Applied Systems

Consolidare la sicurezza di dipendenti, applicazioni e reti per accelerare la trasformazione digitale

Fondata nel 1983, Applied Systems costruisce soluzioni SaaS per il settore assicurativo.Con sede a Chicago, l'azienda conta oltre 2.500 dipendenti negli Stati Uniti, nel Regno Unito, in Canada, in Europa occidentale e in India.Applied Systems è un leader globale nel settore assicurativo e serve intermediari assicurativi indipendenti di tutte le dimensioni, dalle aziende internazionali e aziendali alle agenzie locali e alle PMI.

Applied Systems ha ottenuto riconoscimenti globali per il suo approccio pionieristico all'insurtech, inclusi premi come Best Broker Software Management House nel Regno Unito per il 2022 dall'Insurance Times e primo posto nella sua categoria all'US 2023 Golden Bridge Business and Innovation Awards.

Sfida: accelerare la trasformazione digitale

La sicurezza è sempre stata di fondamentale importanza per Applied Systems.L'azienda deve salvaguardare grandi volumi di dati finanziari, registrazioni di pagamenti, informazioni di identificazione personale (PII) e altre classi di informazioni regolamentate e sensibili per i propri clienti assicurativi.

Con l’introduzione di un nuovo CEO e di un nuovo team esecutivo nel 2019, Applied ha dato sempre più priorità alle iniziative di trasformazione digitale per aiutarla a servire clienti aziendali più grandi ed esigenti.Con l'arrivo del Chief Information Security Officer Tanner Randolph nel 2021, ciò ha significato rivalutare l’architettura tecnologica di Applied, cercando opportunità per diventare più agile, più efficiente e più sicuro.

"Applied sta seguendo un percorso. Ci stiamo rapidamente trasformando in un'azienda nativa del cloud", ha affermato.“Quando sono arrivato, disponevamo di vari componenti di diversi fornitori di sicurezza come Zscaler e Cisco e diversi percorsi di rete verso i nostri datacenter.Negli ultimi anni ci siamo davvero concentrati sul consolidamento di uno stack unificato di sicurezza e rete".

A partire dal 2022, Applied Systems ha iniziato a consolidare ampie fasce di funzionalità di sicurezza e di rete su Cloudflare, tra cui:

• Protezioni e miglioramenti delle prestazioni su siti Web e app rivolti al pubblico
• Connettività sicura e scalabile attraverso l'infrastruttura di rete
• Stato di sicurezza Zero Trust per dipendenti e risorse interne

"Consolidando i controlli su Cloudflare anziché sui numerosi piani di controllo dei sistemi di più fornitori, i miei team possono concentrarsi sulla crescita del business", ha continuato."Non conosco molti team di sicurezza che possano dire la stessa cosa".

Protezione di siti Web e applicazioni

Uno dei principali slanci per la scelta di Cloudflare è stata la necessità di modernizzare le esperienze software per i clienti, in particolare quando hanno migrato le funzionalità dalle tradizionali app Thick Client di Applied Systems agli ambienti SaaS.

"Volevamo creare una partnership con un fornitore che fosse cloud-native e capisse cosa si aspettavano i clienti nativi del cloud", ha dichiarato Randolph."In questo modo, potevamo offrire costantemente esperienze straordinarie e sicure ai nostri clienti attraverso le nostre applicazioni più recenti".

Applied Systems ha sviluppato i servizi applicativi di Cloudflare, tra cui Web Application Firewall (WAF), rete per la distribuzione di contenuti (CDN), mitigazione DDoS e limitazione della frequenza, per bloccare il traffico dannoso e migliorare le prestazioni delle sue app.Secondo Randolph, l'affidabilità di Cloudflare ha contribuito a facilitare il processo di migrazione delle app rivolte al Web di Applied Systems nel cloud.

"Cloudflare si è dimostrato estremamente performante e coerente nel proteggere le nostre applicazioni dal traffico dannoso e nel ridurre la latenza su tutta la linea", ha affermato.

