Xygeni Logo Weiß
Start Free
Kontakt

Banco Serfinanza cuts finding management time by around 90% and automates its secure development controls with AI

Fallstudie

Logo der Banco Serfinanza

Fallstudie

Laden Sie das Fallstudien-PDF herunter

Über Banco Serfinanza

Banco Serfinanza SA ist ein kolumbianisches Finanzinstitut mit Hauptsitz in Barranquilla, das sich auf Privatkundengeschäft, Einzelhandelsfinanzierung und Finanzlösungen für kleine und mittlere Unternehmen spezialisiert hat.

Im Rahmen ihrer Wachstums- und Digitalisierungsstrategie hat die Bank eigene Technologiekapazitäten aufgebaut, um die Einführung digitaler Produkte und Dienstleistungen zu beschleunigen. Ihre Softwareentwicklung basiert auf zwei Säulen: einer hauseigenen Softwareentwicklungsabteilung und einem Netzwerk spezialisierter strategischer Partner, die ebenfalls Software für die Bank entwickeln.

Die Herausforderung: Integrierte Sicherheit in der verteilten Entwicklung

Wenn die Entwicklung an Fahrt gewinnt und zudem zwischen einem internen Team und mehreren externen Partnern aufgeteilt ist, kann die Sicherheitskontrolle nicht mehr allein auf manuellen Prüfungen basieren. Jede Auslieferung birgt das Risiko, dass eine Code-Schwachstelle oder eine unsichere Infrastrukturkonfiguration unbemerkt in die Produktion gelangt.

Die Erkennung selbst war nicht das Problem. Durch regelmäßige Überprüfungen erhielt das Sicherheitsteam Unmengen an Meldungen, die manuell klassifiziert werden mussten. Dabei wurde einzeln entschieden, welche Meldungen die Arbeit eines Entwicklers rechtfertigten, und diese wurden dann zugewiesen. Diese Klassifizierungsarbeit, nicht die Analyse, war der Engpass. Banco Serfinanza identifizierte drei spezifische Bedürfnisse:

• Kontinuierliche, beständige Sichtbarkeit in das Risiko des gesamten in die Bank gelangenden Codes, unabhängig davon, ob dieser von der hauseigenen Produktionsstätte oder von einem Partner geschrieben wurde.
• Automatische Priorisierung, keine manuelle Sichtung. Die Entscheidung, was zuerst repariert werden soll, sollte nicht davon abhängen, dass jemand Listen nacheinander durchgeht.
• Kontrolle innerhalb des Entwicklungszyklus, nicht danach. Die Analyse sollte auf jedem Gerät ausgeführt werden. commit und jedes pull requestnicht als periodische Überprüfung, die Lücken zwischen den einzelnen Runden entstehen lässt.

Das übergeordnete Ziel war nicht die Hinzufügung eines weiteren Analyseinstruments, sondern die Stärkung einer sicheren Entwicklungssteuerung durch automatisierte, messbare Erkenntnisse.

Unsere Herausforderung bestand nicht darin, Schwachstellen zu erkennen, sondern dies in dem Tempo zu tun, mit dem unser internes Entwicklungsteam und unsere externen Partner arbeiten. Das hohe Geschäftstempo führt zu einem ständigen Anstieg des in die Bank einfließenden Codes, was mit manuellen Kontrollen nicht tragbar war.

Leonell Santiago Sanandres

Direktor für operationelles Risiko

Die Lösung: eine Plattform, die auf die Vision der digitalen Transformation ausgerichtet ist

Die Bank hat sich nach einer gründlichen Prüfung der am Markt verfügbaren Alternativen für Xygeni entschieden.

Der erste Kontakt fand auf der 18ENISE statt, einer von INCIBE in León, Spanien, organisierten Veranstaltung, wo das Team der Banco Serfinanza den Ansatz von Xygeni zum Management von Sicherheit in der Softwareentwicklung kennenlernte.

Anschließend wurde ein Machbarkeitsnachweis erbracht, um zwei Dinge zu überprüfen: dass sich die Plattform in die bereits vorhandenen Prozesse und Tools der Bank integrieren lässt und dass die erzielten Ergebnisse umsetzbar sind, ohne die Sicherheitsabteilung zusätzlich zu belasten.

