Kyberturvallisuus ketterässä ohjelmistokehityksessä

Abstract

Perinteisten ja lineaarisesti etenevien ohjelmistotuotannon menetelmien tilalle on noussut valtava valikoima ketteriä ohjelmistokehityksen menetelmiä. Ketterien menetelmien etuja ovat niiden jatkuva asiakaslähtöisyys, kyky reagoida muutokseen nopeasti sekä läpi projektin tapahtuva jatkuva arvon tuottaminen asiakkaalle. Ohjelmistoalan jatkuvasti muuttuvassa ja epävakaassa toimintaympäristössä tämän on todettu antavan huomattavaa kilpailuetua sopeutumiskykynsä ansiosta. Teknologian räjähdysmäinen kehitys on siirtänyt kuluttajia ja palveluita nopealla tahdilla verkkoon, mikä on lisännyt jopa kriittisen infrastruktuurin riippuvuutta verkosta. Nopeasti digitaalinen siirtymä on johtanut tilanteeseen, missä kyberturvallisuuteen liittyvät tapahtumat koskettavat yhä suurempaa joukkoa ihmisistä. Tässä tutkimuksessa on tarkoitus tutkia, miksi kyberturvallisuuden ja ketterän ohjelmistokehityksen yhdistäminen on haastavaa ja miten kyseiset haasteet voidaan ratkaista. Tutkimus on suoritettu kirjallisuuskatsauksena ja tutkimusaineistona on käytetty pääasiassa tieteellisiä artikkeleita, konferenssijulkaisuja sekä alan kirjallisuutta. Aluksi tutkimuksen teoriaosassa selvitetään mitä on kyberturvallisuus, tietoturvallisuus sekä riski ja riskien hallinta. Tämän jälkeen käydään läpi ketterän ohjelmistokehityksen pääpiirteet. Teoriaosan käsitteiden avaamiseen on käytetty myös useita verkkojulkaisuja. Teoriaosan jälkeen tuloksissa vastataan ensin siihen, miksi kyberturvallisuuden ja ketterän ohjelmistokehityksen yhdistäminen on haastavaa. Tämän jälkeen esitellään potentiaaliset ratkaisut tutkimuksen tärkeimpään tutkimuskysymykseen: ”Miten huomioida kyberturvallisuus ketterässä ohjelmistokehityksessä?”. Tutkimuksessa havaittiin, että suurimmat ongelmat johtuvat kyberturvallisuuden prosessien ja käytänteiden muuntamisesta ketterään ohjelmistokehitykseen sopiviksi. Tämän lisäksi osa ketteristä ohjelmistotuotannon menetelmistä painottaa niin vahvasti uuden ohjelmiston kehitystä ja asiakkaalle uuden toiminnallisuuden toimittamista, että turvallisuusajattelulle ei välttämättä jää tilaa. Tutkimuksen tuloksena on tästä huolimatta löydetty useita ratkaisuja yhdistämisen onnistumiseksi ja ratkaisut on jaettu neljään kategoriaan. Kategoriat ovat henkilöstön turvallisuusvalmiuden kehittäminen, turvallisuuden vaatimusmenettelyn kehittäminen, turvallisen ohjelmiston muotoilu ja suunnittelu sekä turvallinen ohjelmiston toteutus ja testaus. Kategoriat linkittyvät vahvasti toisiinsa ja parhaaseen lopputulokseen päästään, jos kaikki neljä kategoriaa otetaan huomioon.