CC BY
29
УПРАВЛЕНИЕ РИСКАМИ ПРИ РАЗРАБОТКЕ ПРОГРАММНОГО
ОБЕСПЕЧЕНИЯ
А.Г. Тихонов, студент
Т.Н. Субботина, канд. пед. наук, доцент
Калужский государственный университет им. К.Э. Циолковского (Россия, г. Калуга)
Б01:10.24412/2411-0450-2022-5-3-122-125
Аннотация. В статье анализируются основные риски, возникающие в процессе разработки программного обеспечения. На основе выявленных рисков рассмотрено их влияние на деятельность организации. Для управления ^рисками рассмотрена разработка стратегия управления рисками, построенная на основе командного взаимодействия риск-менеджеров и ^-команды. Сделан вывод о том, что уменьшение разрозненности в деятельности структурных подразделений позволит более эффективно анализировать данные о технологических угрозах и расставлять приоритеты в отношении возникающих рисков.
Ключевые слова: разработка программного обеспечения, управление рисками, П-риски, риск-менеджмент.
В настоящий момент для повышения эффективности деятельности организаций осуществляется перевод типовых бизнес-задач под контроль программно-аппаратного комплекса [1].
Разработка программного обеспечения - это процесс разработки, идентификации, проектирования, программирования, документирования, тестирования, исправления ошибок, связанный с созданием и поддержкой приложений, фреймворков и других компонентов программного обеспечения.
Любой проект по разработке мобильного приложения связан с определенными рисками. Риски могут варьироваться от проекта к проекту, их всегда следует учитывать при разработке. Для достижения успешного результата руководство проекта должно определить, оценить, расставить приоритеты и управлять всеми основными рисками [2].
Управление рисками в области информационных технологий — это направление снижения рисков, определения приорите-
тов и оптимизации, которое фокусируется на вероятностях и угрозах, исходящих от оборудования, программного обеспечения и сетей предприятия. К основным направлениям управления рисками относятся:
- смягчение последствий;
- расставление приоритетов;
- оптимизация.
Как правило, предприятия создают план управления рисками (часто известный как структура GRC или план обеспечения непрерывности бизнеса), в котором участвуют несколько стейкхолдеров. При этом, программное обеспечение используется для цифрового отслеживания рисков: оно предупреждает о появлении новой угрозы и показывает прогресс в обеспечении безопасности в соответствии с любыми нормативными стандартами.
Наиболее распространёнными IT- рисками являются ошибки сотрудников, уязвимости программного обеспечения, сбои сети и устройств. На рисунке представлены основные IT- риски.
Составлено авторами
Рисунок. Основные IT-риски
Человеческая ошибка: согласно исследованию The Psychology of Human Error, проведенному Стэнфордским университетом и охранной фирмой Tessian, ошибки сотрудников являются причиной около 85% утечек данных [3]. К таким ошибкам относятся переходы по ссылкам в электронных письмах, которые загружают вредоносное ПО на устройство, использование различных ненадежных паролей или случайная передача информации о компании посредством телефонного звонка или текстового сообщения.
Аппаратный сбой: со временем серверное оборудование и ноутбуки устаревают, а диски для хранения данных выходят из строя. Это становится риском, когда данные на этом оборудовании не дублируются, посредством облачных решений, и когда организация не готова заменить устройства.
Неожиданный сбой сервера может иметь катастрофические последствия, если на сервере выполнялись высокопроизводительные приложения без возможности автоматического перемещения их на другой сервер. Отказ системы хранения может привести к риску потери конфиденциальной информации клиентов. Это также означает, что организация может нарушить правила использования и хранения данных.
Отключения сети или веб-сервера: если сеть WI-FI компании или сеть центра обработки данных выйдет из строя, бизнес потеряет драгоценное рабочее время, но он также может потерять сделки по продажам. Если сбой в сети приводит к приостановке пользовательского приложения, клиенты не смогут получить к нему до-
ступ. То же самое и с веб-серверами: если они выходят из строя, сайт тоже становится недоступен. Это влияет не только на продажи компании, но и на её репутацию.
Утечка данных: данный риск напрямую влияет на причину раскрытия личной информации пользователей. Застраховаться от данного вида риск не может практически ни одна организация [4]. Некоторые типы вредоносных программ настолько глубоко внедряются в ИТ-инфраструктуру компании, что даже переустановка системы не избавит её от вредоносного кода автоматически.
При управлении ^ -рисками компании обычно используют программное обеспечение, чтобы централизовать и организовать свой подход к защите этих секторов бизнеса.
Риски доступа включают взлом сети компании злоумышленниками, компрометацию и кражу информации, а также атаки вредоносного программного обеспечения. Решения по управлению ^-рисками предупреждают администраторов, когда неавторизованный пользователь пытается получить доступ к системе или когда сетевой трафик напоминает обычную угрозу безопасности.
Риски, связанные с данными, включают раскрытие данных клиентов, несоблюдение правил защиты данных и последующий взлом всей системы хранения. Платформа управления ^-рисками ведёт учёт каждого шага к обеспечению безопасности, отслеживая прогресс организации и отправляя оповещения заинтересованным сторонам, которым назначены задачи обеспечения безопасности данных. Он также расставляет приоритеты по угрозам,
таким как взлом хранилища, которые бизнес должен решать.
Любое программное обеспечение, связанное с другой программой, имеет как минимум ограниченные возможности для ее управления. Это ещё одна возможность для взлома сети злоумышленниками, особенно если в стороннем приложении есть незакрытые уязвимости. При наличии правильных учетных данных или бэкдора злоумышленники потенциально могут также перейти от стороннего приложения к основному приложению и получить над ним полный контроль. Программное обеспечение для управления 1Т-рисками предлагает такие инструменты, как оценка сторонних поставщиков приложений, чтобы оценить, насколько безопасна платформа поставщика.
