Tietoturvallinen ohjelmistokehitysprosessi : ohjelmistoyritys vastaa uuden vuosikymmenen tietoturvavaatimuksiin

Abstract

Tietosuoja ja tietoturva ovat 2020-luvun muotisanoja ja syystä. Maailma on vuoden 1995 World Wide Web:n julkaisun jälkeen muuttunut enemmän ja enemmän teknologisesti yhdistetyksi. Samaan aikaan ohjelmistoteollisuuden perinteiset vahvaan määrittelyyn pohjaavat menetelmät ovat korvautuneet uusilla, jatkuvaan muutokseen kykenevillä ketterillä menetelmillä. Panostettaessa ketteryyteen joudutaan vahvistamaan huomattavasti aikaisempaa enemmän myös vaatimusten hallintaa, tai lopputuloksena on hallitsematonta eri suuntiin tapahtuvaa ohjelmistokehitystä. Niin teknologisesti yhdistynyt maailma, ketterät menetelmät ja vaatimusten hallintakin, antavat kaikki omat haasteensa modernille tietoturvalliselle ohjelmistokehitysprosessille.

Tämän opinnäytetyön toimeksiantaja oli ohjelmistoyritys Accountor HR Solutions Oy. Yritys toimittaa työelämän ohjelmistoalustaa, joka koostuu palkka-, henkilöstö- ja työvuoronhallintaohjelmistoista. Työn tarkoitus oli kartoittaa yrityksen kypsyystaso tuotekehityksen kokonaisprosessin osalta ja tavoitteena löytää tapoja tietoturvan parantamiseen kyseisessä prosessissa. Tutkimus toteutettiin tapaustutkimuksena, joka koostui haastatteluista, niiden analysoinneista sekä yrityksen aiemmin toteutettuun materiaaliin perehtymisestä ja päivittäisen työn havainnoinnista.

Tutkimuksessa löydettiin selkeää konsensusta tietoturvatyön toteuttamisen tärkeydestä sekä tapoja, joilla tietoturvaa voidaan kokonaisprosessissa parantaa. Tämän lisäksi tunnistettiin sellaisia rooleja organisaatiokarttaan, jotka pystyvät viemään tietoturva-ajattelua eteenpäin, ja osa-alueita, jotka vaativat kaikista eniten tekemistä, jotta voidaan todeta tuotekehityksen olevan niin tietoturvallista kuin mahdollista.

Tuotekehitysprosessin ollessa tarkkaan määritelty ja rooleilla vastuualueet selkeytetyt on pohja luotu tietoturvalliselle ohjelmistokehitykselle. Kun niihin lisätään organisaation omaksuma ketterän kehitysmallin mukainen toiminta ja selkeästi ja loogisesti ajateltu vaatimusten hallinta, voidaan todeta koko tuotekehityksen toimivan tietoturvallisesti ja omalta osaltaan varmistavan yrityksen menestystä halutuilla markkinoilla.

Information security and data privacy are 2020 buzzwords and for good reason. After the release of World Wide Web in 1995, the world has become increasingly technologically interconnected. This has risen the demand for information secure methods in software development. The need for constant change trough agile software development methods is also challenging the traditional way of taking care of the information security and requirements management.

The objective of this study is to find relationships between information secure software development, requirements management and agile development methods. This study was done as a case study that involved 14 interviews, getting acquainted with an ICT company’s materials on subject, and observing the day-to-day working in the company. The theoretical section benchmarked methods of the software industry, and the scientific studies behind them.

The collected data were analyzed with qualitative methods in order to discover the connections between the topics of the study. Most of the interviewees believed that investing in information secure software development is an investment for the future. The findings indicate that creating information secure software is possible when given enough time and recourses.