processus DevOps
Lorsque Flo Health a cherché un outil de sécurité offrant une meilleure visibilité sur la sécurité des applications pendant leur développement, l’entreprise a choisi Snyk. Flo a d’abord intégré l’analyse automatisée des vulnérabilités à ses outils de développement existants. Cette démarche a permis d’améliorer à la fois la sécurité et la vitesse de développement de plus de 300 dépôts de code et 600 conteneurs.
« Nous avons 15 équipes de développement, chacune responsable de son code et de son pipeline », explique Dmitry Yackevich, responsable de l’ingénierie de la sécurité chez Flo Health. « En tant qu’équipe de sécurité, nous les avons aidées à intégrer Snyk à leur cycle de développement en leur fournissant de la documentation, des exemples et des images de base. »
Après les premiers succès obtenus avec Snyk Container et Snyk Open Source, Flo a déployé Snyk Infrastructure as Code afin d’assurer un niveau de sécurité de base dans plus de 20 comptes AWS utilisant Terraform. Snyk a permis à l’entreprise de définir des politiques cohérentes et de vérifier automatiquement la présence de vulnérabilités dans ces bases de code.
« Snyk offre un service client de premier ordre », souligne Leo Cunningham, RSSI de Flo Health. « Cela couvre de nombreux aspects : la production de rapports personnalisés, l’organisation de formations et la création de supports pour les installations. »
Faire évoluer la sécurité des applications en période d’hypercroissance
Flo Health connaît une croissance rapide : il n’était donc pas question d’introduire un outil de sécurité qui ralentirait ses équipes de développement. Auparavant, avec l’approche manuelle de Flo, les correctifs pouvaient mettre des mois à parvenir à l’équipe de sécurité. Grâce aux contrôles automatisés de Snyk à chaque commit, les développeurs peuvent désormais corriger les problèmes en quelques minutes, sans attendre l’intervention de l’équipe de sécurité.
« Avant de travailler avec Snyk, nous faisions réaliser des tests d’intrusion externes tous les six mois et une évaluation interne chaque trimestre. Le cycle de retour d’information pour détecter et corriger les vulnérabilités était donc assez long », indique Yackevich. « Avec Snyk, nous avons pu changer d’approche et commencer à effectuer ces tests en continu. »
Malgré l’intégration des contrôles de sécurité de Snyk, le nombre de commits de code a augmenté de 150 % et les déploiements sont restés inférieurs à une minute. En fournissant des informations de sécurité exploitables plus tôt dans le processus de développement, Snyk a aidé les équipes de Flo à intégrer la sécurité en amont et à corriger plus efficacement les vulnérabilités dès leur détection. Dans un contexte de croissance rapide, il est essentiel de pouvoir améliorer simultanément la sécurité et la vitesse de développement.
« Notre partenariat avec Snyk a été une excellente décision, car il ne s’agit pas seulement d’analyser le code, mais aussi de mettre en œuvre la sécurité de la bonne manière », ajoute Yackevich. « Snyk nous a aidés à établir une approche rigoureuse de la sécurité au sein de notre entreprise. »
Le résultat : conjuguer sécurité et rapidité
Depuis le déploiement de Snyk, les développeurs sont passés de cinq à dix failles de sécurité corrigées par mois à 300–1 900 corrections mensuelles. Flo Health estime qu’il faudrait au moins vingt nouveaux spécialistes de la sécurité pour atteindre le volume actuel de corrections avec l’ancienne approche manuelle.
« Avec Snyk, nous avons commencé à effectuer des contrôles de sécurité à chaque commit de code », explique Yackevich. « Cela nous a clairement permis de raccourcir le cycle de retour d’information et d’intégrer la sécurité plus tôt dans le développement. »
Snyk a permis à Flo Health d’améliorer la posture de sécurité de son application mobile, mais aussi de lancer de nouvelles fonctionnalités plus rapidement. Les développeurs consacrent désormais moins de temps au traitement du retard accumulé sur les problèmes de sécurité et davantage à la création de fonctionnalités innovantes qui favorisent la croissance et l’adoption de Flo Health. La sécurité s’en trouve considérablement renforcée, et les clients bénéficient plus rapidement d’un produit de meilleure qualité et plus sûr.
« Chez Flo, le développement continu d’un cadre de sécurité reposant sur un ensemble rigoureux de politiques et de procédures est une priorité absolue », conclut Cunningham. « Compte tenu du caractère profondément personnel des données de nos utilisateurs, nous nous engageons à réduire au minimum les risques potentiels pour la sécurité. Snyk est rapidement devenu l’un des outils de sécurité les plus importants chez Flo. Il est essentiel de disposer de conteneurs et d’une infrastructure sous forme de code sécurisés. Snyk analyse tous nos pipelines de code en un temps record et détecte les problèmes avant leur mise en production, ce qui nous permet d’intégrer la sécurité dès le début. En somme, Snyk nous a aidés à déployer notre approche axée sur la sécurité à grande échelle, en un temps record. »