Xygeni deckt den gesamten Zyklus von einer einzigen Plattform aus ab und analysiert proprietären Code, Open-Source-Abhängigkeiten, laufende Anwendungen, APIs, offengelegte Zugangsdaten und Infrastruktur als Code sowie die Software-Lieferkette und vieles mehr. ASPM eine Schicht, die sowohl ihre eigenen Ergebnisse als auch die von anderen Tools übernommenen Ergebnisse in einem einzigen Risikomodell zusammenführt.

Auf dieser Plattform setzte Banco Serfinanza vier Funktionen ein, die aufgrund ihrer Übereinstimmung mit den Prioritäten der Bank ausgewählt wurden: KI SAST auf proprietärem Code, CI/CD Sicherheit auf der pipelines, IaC Security auf Infrastructure as Code und der künstlichen Intelligenzschicht der Plattform, die die Sichtung und Priorisierung aller von den anderen drei erkannten Ereignisse automatisiert.

Die Integration erfolgte auf GitLab und fügte der bestehenden Funktionalität Analysen hinzu. pipelineDie Anbindung der Repositorien erfolgte schrittweise, phasenweise und entsprechend den Prioritäten der Bank, anstatt die Analyse für das gesamte Portfolio gleichzeitig zu aktivieren.cision vermied den üblichen Effekt einer Sicherheitsausrollung: eine anfängliche Menge an gefundenen Sicherheitslücken, die so groß ist, dass die Entwicklungsteams sie ignorieren.

Die Ergebnisse zeigten eine starke Übereinstimmung mit den Zielen der Organisation, insbesondere in Bezug auf Automatisierung, Risikotransparenz und stärkere Sicherheitskontrollen für die Entwicklung.

Verwendete Xygeni-Produkte

Obwohl Banco Serfinanza alle Xygeni-Produkte getestet und damit die Analyseabdeckung und die Erkennung von Problemen verbessert hat, konzentrierten sich der Fokus und die bestätigten Vorteile während des Proof of Concept auf Folgendes:

CI/CD Sicherheit

Pipelines werden als Code analysiert, im gleichen Rhythmus wie Anwendungscode. Xygeni prüft pipeline Definitionen und SCM Einstellungen für unsichere Konfigurationen, übermäßige Berechtigungen, ungeschützte Branches und Risiken im Build-Prozess, abgebildet auf OWASP CI/CD Top 10. Für eine Bank mit verteilter Entwicklung, die pipeline ist ein ebenso wichtiger Kontrollpunkt wie der Code selbst: Hier läuft alles zusammen, was in die Bank gelangt, egal ob es von innen oder außen kommt.

AI SAST

KI-gestützte statische Analyse von proprietärem Code auf jedem commit und pull requestEs erkennt unsichere Muster wie SQL-Injection oder Cross-Site-Scripting und nutzt den Kontext des Repositorys, um ausnutzbare von theoretischen Schwachstellen zu trennen, sodass Entwickler nur die relevanten Informationen sehen. standard Dies gilt für Code des internen Teams und von strategischen Partnern, und wenn ein Befund bestätigt wird, schlägt AI Auto-fix die Korrektur direkt im Code vor. pull request.

IaC Security

Unsichere Konfigurationen in Infrastructure as Code werden erkannt, bevor sie bereitgestellt werden, und zwar über Terraform, CloudFormation, ARM, Bicep, Kubernetes, Helm und Dockerfiles sowie die von ihnen erstellten Container-Images hinweg. Guardrails in England, pull request und der pipeline Eine riskante Änderung wird verhindert, bevor sie die Cloud erreicht, und die KI-Autokorrektur schlägt die korrigierte Vorlage vor. Die Korrektur erfolgt innerhalb weniger Minuten, nicht erst nach der Bereitstellung, wenn ein Wartungsfenster benötigt wird.

