Najsłabszym ogniwem systemów zarządzania bezpieczeństwem informacji jest… człowiek. Człowiek jako użytkownik oprogramowania, ale przede wszystkim człowiek jako twórca oprogramowania.

Oprogramowania, które jest nie tylko coraz bardziej skomplikowane, ale również coraz większe objętościowo w zakresie linii zawartego kodu (tzw. LOC line of code - podstawowa metryka rozmiaru programu komputerowego):

• Unix 1.0 (1971) - 20 tys. linii kodu,
• Photoshop 1.0 (1990) - ponad 100 tys. linii kodu,
• Windows 3.1 (1992) - ok. 2 mln linii kodu,
• Windows XP - 45 mln linii kodu,
• Windows Vista - 50 mln linii kodu,
• Photoshop CS 6 (2011) - ponad 5 mln linii kodu,
• Google Chrome - 5-7 mln linii kodu,
• Boeing 787, awionika i systemy wsparcia - 8-9 mln linii kodu, całość – 14 mln linii kodu,
• Windows 7 - 40 mln linii kodu,
• MS Office 2013 - 45 mln linii kodu,
• Facebook - 61 mln linii kodu,
• Oprogramowanie nowoczesnego samochodu – ok. 100 mln linii kodu,
• SAP R3 - od 238 do 318 mln linii kodu, 145k ekranów, > 20PB danych.

Wytworzenie współczesnego oprogramowania wymaga zaangażowania wieloosobowych zespołów programistów, którzy niestety nie ustrzegają się błędów (defect density - ilości błędów na 1000 linii kodu), które statystycznie wynoszą ok. 15-50 błędów na 1000 linii dostarczonego kodu. Steve McConnell w swej książce "Code Complete" szacuje, że dla aplikacji Microsoftu wynoszą około 10-20 wad na 1000 linii kodu w wersjach testowych i 0,5 wad za 1000 linii kodu w produkcie handlowym. Według Google gęstość błędów jest na poziomie 0,02-0,05, ale też 5 i 50 błędów na 1000 linii kodu.

Jedną ze sprawdzonych recept na ograniczenie błędów w dostarczanym oprogramowaniu jest norma ISO/IEC 15504-5:2012 Information technology -- Process assessment -- Part 5: An exemplar software life cycle process assessment model. Norma ta znana jako SPICE - Software Process Improvement and Capability dEtermination – ma na celu doskonalenie procesów związanych z tworzeniem oprogramowania, szczególnie w dziedzinach, w których jakość i niezawodność ma krytyczne znaczenie. Takimi dziedzinami przemysłu są bezdyskusyjnie produkty przemysłu lotniczego i samochodowego oraz firm opracowujących oprogramowanie medyczne.

Norma ISO/IEC 15504 ocenia najważniejsze procesy związane z zarządzaniem organizacją wytwarzającą oprogramowanie definiując analogicznie do metodyki COBIT pięć poziomów dojrzałości firmy.

Zgodnie z wytycznymi ISO/IEC 15504:

1. poziom I osiągają organizacje, których procesy tworzenia oprogramowania, które są realizowane bez formalnego podejścia;
2. poziom II (managed) osiągają organizacje, których procesy są zarządzane biernie i zorientowane na rozwiązywanie problemów;
3. poziom III (established) osiągają organizacje charakteryzujące się systematycznym podejściem, opartym o zdefiniowane procesy;
4. poziom IV (predictable) osiągają organizacje, które stosują doskonalenie i pomiary umożliwiające ocenę osiągania celów;
5. poziom V (optimising) stosowany jest przez najlepsze organizacje światowe o wysokiej innowacyjności.

Norma ISO/IEC 15504 wyróżnia się tym, że pozwala na oddzielną ocenę poziomu każdego procesu wchodzącego w cykl życia oprogramowania lub systemu: grup procesów organizacyjnych, technicznych, uzgodnień, zarządzania przedsięwzięciem. Procesy te mogą, bowiem osiągać różne poziomy dojrzałości w ocenianej organizacji.

Zalety normy ISO/IEC 15504 docenił przemysł samochodowy, który w ramach konsorcjum Automotive Special Interest Group składającego się z AUDI AG, BMW Group, Daimler AG, Fiat Auto S.p.A., Ford Werke GmbH, Jaguar, Land Rover, Dr. Ing. h.c. F. Porsche AG, Volkswagen AG oraz Volvo Car Corporation stworzył i upublicznił Automotive SPICE® Process Reference Model.

Podczas seminarium zaproszeni prelegenci zaprezentują szczegółowe informacje dotyczące normy ISO/IEC 15504 podczas wystąpień:

• „Norma ISO/IEC, 15504 jako remedium na złożoność współczesnego oprogramowania” - Adam Mizerski - Prezes ISACA Katowice Chapter & dr Andrzej Niemiec - Izba Rzeczoznawców Polskiego Towarzystwa Informatycznego, audytor normy ISO/IEC 15504 Information Technology – Process Assessment (SPICE),

• „Norma ISO/IEC, 15504 jako narzędzie procesowego zarządzania bezpieczeństwem” - Sylwia Wystub - Dyrektor ds. Bezpieczeństwa, Interia.pl, audytor normy ISO/IEC 15504 Information Technology – Process Assessment (SPICE),

•  „Case Study praktycznego zastosowania normy ISO/IEC 15504 do oceny poziomu dojrzałości organizacji w zakresie bezpieczeństwa” Piotr Falc - Izba Rzeczoznawców Polskiego Towarzystwa Informatycznego, audytor normy ISO/IEC 15504 Information Technology – Process Assessment (SPICE).

Seminarium ISACA Katowice Chapter organizowane jest we współpracy z Polskim Towarzystwem Informatycznym (Izbą Rzeczoznawców PTI, Oddziałem Małopolskim PTI oraz Oddziałem Mazowieckim PTI) oraz Polskim Oddziałem IEEE Computer Society.

Patronat medialny: Dziennik Internautów.

Wykorzystując możliwości nowych technologii spotkanie odbędzie się równolegle w sali 1.20 pawilonu D17 Katedry Informatyki na Wydziale Informatyki, Elektroniki i Telekomunikacji Akademii Górniczo Hutniczej  Warszawie (multimedialna sala wideokonferencyjna Polskiego Towarzystwa Informatycznego) połączonych mostem wideokonferencyjnym. Prelegenci będą prezentować swoje wystąpienie w Krakowie, a dwustronne połączenie wideokonferencyjne umożliwi uczestnictwo i zadawanie pytań obecnym w Warszawie.

Rejestracja i uczestnictwo  w spotkaniu zapewnia uzyskanie 2 PKT CPE (Continuing Professional Education hours).

Wstęp wolny, ze względu na ograniczoną ilość miejsc prosimy o bezpłatną rezerwację udziału w spotkaniu: www.isaca.org/chapters8/Katowice/Events/Pages/Page3.aspx

Serdecznie zapraszamy!

* Linki afiliacyjne. Kupując książki poprzez te linki wspierasz funkcjonowanie redakcji Dziennika Internautów.