Protezione delle connessioni di rete

Per supportare la crescita e le ambizioni del proprio business, Applied Systems ha semplificato la propria architettura per la connettività di rete con Cloudflare, implementando in particolare Magic Transit e Magic Firewall, un firewall-as-a-service. Insieme, man mano che l'azienda cresce, questi servizi hanno accelerato il traffico di rete, protetto dalle minacce (compresi gli attacchi DDoS L3) e consentito agli amministratori di applicare filtri di sicurezza quando necessario.

"Cloudflare cresce con noi: questa è la nostra più grande vittoria", ha affermato Randolph.“Mentre i nostri maggiori clienti passano alle nostre implementazioni native del cloud, Cloudflare è in grado di gestire l’aumento del traffico senza che noi aggiungiamo dispositivi di rete o acquistiamo ulteriore larghezza di banda.Con i nostri fornitori precedenti avremmo più che raddoppiato i nostri costi”.

Applied Systems si è dimostrata particolarmente agile nell'espandere e stratificare le strategie firewall.Le sue prime policy firewall erano basilari, come il blocco del traffico proveniente da determinate aree geografiche.Nel corso del tempo, tuttavia, Applied Systems ha iniziato a scrivere le proprie regole firewall basate su dati di log analizzate nel suo SIEM e automatizzando l'implementazione di tali regole personalizzate sfruttando l'integrazione basata su API di Cloudflare con Terraform, lo strumento Infrastructure-as-Code.

"Abbiamo assistito a una drastica riduzione della quantità di traffico di minacce.Essere in grado di scrivere regole universali in tutti i nostri datacenter è sorprendente", ha affermato."L'adozione delle best practice DevOps e l'utilizzo dell'automazione ci hanno reso estremamente efficienti nell'implementazione dei cambiamenti con Cloudflare".

Adozione di Zero Trust e sostituzione di Zscaler e Cisco

L'adozione di un'architettura Zero Trust era una priorità assoluta per Randolph quando è arrivato.

In precedenza, Applied Systems utilizzava i servizi Zscaler e Cisco, in particolare Zscaler Internet Access per le connessioni in uscita a Internet e la VPN Cisco AnyConnect per l'accesso alle app interne.Secondo Randolph, la gestione di queste soluzioni disparate creava complessità e lacune di visibilità per il suo team e si prevedeva che sarebbe stata costosa a lungo termine man mano che l'azienda continuava a crescere.

Ha anche citato alcuni punti critici specifici di ciascun servizio: Gli sviluppatori si sono lamentati spesso del fatto che Zscaler bloccasse i siti Web critici per il lavoro e danneggiasse la produttività e, in risposta, Applied Systems ha iniziato ad allentare le politiche e ad accettare più rischi di quanto desiderasse. La VPN Cisco AnyConnect non solo era lenta per gli utenti finali, ma creava anche rischi eccessivi garantendo ai dipendenti l'accesso all'intera rete, invece di verificare ciascuna richiesta per app specifiche.

La sostituzione di questi fornitori con Cloudflare Zero Trust ha consentito ad Applied a unificare i controlli di sicurezza negli ambienti Web, cloud e di app private.

"Abbiamo ricevuto ottimi feedback su Cloudflare Zero Trust: è più facile da implementare e migliore per i nostri dipendenti", ha affermato.“Siamo molto più sicuri di un’organizzazione con la stessa quantità di tempo a nostra disposizione”.

Caso d'uso: l'impostazione predefinita nega l'accesso alle app self-hosted

Nello specifico, il servizio Zero Trust Network Access (ZTNA) di Cloudflare ha aiutato Applied Systems a implementare policy più granulari nelle sue applicazioni e infrastrutture self-hosted per tutti gli oltre 2.500 dipendenti.

"Cloudflare ci ha aiutato a passare da un approccio di sicurezza di autorizzazione predefinita a un approccio di sicurezza di rifiuto predefinito", ha dichiarato Randolph."Disponiamo di un controllo dello stato, quindi possiamo concedere l'accesso in base a ciò che sappiamo su quale gruppo di utenti fai parte, su quale dispositivo ti trovi e altro ancora".

Il team di sicurezza ha la flessibilità necessaria per applicare controlli più o meno rigorosi per soddisfare le diverse esigenze degli utenti e adattarsi al livello di rischio dell'applicazione.Ad esempio, i dipendenti con il client del dispositivo Cloudflare distribuito su un dispositivo personale possono comunque accedere al proprio portale HR per inviare richieste di ferie, ma gli sviluppatori devono utilizzare un dispositivo gestito e superare controlli più rigorosi per accedere ad ambienti di produzione a rischio relativamente più elevato.

