Zaščitite svoje podjetje med projekti kodiranja po meri

19. julija 2019 je pogodbeni programer David Tinley priznal krivdo obtožb, da je namerno poškodoval računalnike, ki pripadajo korporaciji Siemens. Glede na vloge v zadevi je Tinley postavil logične bombe v kodo, ki jo je razvil za Siemens, na lokaciji Monroeville v Pensilvaniji. Tiste logične bombe, ki so bili odseki kode, ki naj bi povzročili motnje v tednih ali mesecih po zaključku projekta, naj bi Tinsleyju zagotovili stalen dohodek, ker je moral odpraviti težave, za katere se domneva, da so hrošči. Ko so ga poklicali, da odpravi težavo, je Tinsley preprosto spremenil datum na logični bombi, da se bo pozneje spet ugasnil.

Sčasoma so ga poklicali še en programer, ki je popravil Tinsleyjevo kodo, medtem ko je bil na dopustu in zaplet je bil takrat odkrit. 62-letni Tinsley je delal za Siemens približno 12 let, preden so ga ujeli, a v tem času nikoli ni bil pod nobenim sumom. Kazen je določena za 8. november 2019, Tinsley pa bi lahko preživel do 10 let zapora in plačal globe do 250.000 dolarjev.

Najem rezervnih kodirnikov

Zakaj vam torej pravim vse to? Navsezadnje možnosti, da boste najeli programerja, ki namerno vloži logične bombe v kodo po meri, niso velike. Čeprav te možnosti niso enake nič, lahko obstaja veliko drugih stvari, ki se lahko zmotijo, ko nekdo piše kodo za vašo organizacijo.

"Kaj se zgodi, če ta oseba zapusti ali pade mrtva?" vpraša Jack Gold, glavni analitik pri J. Gold Associates. Zlato namiguje, da ko najamete nekoga, da se ukvarja z razvojem, vedno potrebujete varnostno kopijo. Konec koncev je koda po meri vaša koda. Ni tretje osebe, na katero se lahko obrnete, če gre kaj narobe, razen če ne načrtujete. Prav tako je predlagal, da je treba narediti še nekaj korakov, ki jih morajo podjetja narediti, da se zaščitijo med razvojnim procesom, glavni med njimi pa so potrebni pregledi kode.

"Pregled kode je verjetno najboljši način, da ugotovite, kaj je v vaši kodi, " je dejal Alan Zeichick, glavni analitik pri Camden Associates, "vključno s stvarmi, kot so logične bombe, varnostne ranljivosti ali neumne napake."

"Obstajajo drugi razlogi za pregledovanje kod, " je dodal Zeichick. "Pomaga vašemu razvojnemu timu, da bolje razume, kako deluje razvoj, mlajšim programerjem pomaga, da se bolje razumejo. Pregledi kode so dobri tudi za pomoč vodji ekipe, da se ujema s kakovostjo razvojne ekipe in oceni, kako dolgo bo da bo delo končano.

Izvajanje pregledov kod

Zeichick je dejal, da obstaja nekaj načinov za pregledovanje kod. "Lahko imate ekipo, v kateri delata dva človeka, ali pa se lahko srečate v konferenčni sobi, da pregledate kodo."

Ekipe, v katerih vsak član pregleda neko kodo drugega, so vse bolj priljubljene, saj jih programerji težje najdejo. V večjih organizacijah so občasni sestanki za pregledovanje kode še vedno koristni, ker si potem več pregledov pomaga pri postopku pregleda. Zeichick je dejal, da bi morali pregledati tudi kode najstarejših programerjev.

Torej, zakaj je Siemens dovolil Tinleyju vsa ta leta brez pregleda kode? Glede na pripombe njegovega odvetnika med sojenjem je Tinley menil, da je njegov kodeks lastniški in ga uporablja kot izgovor, da njegove kode ni pregledal.

Zakaj se je to smelo zgoditi, ni jasno, vendar Zeichick in Gold poudarjata, da mora biti zahteva za pregledovanje kode del vsake pogodbe med podjetjem in neodvisno programsko opremo. Gold predlaga, da pogodba ne samo omenja preglede kode, ampak določa, kako in kdaj potekajo.

Zeichick je opozoril, da lahko nekatere velike razvojne trgovine izvajajo svoje preglede kod, kar je po njegovem mnenju smiselno. "Najboljši ljudje, ki opravijo pregled kode, so ljudje v razvojni skupini, " je dejal.

Izogibanje zlonamernim koderjem

Pregledi kode so že skoraj ves čas. Ko sem vodil skupino programerjev za veliko vladno ustanovo, smo vsak petek popoldne hodili po omamljajočih se linijah COBOL-a. Čeprav je bilo dolgočasno, smo pogosto zasledili vpogleda, napake, napačne navedbe ali druge napake pri kodiranju. Dejstvo je, da vsi delamo napake in s smiselnim pregledom je koda boljša za vse.

Na žalost programerji včasih zamerijo preglede kod, saj menijo, da so izguba časa. Drugi pravijo, da nočejo, da bi ljudje svojo kodo ponovno uganili. Vendar mora biti rdeča zastava zavrnitev dovoljenja za pregled kode. Če plačujete za zapisovanje kode, lahko pogodba upravičeno vključuje zahtevo po pregledih. Zavrnitev tega razloga je razlog za odpust.

V teh dneh je žal težko najti dobre programerje. Povpraševanje je veliko in ponekod pogodbeni programerji menijo, da lahko določijo, da jim ni treba podrejati pregleda svoje kode, čeprav njihov kontakt pravi, da bo.

Najboljši način, da se takšnim težavam izognete, je najprej zaprositi in nato poklicati reference za prejšnje delo. Drugič, uveljavite preglede kode iz prvega dne. Tako postanejo navada in programerji, ki nočejo pregledati, lahko takoj odpustijo, preden postanejo kritični do razvojnega procesa.

• Kaj storiti, ko ste bili hekerji, kaj storiti, ko ste zasačeni
• 6 stvari, ki jih po kršitvi podatkov ne bi smeli storiti, 6 stvari, ki jih po kršitvi podatkov ne počnete
• Florida City bo plačal 600.000 dolarjev hekerjem po napadu Ransomware Florida City, da bi Hackerjem po napadu Ransomware plačal 600.000 dolarjev

Na žalost so tveganja v razvojnem procesu lahko velika. Gold poudarja, da lahko neetični programer vstavi kodo v svoja koda, poišče načine, kako ukrasti podatke o strankah ali intelektualni lastnini ali kritične podatke posreduje drugemu podjetju ali tuji sili.

To preprečite tako, da neprekinjeno upravljate, pregledujete delovni izdelek svojega programskega osebja in pregledujte kodo, preden jo vaš sistem upravljanja s kodo sprejme.