Applied Systems

Consolidando a segurança entre funcionários, aplicativos e redes para acelerar a transformação digital

Fundada em 1983, a Applied Systems desenvolve soluções SaaS para o setor de seguros. Com sede em Chicago, a empresa tem mais de 2.500 funcionários nos EUA, Reino Unido, Canadá, Europa Ocidental e Índia. A Applied Systems é líder global no setor de seguros, atendendo corretoras de seguros independentes de todos os tamanhos, desde empresas internacionais e de grande porte até agências locais e pequenas e médias empresas.

A Applied Systems ganhou reconhecimento global por sua abordagem pioneira em insurtech, incluindo prêmios como Best Broker Software Management House no Reino Unido em 2022 pela Insurance Times e primeiro lugar em sua categoria no US 2023 Golden Bridge Business and Innovation Awards.

Desafio: acelerar a transformação digital

A segurança sempre foi de suma importância para Applied Systems. A empresa deve proteger grandes volumes de dados financeiros, registros de pagamentos, informações de identificação pessoal (PII) e outras classes de informações regulamentadas e confidenciais para seus clientes de seguros.

Com a introdução de um novo CEO e equipe executiva em 2019, a Applied tem priorizado cada vez mais iniciativas de transformação digital para ajudá-la a atender clientes empresariais maiores e mais exigentes. Quando o Diretor de Segurança da Informação, Tanner Randolph, começou em 2021, isso significou reavaliar a arquitetura tecnológica da Applied, buscando oportunidades para torná-la mais ágil, mais eficiente e mais segura.

“A Applied está em uma jornada. Estamos acelerando rapidamente para uma empresa nativa de nuvem”, diz ele. “Quando entrei, tínhamos vários componentes de diferentes fornecedores de segurança, como Zscaler e Cisco, e diferentes caminhos de rede para nossos data centers. Nos últimos anos, realmente nos concentramos na consolidação em torno de uma pilha unificada de segurança e rede.”

A partir de 2022, a Applied Systems começou a consolidar grandes áreas de funcionalidades de segurança e rede na Cloudflare, incluindo:

• Proteções e melhorias de desempenho em sites e aplicativos públicos
• Conectividade segura e escalável em toda a infraestrutura de rede
• Postura de segurança Zero Trust para funcionários e recursos internos

“Ao consolidar os controles na Cloudflare, em vez dos vários planos de controle de sistemas de vários fornecedores, minhas equipes podem se concentrar em impulsionar os negócios”, continua ele. “Não conheço muitas equipes de segurança que possam dizer isso.”

Proteger sites e aplicativos

Um grande impulso para avaliar a Cloudflare foi a necessidade de modernizar as experiências de software para os clientes, especialmente à medida que eles migravam a funcionalidade dos aplicativos de clientes espessos tradicionais da Applied Systems para ambientes SaaS.

“Queríamos construir uma parceria com um fornecedor que fosse nativo de nuvem e entendesse o que os clientes nativos de nuvem esperavam”, diz Randolph. “Dessa forma, poderíamos oferecer experiências excelentes e seguras de forma consistente para nossos clientes em nossos aplicativos mais recentes.”

A Applied Systems implantou os serviços de aplicativos da Cloudflare, incluindo firewall de aplicativos web (WAF), rede de distribuição de conteúdo (CDN), mitigação de DDoS e Rate Limiting, para bloquear tráfego malicioso e melhorar o desempenho de seus aplicativos. De acordo com Randolph, a confiabilidade da Cloudflare ajudou a facilitar o processo de migração dos aplicativos voltados para a web da Applied Systems para a nuvem.

“A Cloudflare tem sido extremamente eficiente e consistente na proteção de nossos aplicativos contra tráfego malicioso e na redução da latência em todos os aspectos”, afirma ele.

