Az EU digitális működési ellenálló képességről szóló törvénye (DORA) alapjaiban változtatta meg a pénzügyi intézmények – és az azokat támogató technológiai partnerek – rendszerteljesítményről alkotott képét. A rendelkezésre állást már nem kizárólag az ügyfél-elégedettség vagy a működési kiválóság méri. Szabályozási elvárássá vált. Az informatikai szervezetek, szoftverszállítók és tesztelési partnerek számára ez a teljesítménytesztelést a minőségbiztosítási tevékenységből a szabályozási megfelelés kulcsfontosságú elemévé emeli.
2025. január 17-től a DORA előírja a pénzügyi szervezetek számára, hogy bizonyítsák, a kritikus digitális szolgáltatásaik ellenállóak maradnak zavarok, kiberbiztonsági incidensek, infrastruktúra-hibák és kivételes igények idején is. Bár a szabályozás nem ír elő konkrét teljesítménytesztelési eszközöket vagy mutatókat, egyértelműen előírja a szervezetek számára, hogy strukturált tesztelés és folyamatos kockázatkezelés révén validálják a kritikus üzleti funkciókat támogató IKT-rendszerek ellenálló képességét.
A teljesítménytesztelést évekig elsősorban kiegészítő tevékenységnek tekintették. A szervezetek a nagyobb kiadások előtt terhelési teszteket végeztek, a várható forgalom mellett mérték a válaszidőket, és az eredményeket felhasználták az alkalmazások skálázhatóságának javítására. Bár ezek a tevékenységek továbbra is fontosak, a digitális működési ellenálló képességről szóló törvény (DORA) alapvetően megváltoztatta üzleti jelentőségüket.
Manapság a teljesítmény már nem csak a felhasználói élményről vagy a rendszerhatékonyságról szól. A szabályozott pénzügyi szolgáltatásokban a működési ellenálló képesség részévé vált – és egyre inkább a megfelelés kérdésévé.
Egy olyan fizetési platform például, amely a csúcsforgalmi időszakokban drámaian lelassul, a hagyományos értelemben nem feltétlenül „állt le”, de az ügyfél szempontjából a késleltetett vagy sikertelen tranzakciók szolgáltatási zavart jelenthetnek. A DORA rendszerben az ilyen zavarokat már nem kizárólag technikai incidenseknek tekintik. Ezek olyan működési kockázatok, amelyeket a pénzügyi intézményeknek azonosítaniuk, tesztelniük, monitorozniuk és enyhíteniük kell.
Ez jelentős változást jelent a szoftverfejlesztő csapatok számára. A teljesítménytesztelés egy opcionális kiadás előtti tevékenységből egy folyamatos mérnöki gyakorlattá fejlődik, amely bizonyítékot szolgáltat a működési rugalmasságra.
A kérdés már nem az:
„Biztosítja-e az alkalmazásunk a várható terhelést?”
A relevánsabb kérdés az:
„Bizonyíthatjuk-e, hogy kritikus digitális szolgáltatásaink realisztikus működési körülmények között is elérhetők és ellenállóak maradnak?”
A pénzügyi intézmények jelentős összegeket fektettek be a támadások megelőzésére szolgáló kiberbiztonsági ellenőrzésekbe. A DORA ezt a perspektívát egy fontosabb kérdés feltevésével szélesíti:
Továbbra is működhetnek a kritikus szolgáltatásaik, ha valami elkerülhetetlenül rosszul sül el?
A szabályozás egy átfogó keretet vezet be, amely a következőket fedi le:
Ahelyett, hogy kizárólag a hibák megelőzésére összpontosítana, a DORA megköveteli a szervezetektől, hogy bizonyítsák képességüket a működési zavarok elviselésére, az azokból való felépülésre és az azokhoz való alkalmazkodásra.
Ez azt jelenti, hogy az ellenálló képességet bizonyítani kell – nem pedig feltételezni.
Sok szervezet a rendelkezésre állást az infrastruktúra üzemidejével azonosítja. Az ügyfelek azonban másképp élik meg a rendelkezésre állást.
Technikailag egy banki alkalmazás online maradhat, miközben továbbra sem tud elfogadható szolgáltatást nyújtani, ha:
Üzleti szempontból ezek a forgatókönyvek mind csökkentik a szolgáltatás rendelkezésre állását.
