Felkészült szervezete a DORA-auditra? Hogyan segítik a tesztautomatizálás, a folyamatos minőségmérnöki szemlélet, a teljesítménytesztelés és a visszakövethető bizonyítékok a pénzintézeteket a szoftverminőség és az operatív ellenállóképesség igazolásában? Cikkünkben ezeket a kérdéseket jártuk körül.
A szoftvertesztelést hosszú éveken át elsősorban mérnöki feladatnak tekintették: a minőségbiztosítási csapatok ellenőrizték a kiadásokat, a fejlesztők javították a hibákat, a szervezetek pedig élesítették a szoftvert.
A pénzügyi szervezetek esetében a digitális működési rezilienciáról szóló rendelet (DORA) alapjaiban változtatta meg ezt a szemléletmódot. A DORA értelmében a szoftverminőség már nem csupán informatikai kérdés, hanem a működési reziliencia, az irányítás és a szabályozási megfelelés szerves részévé vált. A pénzügyi szervezeteknek igazolniuk kell, hogy kritikus fontosságú IKT-rendszereik technikai meghibásodások, kiberfenyegetések, működési zavarok vagy gyorsan változó üzleti körülmények esetén is képesek támogatni az alapvető üzleti szolgáltatások folyamatos működését.
Ez a változás jelentős hatással van a minőségmérnöki (Quality Engineering) tevékenységre. A szervezetektől immár nem csupán a tesztelés elvégzését várják el; képesnek kell lenniük annak igazolására is, hogy a tesztelési folyamat szisztematikus, kockázatalapú, megismételhető és megfelelően szabályozott, továbbá objektív bizonyítékot szolgáltat arra vonatkozóan, hogy a kritikus szoftver a tervezett módon működik.
Ez egyre fontosabb kérdést vet fel a technológiai vezetők számára: vajon a jelenlegi tesztautomatizálási stratégia képes-e ténylegesen igazolni a szoftverminőséget egy DORA-audit során? Számos szervezet esetében a válasz nem annyira az automatizált tesztek számán, mint inkább a minőségmérnöki gyakorlatok érettségi szintjén múlik.
A hagyományos, részletes technikai ellenőrzéseket előíró megfelelőségi keretrendszerekkel ellentétben a DORA egy elveken alapuló megközelítést alkalmaz, amely a működési ellenálló képességre összpontosít. A szabályozás előírja a pénzügyi szervezetek számára, hogy átfogó IKT-kockázatkezelési keretrendszereket hozzanak létre, digitális működési ellenálló képesség tesztelési programokat hajtsanak végre, folyamatosan figyelemmel kísérjék az IKT-rendszereket, kezeljék a működési kockázatokat, és megőrizzék a megfelelőséget alátámasztó bizonyítékokat.
A tesztelés ezért egy sokkal szélesebb körű ellenálló képességi stratégia részévé válik. Ahelyett, hogy csak a funkcionális helyességet validálnák, a szervezeteknek egyre inkább bizalomra van szükségük abban, hogy a szoftver továbbra is:
A tesztelés a kiadás validálásától a folyamatos működésbiztosításig fejlődik. A minőségmérnöki csapatok számára ez bizonyítékok előállítását jelenti, ahelyett, hogy egyszerűen csak teszteket hajtanának végre.
Gyakori tévhit, hogy a DORA-auditorokat elsősorban az automatizált tesztesetek száma érdekli. A gyakorlatban ritkán a mennyiség a döntő tényező. Az auditorok inkább azt vizsgálják, hogy a tesztelés igazolja-e a szoftverekkel kapcsolatos kockázatok hatékony kezelését.
Jellemző kérdések:
A cél annak igazolása, hogy a szoftverminőségi folyamatok következetesen működnek, és nem függnek egyéni tudástól vagy informális gyakorlatoktól. Ennek megfelelően előnyös olyan tesztelési programokat kialakítani, amelyek strukturált, megismételhető és auditálható bizonyítékokat szolgáltatnak.
