Testiranje, varnost in zagotavljanje kakovosti.

Kdaj nas običajno vključijo#

• pripravljate razpis in potrebujete izvajalca
• projekt zahteva več različnih kompetenc
• obstoječ sistem je treba nadgraditi ali povezati
• postopek je treba digitalizirati od vloge do odločbe
• potrebna je dolgoročna podpora po primopredaji

Kaj to pomeni za naročnika#

• Jasna sledljivost vsakega koraka postopka.
• Dokumentacija, ki ustreza zahtevam razpisa.
• En odgovoren partner tudi pri več izvajalcih.
• Prevzemno testiranje po vnaprej dogovorjenih merilih.
• Podpora in razvoj tudi po primopredaji.

Problem → rešitev#

Kaj pokrivamo#

• testni načrt in scenariji
• regresijsko testiranje
• prevzemno testiranje
• uporabniške pravice in vloge
• revizijske sledi
• šifriranje in hrambo podatkov
• varnostni pregled pred objavo

Testiranje pred prevzemom#

Testiranje pri javnem projektu ni zadnji korak pred objavo, ampak lasten sklop z zapisanimi scenariji in znanimi merili. Vsak pomemben scenarij ima določen vhod, pričakovan izhod, obnašanje v mejnih primerih in pogoj, pod katerim je sprejet.

• funkcionalno testiranje po scenarijih iz zahtev
• regresijsko testiranje ob vsaki objavi
• testiranje integracij, vključno s scenariji napak
• testiranje dostopnosti
• testiranje zmogljivosti, kadar je zahteva
• varnostni pregled pred uvedbo
• uporabniško prevzemno testiranje s ključnimi uporabniki
• evidenca napak z resnostjo in statusom

Varnostne zahteve#

Varnostne zahteve obravnavamo kot merljive zahteve, ne kot načelo. Prijava, pravice dostopa, revizijska sled, šifriranje, ravnanje s skrivnostmi, posodabljanje odvisnosti, varnostne kopije in preverjena obnovitev so del zasnove in del prevzema.

• prijava, enotna prijava in dvofaktorsko preverjanje, kadar je zahtevano
• pravice po vlogah in ločitev dolžnosti
• revizijska sled dostopov in sprememb
• utrjevanje okolij in nadzor dostopov
• upravljanje ranljivosti in varnostne posodobitve
• varnostne kopije, obnovitev in načrt ob izpadu

Za obsežnejše preglede lahko v projekt vključimo specialiste za kibernetsko varnost iz širše mreže - za varnostno arhitekturo, penetracijsko testiranje, upravljanje ranljivosti, upravljanje identitet in odziv na incidente.

Testiranje ni faza pred predajo#

Kadar se testira šele na koncu, so napake najdene takrat, ko je njihovo popravljanje najdražje in ko roka ni več mogoče premakniti. Zato testiranje teče vzporedno z razvojem, prevzemni test pa je potrditev, ne odkrivanje.

• samodejni testi za pravila, ki se ne smejo pokvariti
• preizkus na napravah in brskalnikih, ki jih naročnik dejansko uporablja
• preizkus dostopnosti s tipkovnico in bralnikom zaslona
• obremenitveni preizkus pred konico
• prevzemni test po vnaprej dogovorjenih primerih

Varnost, ki jo je mogoče pokazati#

Zahteva po varnosti je v javnem naročilu pogosto splošna. V praksi jo je smiselno razdeliti na stvari, ki se dajo preveriti in zapisati v zapisnik.

• ločeni dostopi po vlogah in odvzem ob odhodu
• šifriranje prenosa in hrambe občutljivih podatkov
• zapis dostopov do osebnih podatkov
• upravljanje ključev in gesel zunaj izvorne kode
• redno posodabljanje odvisnosti
• postopek ob varnostnem incidentu

Kako vodimo javni projekt#

Sorodno delo#

Pogosta vprašanja#

Sorodne rešitve#