Varnost razvoja

V ComTradu vključujemo varnost v življenjski cikel razvoja in vzdrževanja informacijskih sistemov kot njegov neločljiv del. Zavedamo se, da se pri razvoju in vzdrževanju rešitev, kot je na primer e-bančništvo, pri katerih obstajajo visoka informacijska tveganja, lahko na vsakem koraku spotaknemo. Zato raje hodimo pozorno, kot bi izgubljali čas s pobiranjem po padcih.

Varnost v življenjskem ciklu razvoja in vzdrževanja informacijskih sistemov

Splošno notranjo informacijsko varnost v ComTradu urejajo dokumentirane varnostne politike in povezana interna pravila, standardi, postopki ter smernice.

ComTrade uporablja certificiran sistem vodenja kakovosti v skladu z mednarodnim standardom 9001:2008 po shemi TickIT, ki zagotavlja potek razvoja in vzdrževanja informacijskih sistemov po urejenih procesih v skladu z dobrimi praksami. Življenjski cikel informacijskega sistema tipično zajema več faz:

• analiza
• načrtovanje
• implementacija
• testiranje
• namestitev v produkcijsko okolje
• vzdrževanje in podpora
  

Varnostni ukrepi za obvladovanje informacijskih tveganj

Pri razvoju in vzdrževanju informacijskih sistemov, zlasti na poslovnih področjih, kjer so informacijska tveganja višja (npr. bančništvo zaradi možnosti zlorab, zdravstvo zaradi občutljivih osebnih podatkov ...), so sestavni del življenjskega cikla varnostni ukrepi za obvladovanje informacijskih tveganj:

• Izrecno ugotavljanje varnostnih zahtev v fazi analize. Te zajemajo informacijsko varnost, usklajenost z zakonodajo, povezano z varovanjem informacij in podatkov, ter neprekinjenost poslovanja.
• V fazi načrtovanja strokovnjaki za informacijsko varnost sodelujejo pri oblikovanju odgovorov na varnostne zahteve in pripravi ustrezne varnostne arhitekture rešitve.
• Ključne varnostne zahteve so predmet posebnega varnostnega testiranja, kjer poskušajo izkušeni strokovnjaki zaobiti predvidene varnostne mehanizme ali najti napake v njihovi implementaciji.
• Pri namestitvi v produkcijsko okolje se posebna pozornost posveča temu, da se ohranijo vse implementirane in testirane varnostne značilnosti rešitve.
• V fazi vzdrževanja in razvoja je poudarek na ohranjanju skladnosti z varnostnimi zahtevami (regresijsko testiranje). Po potrebi se vgradijo tudi dopolnitve, ki so odgovor na novo prepoznane ranljivosti, napade in grožnje ali nove zahteve (npr. zaradi spremembe zakonodaje).
  

Kadri

ComTrade zaposluje svetovalce in inženirje s kvalifikacijami na področju informacijske varnosti, neprekinjenega poslovanja in revizije informacijskih sistemov, kamor se uvrščajo:

• preizkušeni revizor informacijskih sistemov
• CISA – Certified Information Systems Auditor
• CISSP – Certified Information Security Professional
• CBCP – Certified Business Continuity Professional
• BS 7799-2 in ISO 27001 Lead Auditor
• Tick/IT Auditor
• CIS/SIQ Information Security Manager
• CIS/SIQ Information Security Auditor

Pomembno za zagotavljanje neokrnjene varnosti naših rešitev je, da naši strokovnjaki neprenehoma spremljajo novosti na področju napadov in zlorab informacijskih sistemov, razvoja informacijsko-varnostne stroke in tehničnih rešitev ter spremembe in izvajanje zakonodaje, povezane z informacijsko varnostjo.

Želite izvedeti več? Pišite nam na bancnistvo@comtrade.si