Lorsque j'ai rejoint Guru il y a plusieurs années, je cherchais un défi après l'armée et après plusieurs années passées dans la conformité en matière de sécurité gouvernementale et industrielle. Bien que Guru n’était qu’une « modeste » startup à l’époque, j’ai reconnu que l’entreprise avait une grande responsabilité en matière de protection des données clés que les utilisateurs confient au système. Bien sûr, chaque application demande à ses utilisateurs de renoncer à un certain type de données, mais avec Guru, l’éventail des contenus est vaste. Cela peut être aussi simple qu'un résumé de réunion ou aussi critique qu'un secret commercial d'entreprise. Guru est en mesure de tout traiter, et c’est un travail important pour la fonction de sécurité.

‍Il existe deux principes fondamentaux que nous, chez Guru, soutenons, qui aident à maintenir la confiance et contribuent à la protection des données :

Une famille vivante de contrôles de sécurité alimentée par une évaluation formelle des risques

Sans paraître trop comme un « nerd » de la conformité, nous prêtons attention aux meilleures pratiques et aux normes de l'industrie, et nous veillons à ce que nos contrôles documentés respectent ou dépassent les mandats.  Nous maintenons le cadre en vie en validant régulièrement chaque élément avec des artefacts de conformité réels qui montrent que des actions sont en cours.  Par-dessus cela, nous examinons ces contrôles chaque année à travers le prisme d'une évaluation des risques pour nous assurer que toute menace ou vulnérabilité émergente est traitée au besoin. ‍

Un accent mis sur la protection de bout en bout‍

Des choses comme le chiffrement et une configuration réseau appropriée peuvent grandement contribuer à sécuriser une application et toutes les connexions externes dont elle a besoin pour communiquer, et Guru a bien réussi à verrouiller son terrain numérique.  C’est lorsque les vulnérabilités apparaissent que les acteurs malveillants peuvent frapper, et Guru minimise ces opportunités en scannant les conteneurs de logiciels lors de leur création et en examinant notre code pour des dépendances tierces vulnérables.  De plus, nous appliquons un certain nombre d'activités d'entretien, y compris la mise à jour de notre pare-feu avec des IP malveillantes connues et la retraite des anciens composants réseau (comme les sous-domaines obsolètes).  Nous invitons des testeurs de pénétration deux fois par an pour « casser » notre sécurité et nous dire comment nous pouvons nous améliorer.

Dans l'ensemble, Guru représente une avancée rafraîchissante dans l'idée de « gestion des connaissances », mais cela apporte un défi bienvenu pour garder toutes ces connaissances en sécurité, protégées et au service de nos clients.