Audito tikslas nėra surasti kuo daugiau techninių pastabų. Jis turi atsakyti, kas gali sutrukdyti verslo planui, kokiais įrodymais tai pagrįsta ir ką verta taisyti pirmiausia. Vertinu produktą kaip veikiančią sistemą: kodą, architektūrą, duomenis, prieigas, diegimą, infrastruktūrą ir komandos gebėjimą ją valdyti.
Kada auditas sukuria vertę
- Prieš investiciją ar įsigijimą reikia nepriklausomai patikrinti komandos teiginius.
- Perimate sistemą iš tiekėjo ir nežinote realios dokumentacijos, prieigų bei techninės skolos būklės.
- Produktas auga, tačiau dažnėja incidentai, lėtėja leidimai arba didėja debesijos kaštai.
- Svarstote perrašymą, bet neturite įrodymo, kad jis geresnis už tikslinį taisymą.
- Kritinė sistema priklauso nuo vieno žmogaus, neaprašyto proceso ar nekontroliuojamų paskyrų.
Apčiuopiami rezultatai
Ką gaunate po audito
Sprendimo santrauka
3–5 svarbiausios išvados vadovui: verslo pasekmė, tikimybė, poveikis ir rekomenduojamas veiksmas.
Rizikų registras
Kiekviena rizika susieta su konkrečiu įrodymu, sistemos vieta, prioritetu ir atsakingu tolesniu veiksmu.
Architektūros ir duomenų vaizdas
Kritiniai komponentai, integracijos, duomenų srautai, savininkai ir vietos, kuriose sistema gali prarasti atsparumą.
Prieigų ir operacijų patikra
Privilegijuotos prieigos, paslaptys, atsarginės kopijos, atkūrimas, stebėsena, incidentai ir diegimo eiga.
Prioritetinis taisymo planas
Kas stabdo sandorį ar augimą, ką spręsti artimiausiu etapu ir kurią techninę skolą galima sąmoningai priimti.
Aiškios ribos
Kas buvo patikrinta, ko nepavyko patvirtinti ir kur reikalingas atskiras saugumo, teisės ar reguliavimo specialistas.
Darbo eiga
Kaip vyksta nepriklausoma patikra
- 01
Verslo scenarijus
Sutariamą sprendimą, augimo planą, kritinius srautus ir pasekmes, jei niekas nesikeis.
- 02
Įrodymų kambarys
Surenkamos schemos, prieigų sąrašai, diegimų istorija, incidentai, stebėsena, kaštai ir atsarginių kopijų įrodymai.
- 03
Tikslinė techninė peržiūra
Tikrinamos didžiausios rizikos hipotezės, o ne mechaniškai skaitoma kiekviena kodo eilutė.
- 04
Sprendimo dokumentas
Išvados aptariamos su vadovu ir komanda, atskiriant kritinę riziką nuo įprastos techninės skolos.
Aiški atsakomybė
Ko šis auditas nepakeičia
Ne sertifikavimo formalumas
Jei reikalingas ISO, PCI DSS ar kitas formalus atitikties sertifikavimas, įtraukiamas atitinkamos srities auditorius.
Ne automatinis pentestas
Architektūrinė ir prieigų rizika vertinama, tačiau gilus įsilaužimo testas yra atskira specializuota paslauga.
Ne perrašymo pardavimas
Rekomendacija gali būti taisyti, izoliuoti, pakeisti vieną komponentą arba sąmoningai nieko nekeisti — priklausomai nuo įrodymų.
Operatoriaus perspektyva
Vertinu tai, ką pats kuriu ir valdau produkcijoje
5+ metų AWS ir AzurePatirtis apima aplikacijų architektūrą, instancijas, prieigas, duomenų bazes, diegimą ir veikiančių produktų operacijas.
Peržiūrėti atvejįFAQ
Dažniausi klausimai
Kiek trunka programinės įrangos auditas?+
Trukmę lemia sistemų skaičius, rizikos scenarijus, prieigų parengtis ir vertinimo gylis. Prieš darbą apibrėžiu tikslų klausimą, reikalingus įrodymus ir ribas, todėl apimtis nėra atviras valandų krepšelis.
Ar reikia suteikti prieigą prie viso kodo?+
Ne visada. Pradedu nuo architektūros, kritinių srautų ir rizikos hipotezių. Kodo prieiga reikalinga tik toms išvadoms, kurių negalima patvirtinti dokumentais, demonstracija ar produkcijos įrodymais.
Ar auditas tinka prieš investiciją?+
Taip. Tokiu atveju techninės išvados susiejamos su investicijos prielaidomis, augimo planu, remediacijos kaštais ir rizikomis, kurios gali pakeisti sandorio sprendimą.
Ar po audito galite padėti įgyvendinti pataisymus?+
Taip, jei išlaikoma aiški audito išvadų nepriklausomybė. Galima atskirai sutarti prioritetinių pakeitimų planavimą, įgyvendinimą arba komandos techninį vedimą.