SonarQube - Cikkek

Hogyan értelmezzék a 2023.évi XXIII. törvényt a szoftverfejlesztő cégek?

2023.09.12

1. Amennyiben a szoftverfejlesztő cég középvállalkozás vagy annál nagyobb akkor egyértelműen a törvény hatálya alá tartozik.

A törvény kiemelten kockázatos ágazatnak minősíti a kihelyezett IKT szolgáltatásokat

kihelyezett (irányított) infokommunikációs szolgáltatást nyújtó szolgáltató: olyan szervezet, amely az IKT-termék, hálózat, infrastruktúra, alkalmazás vagy bármely más elektronikus információs rendszer telepítésével, kezelésével, üzemeltetésével vagy karbantartásával kapcsolatos szolgáltatásokat nyújt a szolgáltatást igénybe vevő telephelyén vagy távolról

2. Amennyiben mikro vagy kisvállalkozás „csak” közvetetten tartozik a törvény hatálya alá.

2.1. Az ügyfele, akinek szoftvert fejleszt/szolgáltat a törvény hatálya alá tartozik, mert a meghatározott ágazathoz tartozik és nem mikro vagy kisvállalkozás.

2.2. Az ügyfele, akinek szoftvert fejleszt/szolgáltat a törvény hatálya alá tartozik, mert mikro és kisvállalkozás, de a szervezet

- elektronikus hírközlési szolgáltató,
- bizalmi szolgáltató,
- DNS-szolgáltatást nyújtó szolgáltató,
- legfelső szintű domainnév-nyilvántartó vagy
- domainnév-regisztrációt végző szolgáltató

3. Mit kell tennie, ha közvetlenül vonatkozik rá a törvény hatálya?

információbiztonsági irányítási rendszert kell kialakítaniuk;
elektronikus biztonságért felelős személyt kell kijelölniük
el kell végezniük az elektronikus információs rendszerek és az azokban kezelt adatok kockázatelemzését;
biztonsági osztályba kell sorolniuk az elektronikus információs rendszereit és az azokban kezelt adatokat;
meg kell valósítaniuk az irányadó biztonsági osztályokra előírt adminisztratív, fizikai és logikai védelmi intézkedéseket,
2 évente auditáltatni kell a rendszereit.

A szervezeteknek gondoskodniuk kell:

a biztonsági események kezeléséről;
az üzletmenet folytonosság megteremtetésről és fenntartásáról;
az információbiztonság beépítéséről az elektronikus információs rendszerek és az ezek által használt szoftver és hardver termékek beszerzési, fejlesztési és üzemeltetési folyamataiban;
a szervezet munkatársainak biztonsági képzéséről

4. Időrendben, hogyan is néz ki ez pontosan?

Azonosítania kell saját magát, hogy a törvény hatálya vonatkozik rá és 2024.06.30-ig Szabályozott Tevékenységek Felügyeleti Hatóságának jeleznie kell ezt a tényt, hogy nyilvántartásba vegyék.
2024. októberétől fizetnie kell a felügyeleti díjat a Szabályozott Tevékenységek Felügyeleti Hatóságának.
2024. októberétől aktiválnia kell a védelmi intézkedéseket.
2024.12.31-ig le kell szerződnie olyan audit céggel, aki a Szabályozott Tevékenységek Felügyeleti Hatóságának nyilvántartásában szerepel.
2025.12.31-ig az első auditot le is kell folytatnia

5. Mi a teendő, ha a szoftverfejlesztő cég ügyfelére is vonatkozik a törvény hatálya?

A szoftverfejlesztő cég által fejlesztett, rendelkezésre bocsátott ITK terméknek illeszkednie kell a nemzeti kiberbiztonsági tanúsítási rendszerekhez, amely az IKT-termékekre az „alap”, a „jelentős” és a „magas” megbízhatósági szintek közül egy vagy több szintet határozhatnak meg. A megbízhatósági szint arra vonatkozóan szolgál biztosítékkal, hogy az adott IKT-termékek teljesítik a vonatkozó biztonsági követelményeket, biztonsági funkciókat és olyan szintű értékelésen estek át, amely

„alap” megbízhatósági szinten a biztonsági eseményekkel és támadásokkal kapcsolatos alapvető, ismert kockázatok,
„jelentős” megbízhatósági szinten az ismert kiberbiztonsági kockázatok, valamint a korlátozott szakértelemmel és erőforrásokkal rendelkező elkövetők által végrehajtott biztonsági események és kiberbiztonsági támadások kockázatának,
„magas” megbízhatósági szinten a jelentős szakértelemmel és erőforrásokkal rendelkező elkövetők által, a tudomány legutolsó állása szerinti technológiával végrehajtott kibertámadások kockázatának minimalizálására törekszik.

