Le défi : assurer une couverture de sécurité complète
Avec environ 1 500 applications et plusieurs milliers de projets, renforcer la sécurité à grande échelle n’est toutefois pas simple. L’entreprise avait besoin d’une solution de sécurité à la fois facile à utiliser (pour garantir son adoption par les développeurs) et dotée de fonctionnalités avancées permettant de gérer efficacement les efforts de sécurité dans toute l’organisation.
« Nous voulions une solution capable de fournir des indicateurs sur le nombre d’applications analysées par rapport au nombre total d’applications, afin de connaître notre couverture de sécurité globale », explique Simon Wilkins, analyste en sécurité des applications chez Overstock. « L’efficacité est également un facteur important. Nous voulons pouvoir effectuer simultanément une action sur tous les projets liés à une application donnée pour gagner du temps. »
La solution : rationaliser les efforts de sécurité grâce aux tags de projet
Overstock a choisi Snyk, car les fonctionnalités avancées de son API et de ses tags répondaient parfaitement à son besoin d’élargir la couverture de sécurité à des milliers de projets. L’entreprise peut désormais gérer facilement ses processus d’analyse de sécurité au moyen d’appels API centralisés, bien plus rapidement qu’en procédant manuellement pour chaque projet.
Les tags de projet sont une fonctionnalité de Snyk lancée en 2020 pour aider les organisations à trier, filtrer et modifier plusieurs projets en bloc via l’API Snyk. Plutôt que d’effectuer les actions une par une dans l’interface de la plateforme, les utilisateurs peuvent automatiser les modifications et extraire des indicateurs pour tous les projets portant un tag donné. Overstock utilise différents critères de tag, comme le propriétaire du projet ou son statut d’obsolescence, pour trier et gérer efficacement ses diverses applications.
« Quand vous travaillez avec des dizaines, des centaines, des milliers ou des centaines de milliers de projets, retrouver un projet précis revient à chercher une aiguille dans une botte de foin », explique Waleed Arshad, chef de produit chez Snyk. « Vous devez donc pouvoir regrouper les projets, effectuer des opérations en bloc et filtrer précisément selon vos besoins. »
Comment l’API Snyk permet de renforcer la sécurité à grande échelle
Snyk répond aux défis liés à la montée en charge grâce à son API robuste, qui s’intègre aux workflows de développement, à des fonctionnalités de reporting améliorées pour une remédiation efficace, aux tags de projet pour gérer la sécurité sur de nombreux projets, ainsi qu’à de nombreuses autres fonctionnalités pensées pour les développeurs.
L’API Snyk permet d’automatiser entièrement les processus existants de bout en bout et à grande échelle. Grâce à l’API, les entreprises peuvent intégrer les équipes d’ingénierie en créant des paramètres d’intégration et en invitant des utilisateurs. Une fois intégrés, les ingénieurs peuvent utiliser l’API Snyk pour se connecter à leur système de gestion du code source (SCM) et à d’autres outils de développement. De plus, l’exécution d’une tâche cron sur ces points de terminaison de l’API garantit que la plateforme Snyk dispose en permanence des listes les plus à jour des équipes et des projets.
Les entreprises peuvent également améliorer la visibilité de leurs efforts de sécurité grâce à l’API Snyk. L’API fournit de nombreux journaux d’audit pour suivre l’utilisation et d’autres indicateurs clés. L’API de rapports permet aussi aux organisations d’obtenir des informations détaillées, comme des statistiques de remédiation, des recommandations pour prioriser les problèmes, le retour sur investissement et le respect des SLA.
« Vous devez veiller à accompagner en permanence les bons secteurs de votre organisation, et le reporting peut vous y aider », explique Arshad. « Vous pouvez suivre précisément l’état de la remédiation dans toute l’organisation et concentrer vos efforts sur les secteurs qui en ont le plus besoin. »
Snyk propose également des attributs de projet et des options de politiques de sécurité. Une politique de sécurité est un ensemble personnalisé de règles qui donne plus ou moins de priorité aux vulnérabilités afin de mieux correspondre à la tolérance au risque de l’organisation. Les organisations peuvent appliquer automatiquement ces politiques à certains projets en fonction de leurs attributs, pour contrôler leur sécurité de manière granulaire et à grande échelle.
Résultats : une sécurité plus facile à gérer
Grâce à l’API et aux fonctionnalités de tags de Snyk, Overstock réalise un gain de temps considérable en matière de sécurité. En plus d’éliminer les tâches administratives chronophages, Overstock prévoit d’étendre l’utilisation des tags Snyk afin de centraliser encore davantage ses processus d’analyse de sécurité et de mettre en place une approche de la sécurité qui évolue au même rythme que l’entreprise.
« La nouvelle fonctionnalité de tags a fait passer l’API Snyk au niveau supérieur : nous pouvons désormais effectuer toutes ces opérations en bloc », conclut Wilkins. « C’est donc une fonctionnalité que tout le monde adoptera rapidement. »