Proteger conexões de rede

Para apoiar o crescimento e as ambições de seus negócios, a Applied Systems simplificou sua arquitetura para conectividade de rede com a Cloudflare, implementando especificamente o Magic Transit e o Magic Firewall, um firewall como serviço. Juntos, à medida que a empresa cresceu, esses serviços aceleraram o tráfego de rede, protegeram contra ameaças (incluindo ataques DDoS na camada 3) e permitiram que os administradores aplicassem filtros de segurança quando necessário.

“A Cloudflare cresce conosco, esse é o nosso maior ganho”, diz Randolph. “À medida que nossos maiores clientes migram para implantações nativas de nuvem, a Cloudflare pode lidar com o aumento do tráfego e não precisamos adicionar dispositivos de rede ou comprar largura de banda adicional. Usar nossos fornecedores anteriores teria mais que duplicado nossos custos.”

A Applied Systems tem sido particularmente ágil em expandir e aplicar camadas de políticas de firewall. Suas primeiras políticas de firewall eram básicas, como bloquear o tráfego de determinadas regiões geográficas. Com o tempo, no entanto, a Applied Systems começou a escrever suas próprias regras de firewall com base nos dados de log analisados em seu SIEM e a automatizar a implantação dessas regras personalizadas, aproveitando a integração baseada em API da Cloudflare com o Terraform, a ferramenta de infraestrutura como código.

“Vimos uma redução drástica na quantidade de tráfego de ameaças. Ser capaz de escrever regras universais em todos os nossos data centers é incrível”, diz ele. “A adoção das práticas recomendadas de DevOps e o uso da automação nos tornaram extremamente eficientes na implementação de mudanças com a Cloudflare.”

Adotar Zero Trust e substituir Zscaler e Cisco

Adotar uma arquitetura Zero Trust era uma prioridade para Randolph quando ele ingressou.

Anteriormente, a Applied Systems usava serviços Zscaler e Cisco, especificamente, Zscaler Internet Access para conexões de saída para a internet e Cisco AnyConnect VPN para acesso a aplicativos internos. De acordo com Randolph, o gerenciamento dessas soluções pontuais diferentes criou lacunas de complexidade e visibilidade para sua equipe e a previsão era de ficar mais caro no longo prazo, já que a empresa continua a crescer.

Ele também citou alguns pontos problemáticos específicos de cada serviço: os desenvolvedores reclamavam frequentemente sobre o Zscaler, que bloqueava sites críticos para o trabalho e prejudicava a produtividade e, em resposta, a Applied Systems começou a relaxar as políticas e a aceitar mais riscos do que desejava. O Cisco AnyConnect VPN não era apenas lento para os usuários finais, mas também criava riscos excessivos ao conceder aos funcionários acesso a toda a rede, em vez de verificar cada solicitação para aplicativos específicos.

A substituição desses fornecedores pelo Cloudflare Zero Trust ajudou a Applied a unificar os controles de segurança em ambientes web, nuvem e aplicativos privados.

“Recebemos ótimos comentários sobre o Cloudflare Zero Trust. Ele é mais fácil de implantar e melhor para nossos funcionários”, diz ele. “Estamos muito mais seguros como organização com a mesma quantidade de tempo disponível para nós.”

Caso de uso: acesso negado por padrão a aplicativos auto-hospedados

Especificamente, o serviço acesso à rede Zero Trust (ZTNA) da Cloudflare ajudou a Applied Systems a implementar políticas mais granulares em seus aplicativos auto-hospedados e infraestrutura para todos os mais de 2.500 funcionários.

“A Cloudflare nos ajudou na transição de uma postura de segurança de permissão padrão para uma postura de segurança de negação padrão”, diz Randolph. “Temos verificação de postura, para que possamos conceder acesso com base no que sabemos sobre o grupo de usuários em que você está, em qual dispositivo você está e muito mais.”

A equipe de segurança tem flexibilidade para aplicar controles mais ou menos rigorosos para atender às diferentes necessidades dos usuários e se adequar ao nível de risco do aplicativo. Por exemplo, os funcionários com o dispositivo cliente da Cloudflare implantado em um dispositivo pessoal ainda podem acessar o portal de RH para enviar solicitações de férias, mas os desenvolvedores devem estar em um dispositivo gerenciado e passar por verificações mais rigorosas para acessar ambientes de produção de risco comparativamente mais alto.

