Razvijamo programsko opremo – agilno, kvalitetno in poceni! A varno?

NTK 2010
Stopnja 200
Datum sreda
26. maj 2010 08:45

V predavanju bomo podali nekaj Microsoftovih in drugih smernic, kako optimalno dozirati varnost v (bolj ali manj agilen) življenjski cikel razvoja programske opreme. Pogledali si bomo, kaj posamezni deležniki (naročniki, razvijalci, uporabniki, skupnost ...) pričakujejo od programske opreme in spoznali, da varnost programske opreme ni naravna danost, temveč zahteva, ki jo mora nekdo izraziti. Njeno zagotavljanje pomeni znaten vložek časa, v poslovnem okolju pa tudi denarja. Ta čas oziroma denar pa mora nekdo plačati, ali darovati. Kako svoj vložek v varnost prikazati stranki, ko se pogajamo za ceno? Spoznali bomo tudi, da definicija pojma varnost sploh ni enostavna, in je močno odvisna od konteksta (poslovno področje, tip, nivo in funkcionalnosti programske opreme, faza življenjskega cikla...). Tako bomo laže razumeli, zakaj srečamo toliko ranljivosti. Na preprostih primerih bomo ilustrirali nekaj arhitekturnih spodrsljajev, izvedbenih pomanjkljivosti, varnostnih ukrepov, preizkusov varnosti in uporabe orodij.

Tadej Vodopivec je univerzitetni diplomirani inženir računalništva; certifikati: CISSP (Certified Information Systems Security Professional), CISA (Certified Information Systems Auditor), CBCP (Certified Business Continuity Professional); je tudi preizkušeni revizor informacijskih sistemov, vodilni presojevalec za ISO/IEC 27001 in presojevalec ISO 9001/TickIT. Je svetovalec za informacijsko varnost v HERMES SoftLabu in deluje na področju varnosti e-bančnih storitev, vključevanja varnosti in skladnosti z zakonodajo pri razvoju informacijskih sistemov, zlasti na področju bančništva in zdravstva. Vodi interni kompetenčni center za varnost v podjetju. Bogate pretekle izkušnje v podjetjih HERMES SoftLab, K.Sec in Zaslon med drugim obsegajo svetovanje na področju varstva dokumentarnega in arhivskega gradiva v digitalni obliki, upravljanje varnosti informacij in neprekinjenega poslovanja, zagotavljanje informacijske varnosti pri vzpostavljanju informacijskih sistemov za bančni in javni sektor ter administracijo varnostno občutljivih sistemov in omrežij.