19.5.09

Мифы 37-39

19.5.09  , ,  2 comments
Новая порция мифов:

2 коммент.:

Quiet Zone комментирует...

По поводу веб студий пара мыслей. ИМХО надеяться на профессионализм и порядочность разработчика в любом случае не стОит, он заинтересован, по сути, только в создании функционала и дизайна. Выбирать разработчика по уровню CMMI или по наличию в штате специалиста по механизмам защиты - задча утопическая, это все равно не гарантирует безопасность продукта. Гарантией является только договор. В ТЗ/договоре нужно предусмотреть во-первых механизмы защиты, которые должны быть реализованы в продукте, а во-вторых условие премки продукта по факту тестирования этих механизмов третьей стороной или своими силами (как, кстати и говорят всеразличные ИСО и КОБИТы). Если в штате нет своего спеца по безопасности веб-приложений, можно либо единственный раз привлечь независимого консалтера для разработки стандарта безопасности веб-приложений (заодно и compliance testing тем же MP можно будет унифицировать), либо, как паллиатив, использовать статистику уязвимостей веб-приложений. В общем спасение утопающих - дело рук самих утопающих.

19 мая 2009 г. в 09:49
Анонимный комментирует...

Не стоит сбрасывать со счетов репутационные фильтры. Разрушители мифов. Миф №39.

30 июня 2009 г. в 16:46

Отправить комментарий

Подписаться на: Комментарии к сообщению (Atom)