Cinia toteutti Carinafourin kriittisen järjestelmän vaativan auditoinnin

Miksi kriittisten järjestelmien auditointi kannattaa? Cinian Lead Developer Joni Helin kertoo, kuinka perusteellinen katselmointi toteutetaan, miksi se on tärkeää nykymaailmassa ja miksi se on myös kiinnostavaa.

Maailmanlaajuisesti toimivalle teollisuuden tuotanto- ja valmistusprosessien logistiikan osaajalle, Carinafourille, keskeinen strateginen avaintekijä on, että asiakkaat voivat luottaa sen IT-palveluihin digitalisoituneiden riskien maailmassa. Järjestelmät eivät saa kaatua vaikeissakaan oloissa, eivätkä niiden sisältämät tiedot saa päätyä vääriin käsiin. Siksi Carinafour auditoi säännöllisesti järjestelmiään ulkopuolisen tahon toimesta.

Kriittinen CALS-asiakasjärjestelmä on digitaalinen projektiteollisuuden materiaalien hallintaan keskittyvä, paikkariippumaton alusta, joka sisältää digitaalisen toimitusketjun hallinnan. CALS-järjestelmän auditoinnissa Carinafour luotti Ciniaan.

Auditoinnin osa-alueet

Lead Developer Joni Helin Cinialta kertoo, että auditointi suoritettiin perusteellisesti monesta eri näkökulmasta. Keskeytymisriskin kartoittaminen antoi ymmärrystä järjestelmän luotettavuudesta sekä siitä, millaiset seikat voivat johtaa vikaantumiseen ja miten häiriötilanteissa kannattaa toimia. Skaalautuvuuden analysoinnin keinoin selvitettiin, kuinka järjestelmä mukautuu esimerkiksi datamassojen ja käyttäjämäärien kasvuun. Tietoturva on kriittisen järjestelmän kannalta keskeinen selvityskohde; pysyvätkö käyttäjien liiketoiminnan tiedot asianmukaisissa käsissä ja voidaanko käyttöä haitata joillakin keinoin?

Sitä, onko järjestelmän suunnittelussa ja toteutumisessa syntynyt ei-toivottavia ratkaisuja, selvitettiin insidentaalisen kompleksisuuden arvioinnilla. Ei-toivottavuudella tarkoitetaan Helinin mukaan esimerkiksi sellaisia toteutusratkaisuja, jotka vaikeuttavat uusien ominaisuuksien kehittämistä ja nykyisten laajentamista. Lisäksi yhtenä selvityskohteena auditoinnissa oli CALS-järjestelmän toimittajasidonnaisuus, eli ne edellytykset ja riskit, jotka liittyvät järjestelmän huollon, operoinnin ja jatkokäytön hajauttamiseen uusille kehittäjille tai ulkopuoliselle toimittajalle. Toimittajasidonnaisuuteen liittyy myös se, kuinka järjestelmän ydinratkaisuihin liittyvä ymmärrys henkilöityy.

Kattava auditointi lähdekoodin tasolle asti

Juuri se, että auditoinnissa paneuduttiin syvällisesti kaikkiin viiteen edellä mainittuun osa-alueeseen, teki katselmoinnista perinteistä auditointia huomattavasti kattavamman, kertoo Helin. Auditoinnin yhteydessä katselmoitiin kehitystyössä käytetyt teknologiavalinnat sekä järjestelmäarkkitehtuuriin tutustuttiin perusteellisesti. Lähdekoodi katselmoitiin kattavasti ja auditoinnin aikana oltiin tiiviissä yhteistyössä järjestelmän kehittäjien kanssa muun muassa haastattelujen muodossa.

Aidosti valistuneita, relevantteja ja perusteltuja tuloksia on saatavissa vain hankkimalla järjestelmästä vähintään yhtä hyvä ymmärtämys kuin sen kehittäjillä itsellään on, mutta ulkopuolisesta, painolastista vapaasta näkökulmasta.

On itsestään selvää, että tällainen auditointi vaatii vahvaa teknistä ymmärrystä sekä kokemusta järjestelmien suunnittelusta, mutta se ei yksin riitä. Helin painottaa, että kaiken kulmakivenä on perusteellisen sovellusalueymmärtämyksen hankkiminen, koska se on tärkein määrittävä tekijä arkkitehtuuritason ratkaisuille ja niiden vaikutusten hahmottamiselle. Tämä ymmärrettiin Carinafourilla, jolloin auditoinnin pohjatyöhön saatiin panostettua erittäin merkittävästi.

Tuloksista konkreettisiin kehitystoimiin

Auditoinnin avulla saatiin nostettua esiin keskeiset kehityskohteet ja tarpeet sekä suunniteltua mahdollisia lähestymistapoja näiden läpiviemiseksi. Auditoinnissa syntynyt tietämys purettiin yhteisissä workshop-päivissä järjestelmän toimittajan kanssa, mikä koettiin erittäin hyödylliseksi kaikille osapuolille.

Helin toimii normaalisti itsekin toimittajan roolissa ohjelmistokehitystä tehden, mutta kokee tällaiset toimeksiannot hyvin mielenkiintoiseksi. Mahdollisuus pureutua uusiin toimialoihin ja teknologioihin sekä analysoida muiden tapoja lähestyä ongelmien ratkaisua antaa omaan työhön uutta näkökulmaa ja kasvattaa työkalupakkia. Tekemisenä auditointi on motivoivaa, kun sillä on mahdollisuus olla aidosti merkityksellistä, eikä kyse ole pelkän muodollisuuden täyttämisestä.

Lopuksi Helin muistuttaa, että vain tämän tyyppisellä, kattavalla ja kokonaisvaltaisella katselmoinnilla saadaan esiin tietoturvan ja toiminnan kriittiset osatekijät. Näin riskeihin voidaan myös reagoida ennakoivasti. Carinafourille proaktiivinen reagoiminen on keskeistä ja Cinian avulla myös CALS-järjestelmää voidaan jatkossa viedä entistä turvallisempaan ja toimintavarmempaan suuntaan.

Lue lisää aiheesta Carinafourin sivulta: http://www.c4.fi/fi/2019/10/28/c4-blog-kriiseista-on-tullut-digitaalisia/

 

- Ilona Lapinkylä, Competence & Culture Specialist, Cinian ohjelmistoratkaisut

 

Haemme jatkuvasti uusia kehittäjiä joukkoomme. Katso avoimet työpaikkamme.