Apsaugokite savo verslą vykdydami pasirinktinio kodavimo projektus

2019 m. Liepos 19 d. Sutarčių programuotojas Davidas Tinley pripažino save kaltu dėl kaltinimų, kad jis tyčia sugadino „Siemens Corporation“ priklausančius kompiuterius. Remiantis byloje pateiktais dokumentais, Tinley Monroeville mieste, Pensilvanijoje, į „Siemens“ kuriamą kodą įdėjo logines bombas. Tos loginės bombos, kurios buvo kodo sekcijos, buvo skirtos sukurti sutrikimus savaites ar mėnesius po projekto pabaigos, buvo skirtos užtikrinti, kad „Tinsley“ nuolat gautų pajamų iš to, kad turėjo išspręsti problemas, kurios buvo laikomos klaidomis. Kai jam buvo paskambinta išspręsti problemą, Tinsley tiesiog pakeitė loginės bombos datą, kad vėliau ji vėl užges.

Galiausiai buvo pakviestas kitas programuotojas, kuris pataisė Tinsley kodą, kai jis atostogavo, ir būtent tada sklypas buvo atidengtas. 62-erių Tinsley prieš sugaudamas „Siemens“ dirbo maždaug 12 metų, tačiau per tą laiką jis niekada nebuvo įtariamas. Nuteisimas numatytas 2019 m. Lapkričio 8 d., O Tinsley galėjo praleisti iki 10 metų kalėjimo ir sumokėti baudas iki 250 000 USD.

Atsarginių kodų nuoma

Taigi, kodėl aš jums visa tai sakau? Galų gale, tikimybė, kad jūs galite pasamdyti programuotoją, sąmoningai įdėjusį logines bombas į jūsų pasirinktinį kodą, nėra puiki. Ir nors šios galimybės nėra lygios nuliui, yra daugybė kitų dalykų, kurie gali suklysti, kai kas nors rašo jūsų organizacijos kodą.

"Kas nutiks, jei tas asmuo paliks ar numirs negyvas?" klausia „Jack Gold“, „J. Gold Associates“ vyriausiasis analitikas. Auksas rodo, kad kai samdote ką nors vystyti, jums visada reikia atsarginės kopijos. Galų gale, pasirinktinis kodas yra jūsų kodas. Nėra trečiosios šalies, į kurią galite kreiptis, jei kas nors nutinka ne taip, nebent jūs to planuojate. Jis taip pat pasiūlė, kad yra keletas kitų veiksmų, kuriuos įmonės turi atlikti, kad apsisaugotų vystymosi proceso metu. Svarbiausias iš jų yra būtinas kodų peržiūra.

„Kodo peržiūra yra tikriausiai geriausias būdas sužinoti, kas yra jūsų kode“, - teigė „Camden Associates“ vyriausiasis analitikas Alanas Zeichickas, „apimantis tokius dalykus kaip loginės bombos, saugumo spragos ar kvailos klaidos“.

„Yra ir kitų priežasčių atlikti kodų peržiūras“, - pridūrė Zeichickas. "Tai padeda jūsų plėtros komandai geriau suprasti, kaip vystymasis, padeda jaunesniems programuotojams geriau suprasti. Kodų apžvalgos taip pat yra naudingos komandos vadovui, kuris supranta vystymo komandos kokybę ir įvertina, kiek laiko reikės atlikti darbą.

Kodo apžvalgų atlikimas

Zeichickas teigė, kad yra keletas būdų, kaip atlikti kodų apžvalgas. "Jūs galite turėti komandą, kurioje dirba du žmonės, arba galite susitikti konferencijų salėje, kad peržiūrėtumėte kodą."

Komandos, kuriose kiekvienas narys peržiūri kažkieno kodą, populiarėja, nes programuotojams sunkiau rasti. Didesnėse organizacijose periodiniai susitikimai, skirti peržiūrėti kodą, vis dar yra naudingi, nes tada peržiūros procese gali padėti keli žvilgsniai. Zeichickas teigė, kad net ir vyresnio amžiaus programuotojams jų kodas turėtų būti peržiūrėtas.

Taigi, kodėl „Siemens“ leido „Tinley“ eiti visus tuos metus be kodų peržiūros? Pasak advokato komentarų teismo proceso metu, Tinley laikė jo kodą patentuotu ir pasinaudojo tuo kaip pasiteisinimu, kad jo kodeksas nebūtų peržiūrėtas.

Kodėl taip buvo leista atsitikti, neaišku, tačiau tiek Zeichickas, tiek Goldas pabrėžia, kad reikalavimas atlikti kodų peržiūras turėtų būti bet kokio verslo ir nepriklausomo programavimo susitarimo dalis. „Gold“ siūlo, kad sutartyje būtų ne tik minimos kodų peržiūros, bet nurodoma, kaip ir kada jos vyksta.

Zeichickas pažymėjo, kad kai kurios didelės plėtros parduotuvės gali pačios peržiūrėti kodą, kuris, jo teigimu, yra prasmingas. „Geriausi žmonės, kurie peržiūri kodą, yra kūrimo komandos nariai“, - sakė jis.

Venkite kenkėjiškų kodų

Kodo apžvalgos buvo beveik amžinai. Kai aš vadovavau didelėms vyriausybės įstaigoms skirtų programuotojų komandai, kiekvieną penktadienio popietę eidavome į minčių planus. Nors buvo nuobodus, dažnai rasdavome nepastebėjimų, klaidų, netinkamų nuorodų ar kitų kodavimo klaidų. Tiesą sakant, visi mes darome klaidų, o protinga peržiūra visiems daro kodą geresnį.

Deja, programuotojai kartais piktinasi kodų apžvalgomis, manydami, kad jie eikvoja laiką. Kiti sako, kad nenori, kad žmonės atspėtų savo kodą. Bet faktas, kad atsisakymas leisti peržiūrėti kodą, turėtų būti raudona vėliava. Jei mokate už tai, kad kodas būtų parašytas, jūsų sutartyje gali būti pagrįstas reikalavimas peržiūrėti. Atsisakymas tai padaryti yra atleidimo priežastis.

Deja, šiais laikais sunku rasti gerus programuotojus. Paklausa yra didelė, ir kai kuriais atvejais sutarčių programuotojai mano, kad jie gali nurodyti, kad jie neprivalo persvarstyti savo kodo, net jei jų kontaktai sako, kad taip bus.

Geriausias būdas išvengti tokių problemų yra pirmiausia paprašyti ir paskambinti ankstesnio darbo nuorodos. Antra, vykdykite pirmosios dienos kodų apžvalgas. Tokiu būdu jie tampa įpročiu, o programuotojai, atsisako apžvalgų, gali būti atleisti iškart, prieš tapdami kritiškais kūrimo procesui.

• Ką daryti, kai buvai nulaužtas Ką daryti, kai buvai nulaužtas
• 6 Duomenys, kurių nereikia daryti po duomenų pažeidimo
• Floridos miestas sumokės įsilaužėliams 600 000 USD po „Ransomware Attack“ Florida City sumokės 600 000 USD hakeriams po „Ransomware Attack“

Deja, rizika plėtros procese gali būti didžiulė. Auksas pabrėžia, kad neetiškas programuotojas gali įkišti galines duris į jūsų kodą, rasti būdų pavogti jūsų klientų duomenis ar intelektinę nuosavybę arba perduoti kritinius duomenis kitai įmonei ar užsienio galiai.

Tai užkertamas kelias nuolat valdyti, peržiūrėti savo programavimo darbuotojų darbo produktą ir peržiūrėti kodą, prieš jį priimant jūsų kodų valdymo sistemai.