Führender Finanzdienstleister verbessert Sicherheit und Effizienz in der Softwareentwicklung mit JFrog

DAS UNTERNEHMEN

Das im Jahr 1993 gegründete Unternehmen hat sich zu einer der bekanntesten Versicherungsmarken im Vereinigten Königreich entwickelt. Mit seinen verschiedenen Angeboten, darunter Kfz-Versicherungen, Hausratversicherungen und Privatkredite, betreut es über sieben Millionen Kunden.

Für seinen innovativen Ansatz bekannt, war das Unternehmen einer der Vorreiter des Multi-Car-Versicherungsmodells, das es Familien ermöglicht, mehrere Fahrzeuge unter einer Police zu versichern. Es legt großen Wert auf eine starke Unternehmenskultur mit Fokus auf das Wohl der Mitarbeitenden, Inklusion und Nachhaltigkeit.

DIE HERAUSFORDERUNG

Angesichts steigender Kosten und veralteter Tools suchte das Unternehmen nach einer grundlegenden Lösung, um seinen Software-Entwicklungsprozess zu modernisieren. Das bestehende Setup, ein Flickenteppich aus Point Solutions, verursachte hohe Wartungskosten und bot weder die erforderliche Agilität noch die notwendige Sicherheit für moderne Entwicklungspraktiken. Zu den kritischen Schwachstellen zählten:

• Eingeschränkte Funktionalität: Verwendete Legacy-Tools unterstützen weder moderne Pipelines noch neuere Technologien wie Java 17.
• TTool Sprawl: Die Verwendung mehrerer Einzellösungen für das Binary-Management erhöhte die Komplexität und die Kosten.
• Sicherheitsrisiken:: Da die vorhandenen Tools ineffektiv waren und keine Blocking-Funktionen boten, blieben Schwachstellen unbehandelt.

Angesichts eines zunehmend komplexen und wettbewerbsintensiven Umfelds wollte das Unternehmen seine Workflows optimieren, die Sicherheit seiner Produkte verbessern und seine Marktführerschaft behaupten. Zu diesem Zweck wurden moderne DevSecOps-Praktiken eingeführt. Für diese Transformation war die Suche nach einem umfangreichen Toolset, das den wachsenden Anforderungen gerecht wird, entscheidend.

DIE LÖSUNG

Nach einem umfangreichen Evaluierungsprozess kristallisierte sich JFrog als eindeutiger Favorit heraus. Die entscheidenden Differenzierungsmerkmale waren:

• Nahtlose Integration von Software Composition Analysis (SCA) und Binary Management.
• Terraform-Unterstützung und robuste IDE-Integration, die es Entwicklern ermöglicht, Schwachstellen zu beheben, bevor Code gepushed wird.
• Eine einzige Plattformg zur Konsolidierung mehrerer Tools, was zu weniger Overhead, mehr Produktivität führt.

Die JFrog-Plattform mit ihren Funktionen für „Advanced Security” und „Curation” ist eine End-to-End-Lösung. Sie adressiert nicht nur diese Herausforderungen, sondern bietet auch einen unvergleichlichen Mehrwert: nahtlose Tool-Konsolidierung, gestärkte Sicherheit und Effizienz im großen Maßstab.

So nutzt das Team die JFrog Plattform:

• JFrog Artifactory: JFrog Artifactory dient als zentraler Repository Manager für die Speicherung und Verwaltung von Build-Artifacts über den gesamten SDLC hinweg. Durch die Integration in die CI/CD-Pipeline können Software-Komponenten effizient gespeichert, versioniert und verteilt werden. Artifactory unterstützt zahlreiche Technologien, reduziert die Build-Zeiten und fördert die Zusammenarbeit zwischen den Engineering-Teams.
• JFrog Xray: Das Team setzt JFrog Xray für das Security-Scanning seiner Artefakte ein. Xray erkennt Schwachstellen und Compliance-Probleme in Abhängigkeiten und ist in die CI/CD-Pipeline integriert, um Sicherheitsmängel frühzeitig zu identifizieren. Darüber hinaus scannt Xray Nicht-Java-Komponenten wie Python und schließt damit Lücken des bisherigen Tool-Sets. Dadurch verbessert sich die Übersicht über die Sicherheit im Allgemeinen.
• JFrog Advanced Security: Das Team nutzt JFrog Advanced Security für tiefgreifendes Vulnerability-Scanning und Risikomanagement. Advanced Security erkennt und blockiert hard-coded Secrets und bietet Contextual Analysis zur Priorisierung von Risiken. Durch die frühe Integration in den SDLC stellen die SAST-Funktionen sicher, dass Sicherheitsaspekte adressiert werden, bevor Code in die Produktion gelangt – mit deutlich verbesserter Security Posture.