Caso de uso: assegurar ferramentas emergentes de IA e proteger dados

O Cloudflare Zero Trust também ajuda a Applied Systems a proteger a maneira como os usuários interagem e usam dados confidenciais em ferramentas emergentes de inteligência artificial (IA), como o ChatGPT.

Especificamente, a Applied executa a instância pública do ChatGPT em um navegador isolado da Cloudflare. Ao executar todo o código da web da ferramenta ChatGPT na rede da Cloudflare, a equipe de segurança de Randolph pode controlar como os usuários lidam com os dados na ferramenta, incluindo a restrição de download, upload, copiar e colar e muito mais.

“Queríamos permitir que os funcionários aproveitassem as vantagens da IA e ao mesmo tempo manter a segurança”, diz Randolph. “Evitamos que os usuários copiem e colem dados confidenciais de outros aplicativos em nossa instância isolada do ChatGPT, o que evita que muitas informações da empresa sejam expostas à ferramenta.”

O isolamento do ChatGPT ajudou a empresa a ficar mais segura ao usar a ferramenta, o que, por sua vez, forneceu confiança à Applied Systems para criar e melhorar sua própria instância no Slack. Este caso de uso reflete a abordagem mais ampla de Randolph à proteção de dados: os controles de segurança devem ser “pragmáticos” e não ocorrer às custas da produtividade da força de trabalho.

“Estamos levando essa filosofia para o e-mail”, diz ele. “As pessoas querem poder verificar seu e-mail pessoal, mas não precisam necessariamente copiar/colar, fazer upload/download em seu e-mail pessoal.”

A implantação de serviços da Cloudflare, como segurança de e-mail, agente de segurança de acesso à nuvem (CASB) e Data Loss Prevention (DLP), vai ajudar Randolph e sua equipe a continuar ampliando o controle e a visibilidade em mais ambientes e dados. A empresa estará equipada não apenas para proteger as informações, mas também para cumprir as regulamentações em evolução nos EUA e no mundo.

“Quando nossos clientes nos perguntam sobre conformidade regulatória, podemos simplesmente dizer ao CISO do outro lado que somos clientes da Cloudflare e explicar os produtos que estamos usando”, diz ele. “Isso geralmente responde às perguntas que eles normalmente fariam.”

O que vem a seguir

O investimento em novos controles de segurança anda em paralelo com o investimento em uma experiência de TI e segurança de alta qualidade. Assim, a Applied Systems foi uma das primeiras a adotar o Cloudflare Digital Experience Monitoring (DEX). O DEX fornece visibilidade histórica e em tempo real da conectividade do usuário final e do dispositivo, desempenho do aplicativo e conexões de rede em uma organização.

“Quanto mais informações tivermos à nossa disposição, mais eficazes minhas equipes poderão ser no fornecimento de TI que mantenha nossos funcionários produtivos”, afirma Randolph. “Ferramentas como o Cloudflare DEX têm o potencial de fazer uma enorme diferença ao nos equipar com visibilidade e insights para impulsionar futuras decisões de desenvolvimento.”

Trabalhar com a Cloudflare

Em apenas alguns anos, a Applied Systems já fez progressos significativos na consolidação e modernização da segurança de seus funcionários, aplicativos e rede com a Cloudflare.

Trabalhar em estreita colaboração com a Cloudflare em vários tipos de implantações ajudou a fortalecer a capacidade de resposta e a qualidade do suporte ao cliente ao longo do tempo, especialmente à medida que as equipes da Cloudflare se familiarizam mais com a arquitetura da Applied.

“Posso notar a diferença mês a mês em termos de qualidade do produto e do suporte”, diz Randolph. “Com o apoio da Cloudflare, minhas equipes trabalham com mais eficiência e podem se concentrar em nossa estratégia de segurança.”