Helft bedrijven test applicaties met echte klantgegevens
Meer dan de helft van de bedrijven test applicaties die nog in ontwikkeling zijn met echte klantgegevens, zo blijkt uit een onderzoek onder Franse, Duitse, Engelse en Amerikaanse ondernemingen. Hierdoor komt volgens de onderzoekers vertrouwelijke informatie in gevaar, omdat de ontwikkelomgevingen vaak minder veilig zijn dat de productieomgevingen. Een bijkomend probleem is dat de testgegevens worden blootgesteld aan personeel, partners en leveranciers die hier eigenlijk helemaal geen toegang toe zouden moeten hebben.
Zo'n 52% van de ondervraagde bedrijven zegt het testen van applicaties uit te besteden, en 49% deelt live gegevens met deze partijen. In totaal test 62% met echte klantgegevens, 89% gebruikt klantbestanden en 74% gebruikt klantenlijsten. Het gaat dan om informatie als creditcardgegevens, sofi-nummers, rekeningnummers en andere financiële gegevens. De helft van de bedrijven zegt niet te kunnen achterhalen of de gegevens waarmee getest is, ooit gecompromitteerd zijn.
van de onderzochte bedrijven...
Als 62% van de bedrijven zegt met klantgegevens te testen, dan liegt
38%
van de onderzochte bedrijven...
verlicht mij, hoe kom je tot het mooie percentage van 38% dat liegt ?
je kunt prima met echte (ge-anonimiseerde) klantgegevens testen
Als 62% van de bedrijven zegt met klantgegevens te testen, dan liegt
38%
van de onderzochte bedrijven...
verlicht mij, hoe kom je tot het mooie percentage van 38% dat liegt ?
Met alle respect en positief bedoeld:
In mijn optiek kun je makkelijk een diversiteit aan fictieve klantgegevens
automatisch genereren (door van te voren de opbouw van de life data te
analyseren) en deze fictieve data als dit van toepassing en nodig is in een
database van een paar gb pompen voor testdoeleinden.
Met de huidige hardware creeer je dit makkelijk in een dag.
Zo moeilijk is dat toch niet?
Maar als je veilig testen niet als voorwaarde stelt in je project activiteiten
dan gaat dit natuurlijk nooit plaats vinden.
M.a.w. je moet het als serieus aandachtspunt positioneren, doe je het niet
dan zul je al dan niet ook de gevolgen ervaren. (Lees risico wat niet
benoemd is)
Ontwikkelaars zullen dit een serieuze plaats moeten geven. En zeker daar
waar sprake is van enorme hoeveelheden data sprake is, hier
oplossingen voor moeten creeeren om uiteindelijk verantwoordelijk te
testen.
Niettemin is testen een vak apart. En moet binnen een project niet worden
afgedaan met een kopje testen.
M.v.g.
In mijn optiek kun je makkelijk een diversiteit aan fictieve klantgegevens automatisch genereren (door van te voren de opbouw van de life data te analyseren) en deze fictieve data als dit van toepassing en nodig is in een database van een paar gb pompen voor testdoeleinden.
Met de huidige hardware creeer je dit makkelijk in een dag.
Zo moeilijk is dat toch niet?
Leuk ook als je een acceptatie omgeving moet inrichten waar hostnamen en ip adressen hetzelfde zijn als in productie.. Nog leuker wordt het als men er op staat dat ze data van de ene omgeving naar de andere willen kunnen overhevelen...
Probleem is namelijk dat acceptatie tests door de business wordt gedaan en niet door IT'ers. En zie zo'n digibeet maar eens uit te leggen dat het niets uitmaakt.
Productie. En het liefst dan dus 4 omgevingen...
en dan nog met een current en een stable ontwikkelpad
Test, Acceptatie,
Productie. En het liefst dan dus 4 omgevingen...
en dan nog met een current en een stable ontwikkelpad
Maar goed, in de acceptatie en productie omgeving gebruik je
natuurlijk een release (wel security patches, geen
nieuwe/veranderde functionaliteit). Voor ontwikkel en test
zou ik dan wel een stable gebruiken. Current is niet aan de
orde, als je daarmee wil spelen richt je maar een lokale VM
in ;) Dit omdat current regelmatig niet eens compileert of
heel instabiel is..
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