A modern digitális szolgáltatások számos összekapcsolódó összetevőtől függenek:
Ezen összetevők bármelyikének teljesítményromlása befolyásolhatja az ügyfélélményt anélkül, hogy teljes kiesést okozna. Pontosan ezért kell a rugalmassági tesztelésnek túllépnie az egyszerű üzemidő-monitorozáson. A szervezeteknek meg kell érteniük, hogyan viselkednek a rendszerek valós üzemi körülmények között – beleértve a csúcsforgalmat, az infrastruktúra meghibásodásait, a függőségi késleltetést és a váratlan igényeket.
A digitális működési ellenálló képességről szóló törvény ((EU) 2022/2554 rendelet) átfogó keretet hoz létre az IKT-kockázatok kezelésére az európai pénzügyi szektorban. Elsődleges célja annak biztosítása, hogy a pénzügyi szervezetek továbbra is kritikus szolgáltatásokat tudjanak nyújtani kibertámadások, infrastruktúra-hibák, szoftverhibák vagy működési zavarok esetén is. A rendelet hangsúlyozza az irányítást, az IKT-kockázatkezelést, az incidensjelentést, a digitális működési ellenálló képesség tesztelését, a harmadik fél általi IKT-kockázatkezelést és a folyamatos fejlesztést.
A mérnöki csapatok számára az egyik legjelentősebb következmény, hogy a DORA kifejezetten előírja a szervezetek számára egy digitális működési ellenálló képesség tesztelési program létrehozását. A rendelet számos megfelelő tesztelési tevékenységet sorol fel, beleértve a sebezhetőségi felméréseket, a forgatókönyv-alapú tesztelést, a teljes körű tesztelést, a penetrációs tesztelést, a forráskód-felülvizsgálatot és a teljesítménytesztelést, a szervezet IKT-környezetétől és kockázati profiljától függően.
A szoftverek rendelkezésre állását gyakran egy működési KPI-ként kezelték, amelyet üzemidő-százalékokkal vagy szolgáltatási szintű megállapodásokkal mértek. A DORA értelmében a rendelkezésre állás a szervezet ellenálló képességének részévé válik. Más szóval, a rugalmasságot már nem feltételezzük. Azt ellenőrizni kell.
A DORA egyik alapelve, hogy a rugalmasságot a rendszerekbe kell beépíteni, ahelyett, hogy csak az incidensek bekövetkezése után ellenőriznék. A teljesítménytesztelés ezt a célt támogatja azáltal, hogy lehetővé teszi a szervezetek számára, hogy a működési gyengeségeket még azelőtt azonosítsák, mielőtt az ügyfelek tapasztalnák azokat.
Ahelyett, hogy azt kérdeznék:
„Meghibásodott a rendszer?”
a mérnökcsapatoknak a következőket kellene feltenniük:
Ezek a kérdések a teljesítménytesztelést a technikai benchmarkingon túlra helyezik. Üzleti rugalmassági kérdéssé válnak.
A kutatások következetesen azt mutatják, hogy a felhasználók kevéssé tolerálják a lassú digitális szolgáltatásokat. A Google arról számolt be, hogy ahogy a mobil oldalak betöltési ideje egy másodpercről három másodpercre nő, jelentősen megnő annak valószínűsége, hogy a felhasználó elhagyja az oldalt, és az elhagyások száma is meredeken emelkedik a késések növekedésével. Bár a banki alkalmazások eltérnek a nyilvános weboldalaktól, az alapelv továbbra is releváns: a lassabb rendszerek csökkentik az ügyfelek elégedettségét és növelik a működési súrlódást.
A pénzügyi szolgáltatásokban a következmények túlmutatnak a felhasználói frusztráción. A teljesítményromlás a következőkhöz vezethet:
Ezek az eredmények közvetlenül befolyásolják a működési rugalmasságot. Emiatt a teljesítménymérnökséget már nem szabad pusztán technikai optimalizálási gyakorlatnak tekinteni, hanem fontos mechanizmussá vált az üzleti kockázat csökkentésére.
Sok szoftverprojekt kiváló funkcionális tesztlefedettséget ér el. A regressziós csomagok több ezer automatizált tesztet hajtanak végre. Az üzleti munkafolyamatok és az integrációs forgatókönyvek sikeresek. A rendszer mégis meghibásodhat realisztikus működési körülmények között.