• JFrog Curation: JFrog Curation unterstützt das Team dabei, bösartige Pakete und solche, die nicht der Security Policy entsprechen, automatisch und proaktiv zu blockieren, bevor Entwickler sie einbringen können. Es liefert ein detailliertes Audit-Log darüber, welche Komponenten vom wem in die Software Lieferkette eingebracht werden.

Die JFrog-Plattform dient als Single Source of Truth, bietet vollständige Nachverfolgbarkeit und Transparenz über Artefakte, verbessert die Sicherheit durch die Erkennung von Problemen wie Versionsdiskrepanzen und sorgt für konsistente Deployment-Praktiken.

ERGEBNISSE

Die Erfolgsgeschichte des Teams mit JFrog verdeutlicht die transformative Kraft moderner DevSecOps-Praktiken. Durch die Einführung der JFrog-Plattform mit Advanced Security und Curation wurden nicht nur unmittelbare Herausforderungen gelöst, sondern das Unternehmen konnte sich auch für langfristigen Erfolg in einer sich ständig weiterentwickelnden technologischen Landschaft positionieren. Mit Unterstützung der JFrog Professional Services konnte das Team die Plattform innerhalb von zwei Monaten in Betrieb nehmen.

Zu den entscheidenden Vorteilen gehören:

• Eine gestärkte Security Posture: Durch den Einsatz von Echtzeit-Blocking-Policies kann das Team Schwachstellen unmittelbar identifizieren und beheben. Das ermöglicht einen proaktiven Schutz und eine deutlich verbesserte Transparenz. Mit JFrog ist Sicherheit nahtlos in jede Entwicklungsphase integriert, was lückenlose Nachverfolgbarkeit und ein robustes Security-Framework gewährleistet.
• Eine gesteigerte Effizienz: Die JFrog-Plattform hat die Entwicklungsprozesse optimiert, sodass durch eine zentrale Terraform-Konfiguration schnellere Updates möglich sind.. Die cloudbasierte Lösung reduzierte dazu die Wartungskosten und bietet beliebige Skalierbarkeit. Durch die zentralisierte Sicherheitseinstellungen und die automatische Sperrung bösartiger Pakete folgen Engineers nun besseren Prozessen zur Verwaltung von Abhängigkeiten und reduzieren das Risiko.
• Ein verbessertes Compliance- und Risikomanagement: Die JFrog-Plattform stellt dem Team eine Single Source of Truth für sichere, automatisierte Software-Releases bereit, wodurch Risiken minimiert und die vollständige Einhaltung regulatorischer Anforderungen sichergestellt wird. Dies hat die Fähigkeit des Teams gestärkt, vertrauenswürdige, hochwertige Software an seine Kunden zu liefern. Durch die Erfassung signierter Nachweise aller Aktionen gegen unveränderliche Releases hat das Unternehmen einen verlässlichen Audit-Trail etabliert, der Rechenschaftspflicht gewährleistet.

• Eine Single Source of Truth: Die JFrog-Plattform ist zum zentralen System of Record für alle Software-Releases geworden. Sie stellt sicher, dass nur getestete und verifizierte Pakete bereitgestellt werden. Diese Konsistenz beseitigt Probleme, bei denen Teams versehentlich unterschiedliche Versionen in die Produktion ausgerollt haben, und verbessert so die Integrität der Deplpyments.

• Skalierbarkeit und Time-to-Market: Durch die Konsolidierung der Tools und die Automatisierung zahlreicher manueller Prozesse konnte das Entwicklungsteam seine Time-to-Market verbessern und eine schnellere und sicherere Bereitstellung von Leistungen für Kunden gewährleisten.

• Eine sichere Verteilung zwischen Umgebungen: JFrog Distribution überwand Netzwerkbeschränkungen und gewährleistete Konsistenz und Sicherheit über den gesamten Entwicklungszyklus hinweg, indem Artefakte sicher in verschiedene Umgebungen bereitgestellt wurden.

Die JFrog Software Supply Chain Plattform

Wir laden Fachleute aus dem Finanzdienstleistungssektor ein, eine persönliche Demo zu vereinbaren und zu erleben, wie die JFrog Plattform DevOps und Security in ihren Unternehmen transformiert.

Products
Die JFrog Plattform, JFrog Artifactory, JFrog Xray, JFrog Advanced Security, JFrog Curation

Partner
Google Cloud

Weitere Ressourcen
White Paper:  White Paper: Der ultimative Guide zur Absicherung Ihrer Software Supply Chain
Solution Sheet:  Die JFrog Software Supply Chain Plattform
Page: Trusted Software Delivery für die Software Supply Chains im Finanzsektor