A megbízhatósági szintnek a biztonsági események valószínűsége és hatása szempontjából arányban kell állnia az IKT-termék rendeltetés szerinti használatához kapcsolódó kockázat szintjével.

Összegezve az ügyfele befogja sorolni az IKT terméket, az „alap”, „jelentős” vagy „magas” biztonsági szint „alá”

6. Mik az általános követelmények az „alap”, „jelentős” vagy „magas” biztonsági szinthez kapcsolódóan?

„alap” megbízhatósági szint esetén

a műszaki dokumentáció (az adott tanúsítási rendszer elvárásainak teljesítése szempontjából)

„jelentős” megbízhatósági szint esetén

a műszaki dokumentáció (az adott tanúsítási rendszer elvárásainak teljesítése szempontjából)
a közismert sebezhetőségek hiányának megállapítása;
annak megállapítására szolgáló tesztelést, hogy az IKT-termék megfelelően működteti-e a szükséges biztonsági funkciókat

„magas” megbízhatósági szint esetén

a műszaki dokumentáció (az adott tanúsítási rendszer elvárásainak teljesítése szempontjából)
a közismert sebezhetőségek hiányának megállapítása;
annak megállapítására szolgáló tesztelést, hogy az IKT-termék megfelelően, a legfejlettebb technika szerint működteti-e a szükséges biztonsági funkciókat működteti-e a szükséges biztonsági funkciókat
behatolásvizsgálatok révén annak értékelését, hogy az mennyire ellenálló a jól képzett elkövetők által végrehajtott támadásokkal szemben.

7. Hogyan lehet igazolni, hogy az IKT-termék megfelel az „alap” biztonsági szinthez támasztott követelményeknek?

„Alap” biztonsági szint esetén alacsony kockázat alá besorolt IKT-termék esetén van lehetőség a Megfelelőségi önértékelésre
A gyártó nemzeti megfelelőségi nyilatkozatot állít ki arról, hogy megtörtént annak vizsgálata, hogy a nemzeti kiberbiztonsági tanúsítási rendszer követelményei teljesülnek. A vizsgálatnak tartalmaznia kell a nemzeti kiberbiztonsági tanúsítási rendszer követelményei teljesülésének a tanúsítási rendszerben meghatározott módszertan szerinti értékelését. A megfelelőségi nyilatkozatot 15 napon belül, nyilvántartásba vétel céljából – elektronikusan kereshető formában is – meg kell küldeni a tanúsító hatóság (Szabályozott Tevékenységek Felügyeleti Hatóság) részére

a megfelelőségi nyilatkozat másolati példányát,
a műszaki dokumentációt, a nemzeti kiberbiztonsági
tanúsítási rendszerben meghatározott értékelési módszer alapján elkészített értékelési jelentést a megjelölt tanúsítási rendszernek való megfeleléssel kapcsolatos összes egyéb lényeges értékelési információt.

A nyilvántartásba vétel alapján a Hatóság ellenőrzi a nyilatkozatnak való megfelelést

8. Hogyan tud a Szitár-Net Kft. segítséget nyújtani a megfelelőségi önértékelés elvégzésében?

Cégünk a Szitár-Net Kft. Magyarországon egyedüli SVAR (kiemelt technikai támogató partner) minősítéssel rendelkezik a legismertebb forráskódelemző rendszer a SonarQube vonatkozásában. Több, mint 5 éve foglalkozunk forráskódelemzéssel és tanácsadói segítséget tudunk nyújtani a vizsgálandó rendszer megfelelőségi önértékelésével kapcsolatban.

9. Hogyan lehet igazolni, hogy az IKT-termék megfelel a „jelentős” és ”magas” biztonsági szinthez támasztott követelményeknek?

