Banco Serfinanza SA est une institution financière colombienne dont le siège social est situé à Barranquilla, spécialisée dans les services bancaires aux particuliers, le financement de détail et les solutions financières pour les petites et moyennes entreprises.
Dans le cadre de sa stratégie de croissance et de transformation numérique, la Banque a développé ses propres capacités technologiques afin d'accélérer le lancement de ses produits et services numériques. Son développement logiciel repose sur deux piliers : un studio de développement interne et un réseau de partenaires stratégiques spécialisés qui développent également des logiciels pour la Banque.
Notre défi n'était pas de détecter les vulnérabilités, mais de le faire au rythme de notre équipe de développement interne et de nos partenaires externes. Le rythme soutenu de l'activité implique une augmentation constante du volume de code intégré à la Banque, et les contrôles manuels ne permettaient pas d'y parvenir.
Leonell Santiago Sanandres
Directeur des risques opérationnels
PipelineLes fichiers s sont analysés comme du code, à la même cadence que le code de l'application. Xygeni vérifie pipeline définitions et SCM Paramètres pour les configurations non sécurisées, les permissions excessives, les branches non protégées et les risques liés au processus de compilation, mis en correspondance avec l'OWASP CI/CD Top 10. Pour une banque à développement distribué, le pipeline est un point de contrôle aussi crucial que le code lui-même : c'est là que convergent tous les éléments entrant dans la Banque, qu'ils proviennent de l'intérieur ou de l'extérieur.
Analyse statique du code propriétaire basée sur l'IA sur chaque commit et pull requestIl détecte les schémas de sécurité non sécurisés tels que l'injection SQL ou le cross-site scripting et utilise le contexte propre au dépôt pour séparer ce qui est exploitable de ce qui est théorique, de sorte que les développeurs ne voient que ce qui compte. standard Cela s'applique au code de l'équipe interne et des partenaires stratégiques, et lorsqu'une anomalie est confirmée, la correction automatique par IA propose directement la solution dans le code. pull request.
Les configurations non sécurisées dans l'infrastructure en tant que code sont détectées avant leur provisionnement, à travers Terraform, CloudFormation, ARM, Bicep, Kubernetes, Helm et Dockerfiles, ainsi que les images de conteneurs qu'ils créent. Guardrails dans le pull request et la pipeline Bloquez une modification risquée avant son déploiement dans le cloud : la fonction de correction automatique par IA propose un modèle corrigé. La correction intervient en quelques minutes, et non après le déploiement, ce qui nécessiterait une fenêtre de maintenance.
La mise en œuvre de Xygeni nous a permis de renforcer considérablement nos processus de développement sécurisés en automatisant les contrôles et en détectant les vulnérabilités au plus tôt.
Nous avons réduit d'environ 90 % le temps consacré à la gestion et à la priorisation des anomalies, et aujourd'hui, la plupart d'entre elles sont résolues avant la mise en production. Au-delà des capacités techniques de la plateforme, nous apprécions particulièrement son équipe. commits'engager en faveur de l'amélioration continue, de l'innovation et d'un soutien étroit tout au long du processus.
Xygeni est devenu un élément clé de notre stratégie de transformation numérique et de gestion des risques technologiques.
