Nem gondoltam, hogy erre kanyarodik a beszélgetés. Arról folyt a szakmai csevej, hogy valahol Keleten, Indiában és Sri Lankán diákok személyi adatai szivárogtak ki az iskolamenedzsment rendszerekből, mégpedig azért, mert a rendszer fejlesztője valamit nagyon csúnyán elbarmolt. Amikor bedobtam e hírt, arra számítottam, hogy jól elverjük a port a rendszer szállítóján, majd pedig megdádázzuk immáron sokadszor a magyar KRÉTA-rendszer alkotóit és üzemeltetőit. Ám egyszer csak azt kellett konstatálnom, hogy beszélgető társaim a szoftverfejlesztő cégekkel kötött szerződések magyar gyakorlatát bírálják nagy erőkkel.
■ IT-biztonság
A PROtACTION podcastsorozat legfrissebb epizódjában került terítékre az emlegetett hír, amelyből leágazva arról kezdtünk beszélgetni, hogy az átalánosnak mondható magyar gyakorlat szerint sok mindent beleírnak egy olyan szerződésbe, amellyel a megbízó fél megbíz egy szoftverfejlesztő céget egy szoftver kifejlesztésével – szinte bizonyosan egyet kivéve. Szinte sohasem esik szó az ilyen dokumentumokban arról, hogy esetleg elvárás az új szoftverrel szemben az is, hogy az feleljen meg az IT-biztonsági követelményeknek. Pontosabban: működjön biztonságosan. Vagyis ne lehessen feltörni.
Amikor az előző bekezdés végéhez közeledtem, azzal szembesültem, hogy az idézett beszélgetésben végül is nem tisztáztuk, hogy mit is illene egy normális szerződésnek tartalmaznia, amelyben nemcsak azt rögzítik a felek, hogy mire is fog szolgálni a kifejlesztendő szoftvermegoldás, és hogy mikor kezdődik el a fejlesztése és mikorra kell elkészülnie vele, és hogy mennyibe is fog kerülni a megbízónak ez a szoftvermegoldás, hanem azt is, hogy a szoftver IT-biztonságos legyen.
És ha most az én feladatom lenne legalább vázlatosan megfogalmazni, mit is kellene egy ilyen szerződésnek tartalmaznia a fejlesztendő szoftver elvárt biztonságosságáról, nagy bajban lennék. Nem kevés időt töltöttem el azzal, hogy megkutassam, mit mond a szakirodalom a szoftvertermékek IT-biztonságáról, ám ettől nem lettem magabiztosabb. Arra jutottam, hogy az IT-biztonság a szoftverfejlesztés nézőpontjából szemlélve is rémesen bonyolult.
Abszolút kiberbiztonság pedig nincs, kezdjük ezzel. Aztán haladjunk a fejlesztésben előre, amelynek minden lépését át kell, hogy hassa az IT-biztonságra való törekvés, a tervezéstől a kódoláson át a tesztelésig és azon túl is. Biztonságos szoftverarchitektúra, biztonságos kódolás, folyamatos biztonsági tesztelések a fejlesztés során és az éles indulás után is – ezek nélkül elképzelhetetlen egy biztonságosnak mondható szoftver.
És itt még nincs vége: ahogyan olvasom, elvárható a szoftverfejlesztőjétől, hogy lássa el a szoftver majdani használóit olyan tanácsokkal, módszerekkel, amelyeket alkalmazva például biztonságosan lesznek javíthatók az esetleges hibák. Nem ördögtől való elvárás az sem, hogy például tegye a fejlesztő teljessé a szoftverhez adott dokumentumait egy olyan incidenskezelő tervvel, amely az adott szoftverhez illeszkedik.
Ja, hogy ezektől drágább lehet a szoftvermegoldás? Kezdem megérteni a magyar szoftverszerződési gyakorlatot.
