.svg)
.png)
.png){kind=icon}
.png){kind=icon}
.png){kind=icon}
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.
Ennen internetin yleistymistä ohjelmoijan työ oli suoraviivaisempaa. Tuotteiden piti suorittaa tarvittavat laskutoimitukset oikein, näyttää suht hyvälle ja toimia tarpeeksi sutjakkaasti, mutta tietoturvalla tai turvallisen kehittämisen säännöillä ei päätä juuri vaivattu. Nykyään erilaiset ohjelmistot käsittelevät tietoa, valvovat ja hallitsevat prosesseja kaikkialla - pankeissa, lentokentillä, sairaaloissa tai ostoskeskuksissa. Olemme pulassa, jos joku tietojärjestelmistämme ei olekaan käytettävissä 24/7. Kaiken pitää vain toimia.
Kehitys- ja tukikäytännöillä ja yleisemmin turvallisella kehittämisellä (secure engineering) viitataan siihen, millaisin toimintatavoin turvallisuus saadaan huomioitua tarpeeksi hyvin osana omaa it-kehitystä tai -tukea. Organisaatio voi kehitellä yleisiä toimintaperiaatteita (esim. "tiedot salattu in-transit ja at-rest"), joita on noudatettava kaikissa uusissa projekteissa. Toisaalta voidaan luoda tarkempaa ohjeistusta pienempien tehtävien suorittamiseksi esimerkiski valmiin määritelmiä (definition of done) käyttämällä, jotka kuvaavat esimerkiksi, millaiset testaukset ja katselmoinnit koodille on oltava suoritettu ennen sen hyväksymistä ja julkaisua. Huolella suunnitellut kehitys- ja testausympäristöt ja ulkoistettua kehitystyötä tekevien kumppanien valvonta ovat myös yleisiä teemoja.
OWASP (Open Web Application Security Project) on verkkoyhteisö, joka luo toimintaohjeita turvallisten verkkosovellusten kehittämiseen. Mikäli et ole varma, millaisilla toimintatavoilla oman yrityksen kehitystyön turvallisuutta kannattaa lähteä kehittämään, OWASP:n julkaisemat sisällöt (mm. OWASP top 10) voivat auttaa.
Koodin katselmointia, hyväksymistä ja julkaisua varten on määritelty yleiset säännöt ja niiden noudattamista valvotaan.
Säännöt voivat sisältää mm. seuraavia asioita:
Säännöillä pyritään hallitsemaan uuden ohjelmakoodin julkaisemiseen liittyviä riskejä.
Kehitettävänä, testauksessa ja tuotannossa olevia ohjelmistoja ajetaan eriytetyissä teknisissä ympäristöissä, jotta kehitystyön laatu voidaan varmistaa tuotantoympäristöä mukailevassa ympäristössä ja toisaalta tuotantoympäristöä ei häiritä keskeneräisellä kehityksellä.
Käyttäjien arkaluonteisia tai henkilökohtaisia tietoja ei kopioida ja käytetä kehitysympäristössä.
Kehitystyötä koskevat yleiset pelisäännöt on laadittu ja niiden toteuttamista valvotaan kaikessa organisaatiossa tehtävässä kehityksessä.
Turvallisen kehittämisen säännöt voivat sisältää mm. seuraavia asioita:
Turvallisen kehittämisen sääntöjen noudattamista voidaan vaatia myös avainkumppaneilta.
Vaikka kehitystä ulkoistetaan, meillä säilyy vastuu asianmukaisten lakien noudattamisesta ja hallintakeinojen vaikuttavuuden todentamisesta.
Olemme määritelleet toimintatavat, joiden valvomista seuraamme ja edellytämme koko ulkoistusketjussa. Käytännöt voivat sisältää mm. seuraavia asioita:
Kehitysyksikkö ylläpitää itse kriteeristöä asioille, joiden täyttyessä tietty työtehtävä voidaan todeta valmiiksi. Kriteerit voivat sisältää mm. katselmointivaatimuksia, dokumentointivaatimuksia ja testausvaatimuksia.
Uutta koodia otetaan käyttöön vasta laajan ja ennalta määritellyt kriteerit täyttävän testauksen jälkeen. Testien olisi katettava käytettävyys, turvallisuus, vaikutukset muihin järjestelmiin ja käyttäjäystävällisyyys.
Aloita ilmaiseksi tutussa Microsoft Teams -ympäristössä.
Jos sinulla on kysymyksiä, varaa palaveri sinulle sopivaan ajankohtaan.
EtusivuHinnastoAsiakkaatTiimiTietoturvaVaraa demoVaraa palaveriKirjauduKokeile
Tämän sivun sisältö on vanhentunut. Tiimimme tuottaa edelleen viikottain monipuolista tuoretta sisältöä digiturvan johtamiseen, kehittämiseen ja toteuttamiseen - löydät lisätietoja mm. Akatemia-sivulta ja Webinaarit-sivulta. Nähdään siellä! 👋
Siirry uudistuneeseen Akatemiaan >>
.svg)
.png){kind=icon}
.png){kind=icon}