Die Ergebnisse

90 % weniger Zeitaufwand für die Identifizierung, Priorisierung und Zuweisung von Sicherheitsbefunden
Die Einsparungen resultieren nicht aus einer schnelleren Erkennung, sondern aus dem Wegfall der manuellen Klassifizierung. Die Analyse wurde von einer periodischen Überprüfung zu einer automatischen, täglichen Durchführung umgestellt. commit und jedes pull requestDie KI-Ebene liefert Risiken, die bereits nach realem Kontext und nicht nach theoretischer Schwere geordnet sind. Was früher eine wiederkehrende Aufgabe für das Sicherheitsteam war – Listen prüfen und Aufgaben zuweisen –, ist nun bereits erledigt. Dieser Sprung auf 90 % fällt mit der Einführung der KI-Ebene zusammen. Kontinuierliche Erkennung wurde bereits durch KI realisiert. SAST, CI/CD Sicherheit und IaC SecurityWas fehlte, war die Beseitigung der manuellen Arbeit, die sich nach jeder Analyse anhäufte.

Kontrolle über Code, der nicht vom eigenen Team der Bank geschrieben wird

Die Sicherheitskontrolle gilt gleichermaßen für Entwicklungen aus dem eigenen Werk und von strategischen Partnern. Die Bank ging vom Vertrauen auf die Vorgehensweise jedes einzelnen Lieferanten zur Forderung nach einheitlichen, überprüfbaren Standards über. standard, mit automatisiertem Nachweis, dass dies bei jeder Auslieferung in über 100 kontinuierlich analysierten Repositories erreicht wird. Dies ist das Ergebnis mit der größten langfristigen Reichweite im gesamten Einsatz. standard dass dies bei jeder Lieferung überprüft wird, nicht von der Reife des jeweiligen Partners oder der Geschäftsbeziehung zu ihm abhängt und der Bank eine andere Position in ihren Gesprächen mit den Lieferanten verschafft.

Früherkennung von Schwachstellen vor der Produktionsfreigabe

Code-Schwachstellen und unsichere Infrastrukturkonfigurationen werden bereits im Entwicklungszyklus identifiziert, da ihre Behebung nur einen Bruchteil der späteren Kosten verursacht. Heutzutage werden alle kritischen und schwerwiegenden Schwachstellen behoben, bevor sie in die Produktion gelangen.

From finding to fix: the cycle is measured in hours, not days

Eine Schwäche, die zuvor bis zur nächsten planmäßigen Überprüfung unentdeckt bleiben konnte, tritt nun innerhalb von Minuten zutage, und zwar im selben System. pull request Der Fehler wird dort behoben, wo er eingeführt wurde, und zwar solange der Kontext für den Entwickler noch frisch ist. Die Behebung stellt keine Unterbrechung mehr dar, sondern wird Teil der bereits laufenden Arbeit.

Automatische Priorisierung: von einer Vielzahl von Ergebnissen zu einer Auswahlliste

Die Priorisierung von Sicherheitsvorfällen ist nicht länger Aufgabe des Sicherheitsteams. Die KI der Plattform ordnet Risiken kontextbezogen und reduziert die Informationsflut, die die Entwicklerteams erreicht. Der Effekt ist nicht nur technischer Natur: Er verbessert die automatische Priorisierung – von einer Vielzahl an Ergebnissen zu einer übersichtlichen Liste – und verdeutlicht den Zusammenhang zwischen Sicherheit und Produkt, da die Entwickler gezielt angegangen werden, um die erforderlichen Korrekturen vorzunehmen.

Die Implementierung von Xygeni hat es uns ermöglicht, unsere sicheren Entwicklungsprozesse durch die Automatisierung von Kontrollen und die frühzeitige Erkennung von Schwachstellen deutlich zu verbessern.

Wir haben den Zeitaufwand für die Verwaltung und Priorisierung von Ergebnissen um rund 90 % reduziert, und die meisten Probleme werden heute behoben, bevor sie in die Produktion gelangen. Neben den technischen Fähigkeiten der Plattform schätzen wir auch das Team. commitWir setzen auf kontinuierliche Verbesserung, Innovation und enge Unterstützung während des gesamten Prozesses.

Xygeni hat sich zu einem wichtigen Wegbereiter unserer Strategie für digitale Transformation und Technologierisikomanagement entwickelt.

Leonell Santiago Sanandres
Direktor für operationelles Risiko, Banco Serfinanza SA
Laden Sie das Fallstudien-PDF herunter

Sichern Sie Ihre Softwareentwicklung und -bereitstellung

mit Xygeni Security

Video-Demo ansehen
Demo buchen