Vegyünk egy online banki platformot, amely a fizetési napra készül. Minden funkcionális teszt sikeres. A hitelesítés működik. Az átutalások sikeresen befejeződnek. A számlaegyenlegek helyesek.
Amint azonban a tranzakciók volumene 300%-kal megnő, a válaszidők meghaladják az elfogadható határokat, az API késleltetése megnő, a háttérfeldolgozási sorok telítetté válnak, és az ügyfelek ismételt hibákat tapasztalnak. Funkcionális szempontból az alkalmazás helyes. Működési szempontból nem rugalmas. A teljesítménytesztelés ezt a hiányosságot küszöböli ki.
Nemcsak azt ellenőrzi, hogy a szoftver helyesen viselkedik-e, hanem azt is, hogy továbbra is helyesen viselkedik-e, amikor a valós körülmények kihívást jelentenek.
A hagyományos teljesítménytesztelés gyakran csak a nagyobb kiadások előtt történt. Előkészítettek egy dedikált tesztelési környezetet. A mérnökök több terhelési forgatókönyvet hajtottak végre. Jelentéseket generáltak. A projekt éles környezetbe került. A modern szoftverfejlesztés már nem támogatja ezt a modellt.
A szervezetek hetente, naponta, vagy akár naponta többször is telepítenek szoftvereket. A felhőinfrastruktúra dinamikusan változik. Az API-k folyamatosan fejlődnek. A harmadik féltől származó függőségek gyakran frissülnek.
Ennek eredményeként a teljesítmény-érvényesítésnek is folyamatossá kell válnia. A vezető szervezetek egyre inkább integrálják a teljesítménytesztelést a CI/CD folyamatokba, lehetővé téve a kritikus teljesítmény-visszaesések észlelését röviddel a kódmódosítások után, nem pedig röviddel az éles környezet előtt. Ez a megközelítés szorosan összhangban van a DORA hangsúlyával, amely a folyamatos működési rugalmasságra helyezi a hangsúlyt az időszakos ellenőrzés helyett.
A DORA alatti teljesítménytesztelés többet igényel, mint egy terhelésgeneráló eszköz futtatását. A DORA arra ösztönzi a szervezeteket, hogy erősítsék az irányítást, fejlesszék a rugalmassági tesztelést, automatizálják a monitorozást, és integrálják a működési rugalmasságot a napi technológiamenedzsmentbe, ahelyett, hogy a megfelelőséget elszigetelt audittevékenységként kezelnék.
A szervezeteknek olyan partnereket kell keresniük, amelyek képesek:
A szabályozott iparágakkal kapcsolatos tapasztalat különösen értékes, ahol a tesztelésnek egyensúlyt kell teremtenie a technikai mélység és a megfelelőségi elvárások között.
A rendelkezésre állást már nem csupán az üzemidő százalékos arányai vagy az SLA-jelentések mérik. A működési ellenálló képesség bizonyítékává vált. Azok a szervezetek, amelyek strukturált teljesítménytesztelésbe, folyamatos monitorozásba, realisztikus ellenálló képesség-validálásba és teljesítménymérnöki munkába fektetnek be, nemcsak a szabályozási megfelelés, hanem a megbízható digitális szolgáltatások nyújtása terén is jobb helyzetben lesznek az egyre összetettebb technológiai környezetekben.
Ez valami, amit bizonyítaniuk kell. A szabályozott környezetben a megbízható teljesítmény biztosítása mélyreható műszaki szakértelmet és a kritikus fontosságú rendszerekkel kapcsolatos tapasztalatot igényel.
A ProofIT széleskörű referenciákkal rendelkezik az összetett, üzletileg kritikus rendszerek automatizált tesztelésében és teljesítménytesztelésében, támogatva a szigorúan szabályozott ágazatokban, többek között a banki, telekommunikációs és repülőgépipari szektorban működő szervezeteket. Akár a skálázhatóság, az ellenálló képesség, a rendelkezésre állás vagy a teljes rendszerteljesítmény validálásáról van szó, a ProofIT segít a szervezeteknek abban, hogy bizalmat építsenek ki abban, hogy kritikus digitális szolgáltatásaik akkor is képesek működni, amikor a legnagyobb szükség van rá.
Ha szervezete a DORA-megfelelőségre készül, vagy erősítené működési ellenálló képességi stratégiáját, szakértőink készen állnak a segítségre.