Управление ИТ-рисками, помимо стороннего управления и соблюдения нормативных требований, защиты данных и сетей, охватывает все виды опасностей и уязвимостей, которые технологии представляют для предприятия. Поскольку предприятия внедряют цифровизацию и переходят на удаленную работу, требуются дополнительные приложения, которые помогают с управлением и мониторингом устройств компании, вне зависимости их местонахождения.
Управление 1Т-рисками предоставляет предприятиям основу для отслеживания каждой угрозы, представляемой устройствами, сетями и пользователями. Программное обеспечение, которое используют предприятия, регистрирует риски и ранжирует их важность, представляет информацию о том, насколько критична угроза для бизнес-операций, и оповещает сотрудников, ответственных за его обработку. Без управления 1Т-инфраструктурой и рисками безопасности предприятия быстро завалятся задачами, связанными с кибербезопасностью и управлением устройств конечных пользователей. Они будут просто не готовы к какой-либо глобальной проблеме.
Чтобы разработать стратегию управления рисками, относящуюся к информационным технологиям, необходимо рассмотреть возможность подхода к управлению
информационными технологиями с учётом командного взаимодействия. Необходимо учитывать, что корпоративные 1Т-риски будут масштабироваться по мере роста компании: чем больше сотрудников и пользователей рабочих устройств имеет компания, тем сильнее возрастает уровень угрозы безопасности изнутри.
Важной частью управления рисками является уменьшение разрозненности. Стратегия управления 1Т-рисками должна базироваться на сотрудничестве группы управления рисками и 1Т-отдела. Совместная работа должна предполагать, что данные структурные подразделения совместно будут анализировать данные о технологических угрозах и расставлять приоритеты в отношении возникающих рисков. Например, если система хранения взломана, 1Т-специалисты или специалисты по информационной безопасности обнаружат закономерности в атаке и поделятся всей необходимой информацией с группой управления рисками.
Риск-менеджеры и 1Т-команды могут работать в тандеме, чтобы повысить осведомленность об управлении рисками в своем бизнесе, а также обеспечить, чтобы все заинтересованные стороны могли использовать эту технологию с максимальной отдачей.
Сотрудничество имеет решающее значение для разработки стратегии управления рисками, включая информирование сотрудников о всех рисках. Необходимо предусмотреть прохождение тренингов по информационной безопасности. Причём обучение должно осуществляться сразу после того, как произошли события, связанные с утечкой данных.
Инструменты мониторинга и обнаружения уязвимостей позволяют выявить, какие участки 1Т-инфраструктуры были скомпрометированы. Наличие технологического решения, которое дает специалистам по безопасности возможность видеть данные о перемещение устройств, отслеживать уровень безопасности облачных хранилищ, использования персональных устройств в корпоративной сети, помогает держать высокий уровень безопасности.
Успешная стратегия управления 1Т-рисками должна развиваться вместе с компанией, в противном случае стратегию необходимо будет постоянно переделывать при появление какой-либо новой, еще не изученной проблемы. Лучшим подходом для организаций, находящихся в периоде быстрого технологического роста или изменений, является разработка масштабируемого плана управления рисками.
Планирование масштабируемости
должно быть с самого начала каждого проекта, чтобы с течением времени уро-
вень риска оставался на минимальном уровне, вне зависимости от количества пользователей и устройств.
Таким образом, успешные стратегии управления 1Т-рисками должны быть ориентированы на совместные и прозрачные процессы между техническими командами и риск-менеджерами. Они также должны учитывать множество угроз, которые представляют собой ошибки сотрудников, и готовиться к быстрому росту бизнеса, поскольку это может увеличить риски как для 1Т-направления, так и для персонала.
Библиографический список
1. Субботина Т.Н. CRM-система как инструмент повышения конкурентоспособности организации / Т.Н. Субботина, Б.Г. Лисовский // Вектор экономики. - 2021. - №11 (65). -DOI 10.51691/2500-3666_2021_11_1. - EDN LCHTYL.
2. Платформа для предпринимателей и высококвалифицированных специалистов малых, средних и крупных компаний // Официальный интернет-портал журнала. - [Электронный ресурс]. - Режим доступа: https://vc.ru/u/700268-marketing-solveit
3. Электронный экономический журнал Tessian. //Официальный интернет-портал журнала. - [Электронный ресурс]. - Режим доступа: https://www.tessian.com/research/the-psychology-of-human-error/
4. Бизнес-планирование: Учебно-методическое пособие / В.К. Крутиков, С.А. Аракелян, Т.В. Дорожкина [и др.]. - Калуга: ИП Стрельцов И.А. (Издательство «Эй-дос»), 2017. - 144 с. - ISBN 978-5-905697-65-4. - EDN ZAIKBW.
RISK MANAGEMENT IN SOFTWARE DEVELOPMENT A.G. Tikhonov, Student
T.N. Subbotina, Candidate of Pedagogical Sciences, Associate Professor Tsiolkovsky Kaluga State University (Russia, Kaluga)
Abstract. The article analyzes the main risks that arise in the process of software development. Based on the identified risks, their impact on the organization's activities is considered. To manage IT risks, the development of a risk management strategy based on team interaction between risk managers and the IT team is considered. It is concluded that reducing the fragmentation in the activities of structural units will allow for more effective analysis of data on technological threats and prioritize emerging risks.
Keywords: software development, risk management, IT risks, risk management.