Caso d'uso: sicurezza degli strumenti di intelligenza artificiale emergenti e protezione dei dati

Cloudflare Zero Trust aiuta inoltre Applied Systems a proteggere il modo in cui gli utenti interagiscono e utilizzano i dati sensibili negli strumenti emergenti di intelligenza artificiale (IA) come ChatGPT.

Nello specifico, Applied esegue l'istanza pubblica di ChatGPT in browser isolato di Cloudflare. Eseguendo tutto il codice Web per questo strumento ChatGPT sulla rete Cloudflare, il team di sicurezza di Randolph può controllare il modo in cui gli utenti manipolano i dati nello strumento, inclusa la limitazione di download, caricamento, copia-incolla e altro.

"Volevamo consentire ai dipendenti di sfruttare l'intelligenza artificiale mantenendola al sicuro", ha affermato Randolph."Impediamo agli utenti di copiare e incollare dati sensibili da altre app nella nostra istanza isolata di ChatGPT, impedendo così che molte informazioni aziendali vengano esposte allo strumento."

L'isolamento di ChatGPT ha aiutato l'azienda a essere più sicura durante la sperimentazione dello strumento, il che a sua volta ha dato ad Applied Systems la fiducia necessaria per creare e migliorare la propria istanza in Slack.Questo caso d’uso parla dell’approccio più ampio di Randolph alla protezione dei dati: i controlli di sicurezza dovrebbero essere “pragmatici” e non andare a scapito della produttività della forza lavoro.

"Stiamo portando questa filosofia via e-mail", ha affermato."Le persone vogliono poter controllare la propria posta elettronica personale, ma non hanno necessariamente bisogno di poter copiare/incollare, caricare/scaricare nella propria posta elettronica personale".

L'implementazione dei servizi Cloudflare come la sicurezza della posta elettronica, cloud access security broker (CASB) e Data Loss Prevention (DLP) aiuterà Randolph e il team a continuare a estendere il controllo e la visibilità su più ambienti e dati.L’azienda sarà attrezzata non solo per proteggere le informazioni, ma anche per conformarsi alle normative in evoluzione negli Stati Uniti e nel resto del mondo.

"Quando i nostri clienti ci chiedono informazioni sulla conformità normativa, possiamo semplicemente dire al CISO dall'altra parte che siamo clienti Cloudflare e spiegare i prodotti che stiamo utilizzando", ha affermato."Questo di solito risponde alle domande che normalmente farebbero".

E poi?

Investire in nuovi controlli di sicurezza va di pari passo con l’investire in un’esperienza IT e di sicurezza di alta qualità.A tal fine, Applied Systems è stato uno dei primi ad adottare Cloudflare Digital Experience Monitoring (DEX).DEX fornisce visibilità storica e in tempo reale sulla connettività degli utenti finali e dei dispositivi, sulle prestazioni delle applicazioni e sulle connessioni di rete all'interno di un'organizzazione.

"Quante più informazioni abbiamo a disposizione, tanto più efficace potrà essere il mio team nel fornire IT che mantenga produttivi i nostri dipendenti", ha affermato Randolph."Strumenti come Cloudflare DEX hanno il potenziale per fare un'enorme differenza fornendoci la visibilità e gli insight necessari per guidare le future decisioni di sviluppo".

Lavorare con Cloudflare

In pochi anni, Applied Systems ha già compiuto progressi significativi consolidando e modernizzando la sicurezza dei suoi dipendenti, delle applicazioni e della rete con Cloudflare.

Lavorare a così stretto contatto con Cloudflare su più tipi di implementazioni ha contribuito a rafforzare la reattività e la qualità dell'assistenza clienti nel tempo, in particolare man mano che i team di Cloudflare acquisiscono maggiore familiarità con l'architettura di Applied.

"Posso vedere la differenza da mese a mese in termini di qualità del prodotto e supporto", afferma Randolph."Con il supporto di Cloudflare, i miei team lavorano in modo più efficace e possono concentrarsi sulla nostra strategia di sicurezza".