Seminarium na temat normy ISO IEC 15504-5:2012
Dnia 14.12.2016 odbędzie się seminarium dotyczące normy ISO IEC 15504-5:2012, która wspomaga wytwarzanie bezpiecznego oprogramowania. Wykorzystując możliwości nowych technologii seminarium odbędzie się równolegle w sali 1.20 pawilonu D17 Katedry Informatyki na Wydziale Informatyki, Elektroniki i Telekomunikacji Akademii Górniczo Hutniczej oraz w Warszawie, w multimedialnej sali wideokonferencyjnej Polskiego Towarzystwa Informatycznego. Prelegenci będą prezentować swoje wystąpienie w Krakowie, a dwustronne połączenie wideokonferencyjne umożliwi uczestnictwo i zadawanie pytań obecnym w Warszawie.
Organizatorzy seminarium podkreślają, że najsłabszym ogniwem systemów zarządzania bezpieczeństwem informacji jest… człowiek - jako użytkownik oprogramowania, ale przede wszystkim jako twórca oprogramowania.
Wraz z rozwojem informatyki widać, że oprogramowanie to staje się coraz bardziej skomplikowane, ale również coraz większe objętościowo w zakresie linii zawartego kodu (tzw. LOC, line of code - podstawowa metryka rozmiaru programu komputerowego). Obrazują to poniższe dane:
- Unix 1.0 (1971) - 20 tys. linii kodu,
- Photoshop 1.0 (1990) - ponad 100 tys. linii kodu,
- Windows 3.1 (1992) - ok. 2 mln linii kodu,
- Windows XP - 45 mln linii kodu,
- Windows Vista - 50 mln linii kodu,
- Photoshop CS 6 (2011) - ponad 5 mln linii kodu,
- Google Chrome - 5-7 mln linii kodu,
- Boeing 787, awionika i systemy wsparcia - 8-9 mln linii kodu, całość – 14 mln linii kodu,
- Windows 7 - 40 mln linii kodu,
- MS Office 2013 - 45 mln linii kodu,
- Facebook - 61 mln linii kodu,
- Oprogramowanie nowoczesnego samochodu – ok. 100 mln linii kodu,
- SAP R3 - od 238 do 318 mln linii kodu, 145k ekranów, > 20PB danych.
Wytworzenie współczesnego oprogramowania wymaga zaangażowania wieloosobowych zespołów programistów, którzy niestety nie ustrzegają się błędów. Wskaźniki defect density - ilości błędów na 1000 linii kodu - statystycznie wynoszą ok. 15-50 błędów na 1000 linii dostarczonego kodu. Steve McConnell w swej książce "Code Complete" szacuje, że w aplikacjach Microsoft występuje około 10-20 wad na 1000 linii kodu w wersjach testowych i 0,5 wad na 1000 linii kodu w produkcie handlowym. Według Google gęstość błędów w ich oprogramowaniu waha się od 0,02-0,05 do 5-50 błędów na 1000 linii kodu.
Jedną ze sprawdzonych recept na ograniczenie błędów w dostarczanym oprogramowaniu jest norma ISO/IEC 15504-5:2012 Information technology -- Process assessment -- Part 5: An exemplar software life cycle process assessment model. Norma ta znana jako SPICE - Software Process Improvement and Capability dEtermination - ma na celu doskonalenie procesów związanych z tworzeniem oprogramowania, szczególnie w dziedzinach, w których jakość i niezawodność ma krytyczne znaczenie. Takimi dziedzinami przemysłu są bezdyskusyjnie produkty przemysłu lotniczego i samochodowego oraz firm opracowujących oprogramowanie medyczne.
Norma ISO/IEC 15504 ocenia najważniejsze procesy związane z zarządzaniem organizacją wytwarzającą oprogramowanie, definiując analogicznie do metodyki COBIT pięć poziomów dojrzałości firmy.
Zgodnie z wytycznymi ISO/IEC 15504:
- poziom I osiągają organizacje, których procesy tworzenia oprogramowani realizowane są bez formalnego podejścia;
- poziom II (managed) osiągają organizacje, których procesy są zarządzane biernie i zorientowane na rozwiązywanie problemów;
- poziom III (established) osiągają organizacje charakteryzujące się systematycznym podejściem, opartym o zdefiniowane procesy;
- poziom IV (predictable) osiągają organizacje, które stosują doskonalenie i pomiary umożliwiające ocenę osiągania celów;
- poziom V (optimising) stosowany jest przez najlepsze organizacje światowe o wysokiej innowacyjności.
Norma ISO/IEC 15504 wyróżnia się tym, że pozwala na oddzielną ocenę poziomu każdego procesu wchodzącego w cykl życia oprogramowania lub systemu: grup procesów organizacyjnych, technicznych, uzgodnień, zarządzania przedsięwzięciem. Procesy te mogą bowiem osiągać różne poziomy dojrzałości w ocenianej organizacji.
Zalety normy ISO/IEC 15504 docenił przemysł samochodowy, który w ramach konsorcjum Automotive Special Interest Group (składającego się z AUDI AG, BMW Group, Daimler AG, Fiat Auto S.p.A., Ford Werke GmbH, Jaguar, Land Rover, Dr. Ing. h.c. F. Porsche AG, Volkswagen AG oraz Volvo Car Corporation) stworzył i upublicznił Automotive SPICE® Process Reference Model.
Podczas seminarium zaproszeni prelegenci zaprezentują szczegółowe informacje dotyczące normy ISO/IEC 15504. Zaplanowano następujące prezentacje:
- „Norma ISO/IEC, 15504 jako remedium na złożoność współczesnego oprogramowania” - Adam Mizerski, Prezes ISACA Katowice Chapter & dr Andrzej Niemiec, Izba Rzeczoznawców Polskiego Towarzystwa Informatycznego, audytor normy ISO/IEC 15504 Information Technology – Process Assessment (SPICE);
- „Norma ISO/IEC, 15504 jako narzędzie procesowego zarządzania bezpieczeństwem” - Sylwia Wystub, Dyrektor ds. Bezpieczeństwa, Interia.pl, audytor normy ISO/IEC 15504 Information Technology – Process Assessment (SPICE);
- „Case Study praktycznego zastosowania normy ISO/IEC 15504 do oceny poziomu dojrzałości organizacji w zakresie bezpieczeństwa” Piotr Falc, Izba Rzeczoznawców Polskiego Towarzystwa Informatycznego, audytor normy ISO/IEC 15504 Information Technology – Process Assessment (SPICE).
Seminarium ISACA Katowice Chapter organizowane jest we współpracy z Polskim Towarzystwem Informatycznym (Izbą Rzeczoznawców PTI, Oddziałem Małopolskim PTI, Oddziałem Mazowieckim PTI) oraz Polskim Oddziałem IEEE Computer Society.
Patronat medialny nad wydarzeniem objął Dziennik Internautów.
Rejestracja i uczestnictwo w spotkaniu zapewnia uzyskanie 2 pkt CPE (Continuing Professional Education hours).
Wstęp wolny, ze względu na ograniczoną ilość miejsc prosimy o bezpłatną rezerwację udziału w spotkaniu: www.isaca.org/chapters8/Katowice/Events/Pages/Page3.aspx
Serdecznie zapraszamy!
Adam Mizerski