Az automatizálás nélkülözhetetlenné vált a modern szoftverszállításban. A folyamatos telepítés (continuous deployment) gyakorlatilag lehetetlen lenne automatizált regressziós tesztelés, API-validáció, integrációs tesztelés és CI/CD-folyamatok nélkül. Az automatizálás önmagában azonban nem igazolja az operatív ellenállóképességet.
Vegyünk példaként két szervezetet. Mindkettő több ezer automatizált tesztet futtat le minden egyes telepítés után. Az első szervezet:
A második szervezet csupán szkripteket futtat, anélkül, hogy dokumentálná az eredményeket vagy értené, mely üzleti folyamatokat ellenőrzik azok. Mindkettő automatizálja a tesztelést, ám csak az egyik állít elő meggyőző auditbizonyítékokat. A DORA előírásai miatt a szervezeteknek egyre inkább olyan automatizálásra van szükségük, amely a végrehajtás mellett az irányítást (governance) is támogatja.
A minőségbiztosítási mérnöki tevékenység (Quality Engineering) érettségének egyik legfontosabb mutatója a nyomon követhetőség. A nyomon követhetőség összekapcsolja a következőket:
Ez olyan folyamatos bizonyítékláncot hoz létre, amely igazolja, hogy a kritikus funkciókat a szoftver teljes életciklusa során ellenőrizték. Amikor egy auditor megkérdezi, hogyan ellenőriztek egy adott fizetési munkafolyamatot szoftverfrissítés után, az érett szervezetek gyorsan képesek objektív bizonyítékokat bemutatni.
Nyomon követhetőség hiányában ugyanerre a kérdésre adott válasz időigényes manuális vizsgálatot igényelhet. A jó nyomonkövethetőség tehát csökkenti mind az auditráfordítást, mind a működési bizonytalanságot.
Nem minden alkalmazás igényel azonos tesztelési intenzitást. Egy ügyfél-hitelesítési platform jelentősen nagyobb működési kockázattal jár, mint egy belső jelentéskészítő irányítópult. A DORA tehát ösztönzi a szervezeteket a kockázatalapú megközelítések alkalmazását az IKT-rugalmassági tesztelés során.
A minőségmérnöki csapatok ezért a tesztelést a következők szerint rangsorolják:
A kockázatalapú tesztelés javítja a hatékonyságot, miközben biztosítja, hogy az erőforrások azokra a rendszerekre összpontosítsanak, ahol a meghibásodás a legnagyobb üzleti következményekkel járna. Emellett egyértelmű indoklást ad a tesztelési döntésekhez – ezt az auditorok gyakran értékelik.
A hagyományos, kiadásalapú tesztelés jellemzően csak közvetlenül a telepítés előtt generál bizonyítékot. A modern pénzügyi intézmények egészen másképp működnek. Az alkalmazások hetente többször is – vagy akár naponta többször is – kaphatnak frissítéseket. A folyamatos szállítás ezért folyamatos ellenőrzést igényel.
A modern folyamatos minőségbiztosítás integrálja a következőket:
Minden sikeres végrehajtás további bizonyítékokkal támasztja alá a szoftverminőséget. Ahelyett, hogy külön készülnének fel az auditokra, a szervezetek folyamatosan generálnak megfelelőségi bizonyítékokat a normál mérnöki tevékenységek részeként.
A szoftverek képesek megfelelően működni, miközben működésileg továbbra is meghibásodnak. A teljesítményromlás gyakran okoz termelési incidenseket a sikeres funkcionális tesztelés ellenére. A pénzügyi intézményeknek ezért igazolniuk kell, hogy a kritikus szolgáltatások realisztikus terhelés mellett is továbbra is működnek.
A teljesítménytervezés jellemzően a következőket foglalja magában:
Ahelyett, hogy azt kérdezné, hogy a szoftver működik-e, a teljesítménytesztelés azt a kérdést boncolgatja, hogy a szoftver üzleti körülmények között is működik-e. Ez a megkülönböztetés központi szerepet játszik a működési rugalmasságban.
A modern szoftverfejlesztés egyik legjelentősebb változása annak felismerése, hogy a tesztelés önmagában nem garantálja a szoftver minőségét. Az alkalmazások a telepítés után is folyamatosan fejlődnek. A felhőinfrastruktúra változik. A forgalmi minták ingadoznak. A harmadik féltől származó szolgáltatások meghibásodásokat tapasztalnak. Az ügyfelek viselkedése változik. Következésképpen a szervezetek egyre inkább kiegészítik a tesztelést a megfigyelhetőséggel.
A megfigyelhetőség a következőket ötvözi:
Ezek a képességek objektív működési bizonyítékokat nyújtanak arról, hogyan viselkednek az alkalmazások valós termelési körülmények között. A tesztelés helyettesítése helyett a megfigyelhetőség kiterjeszti az ellenőrzést a telepítésen túlra. A DORA-készültség esetében ez a folyamatos láthatóság támogatja a gyorsabb incidensészlelést, a gyorsabb helyreállítást és a jobb működési rugalmasságot.
A mesterséges intelligencia felgyorsítja a szoftverfejlesztést a pénzügyi szektorban. A fejlesztők egyre inkább AI által támogatott kódoló eszközöket használnak a szoftverek gyorsabb előállításához, mint valaha. Miközben ez javítja a termelékenységet, további ellenőrzési igényt is teremt.
Minden AI által generált szoftverváltoztatás továbbra is megköveteli a következőket:
Hasonlóképpen, az AI által generált teszteseteknek maguknak is validáción kell átesniük.
A szervezeteknek ezért irányítást kell létrehozniuk a következők köré:
A cél nem a mesterséges intelligencia korlátozása, hanem annak biztosítása, hogy az AI által generált szoftver ugyanolyan szintű független ellenőrzésben részesüljön, mint a hagyományosan fejlesztett szoftver.
A DORA alapvetően megváltoztatja a pénzügyi intézmények szoftverminőségről alkotott képét. A tesztelés már nem pusztán egy kiadási tevékenység, hanem a működési ellenálló képesség alapvető eleme.
Azok a szervezetek, amelyek a folyamatos minőségbiztosításba, az automatizált tesztelésbe, a teljesítmény-tervezésbe, a biztonsági validációba, a megfigyelhetőségbe és az erős irányításba fektetnek be, két fontos eredményt hoznak létre egyszerre:
A legsikeresebb szervezetek nem azok lesznek, amelyek a legtöbb tesztet automatizálják. Azok lesznek, amelyek képesek megbízható, nyomon követhető, megismételhető bizonyítékokat szolgáltatni, amelyek igazolják, hogy kritikus rendszereik biztonságosak, ellenállóak és megbízhatóak maradnak a folyamatos szoftverszállítás során. A DORA korszakában a szoftverminőség már nem olyasmi, amit a szervezetek pusztán elérnek, hanem olyan dolog, amit folyamatosan demonstrálniuk kell.
A DORA-ra való felkészülés többet igényel, mint további tesztek végrehajtását – olyan minőségbiztosítási képesség kiépítését igényli, amely képes folyamatos, auditálható bizonyítékokat generálni a szoftver életciklusa során.
A ProofIT széleskörű referenciákkal rendelkezik az összetett, kritikus rendszerek automatizált tesztelésében és teljesítménytesztelésében, támogatva a banki, telekommunikációs és légiipar vezető szervezeteit.
Szakértőink segítenek a szervezeteknek skálázható automatizálási keretrendszerek, teljesítménymérnöki, végponttól végpontig tartó tesztelési, folyamatos validálási és független minőségbiztosítási megvalósításában az igényes szabályozási környezetben működő üzletileg kritikus rendszerek számára.
Lépjen kapcsolatba a ProofIT szakértőivel még ma abusiness@proofit.tech vagy a +44 73 6048 4722 elérhetőségeken, hogy megtudja, hogyan erősítheti meg a modern minőségbiztosítás a működési rugalmasságát és hogyan támogathatja a DORA megfelelőségi céljait.