A „jelentős” és a „magas” biztonsági szinthez támasztott követelményeknek való megfelelést csak a Szabályozott Tevékenységek Felügyeleti Hatóságának nyilvántartásába felvett megfelelőségértékelő szervezetek igazolhatnak.

Jelenleg nyilvántartásban szereplő megfelelőségértékelő szervezet:

HUNGUARD Számítástechnikai-, informatikai kutató - fejlesztő és általános szolgáltató Korlátolt Felelősségű Társaság

Megbízhatósági szint: Magas
Státusz: Aktív

10. Hogyan tud a Szitár-Net Kft. segítséget nyújtani a „jelentős” és ”magas” biztonsági szinthez támasztott követelményeknek való megfelelésben?

A megfelelőségértékelő szervezetek vizsgálati metodikájában is az egyik legfontosabb pont a forráskódelemzés és az ehhez kapcsolódó kiberbiztonsági aspektusok.

Statikus és dinamikus forráskódelemzés a szoftverfejlesztésben: Melyiket mikor és miért?

2023.09.12

A szoftverfejlesztés egy komplex és kihívást jelentő folyamat, amely során a fejlesztőknek számos szempontot kell figyelembe venniük a minőség, a hatékonyság és a biztonság érdekében. Két olyan fontos technika, amelyek segíthetnek a kódminőség javításában és a hibák korai azonosításában, a statikus és a dinamikus forráskódelemzés. Ebben a cikkben mélyebben megvizsgáljuk mindkét típusú forráskódelemzést, és példákon keresztül illusztráljuk, mikor és miért érdemes alkalmazni ezeket.

1. Statikus Forráskódelemzés

A statikus forráskódelemzés egy olyan technika, amely során a kódot elemzik anélkül, hogy azt ténylegesen futtatnák. Ennek lényege az, hogy a kódot egy speciális szoftver vagy eszköz segítségével alaposan átvizsgálják, és észlelik a lehetséges hibákat, problémákat, illetve a kódminőséget érintő kérdéseket. A statikus elemzés során a következő aspektusokat vizsgálhatjuk meg:

Szintaktikai hibák

Egyik legfontosabb szerepe a szintaktikai hibák azonosítása, amelyek alapvetően érvénytelen kódot jelentenek, és a program futását megakadályozhatják. Például:

python
for i in range(10)					
	print(i)

Ebben a Python kódban hiányzik a kettőspont a ciklus befejezése előtt, ami egy szintaktikai hiba.

Logikai hibák

A statikus elemzés képes azonosítani olyan logikai hibákat is, amelyek nem feltétlenül vezetnek hibaüzenetekhez, de helytelen viselkedést okozhatnak. Például:

c

int x = 5;

if (x > 10) {

printf("x nagyobb, mint 10");

} else {

printf("x kisebb vagy egyenlő, mint 10");

}

Ebben a C kódban a logikai hiba az, hogy az üzenetekben a relációs operátor helytelenül van megfogalmazva, mivel x nem nagyobb, mint 10, de az üzenet azt mondja, hogy "x nagyobb, mint 10".

Kódstílus és formázás

A statikus elemzés segíthet azonosítani a kódstílus és formázás szabályainak megsértéseit. Például:

java

public void MyMethod(){

int x=5;

if(x>0)

{

System.out.println("x pozitív");

}

}

Ebben a Java kódban a kódstílus és formázás szabályai nem követik a szokásos konvenciókat, például a metódusnevet kisbetűvel kellene kezdeni, a változók között szóközöknek kell lenniük, és a kapcsos zárójelek helytelenül vannak formázva.

2. Dinamikus Forráskódelemzés

A dinamikus forráskódelemzés egy másik megközelítés, amely során a kódot ténylegesen futtatják, és figyelik a futási időben történő viselkedését. A dinamikus elemzés lehetővé teszi a következők vizsgálatát:

Változóértékek és működés

A dinamikus elemzés során figyelemmel kísérhetjük a változók értékeit és a program működését futási időben. Például:

python

def divide(x, y):

result = x / y

return result

result = divide(10, 2)

Ebben a Python kódban a dinamikus elemzés segíthet azonosítani, hogy a változók értékei és a műveletek helyesen működnek-e, például a "result" változóban a helyes eredmény van-e.

Teljesítmény és erőforrás-használat

A dinamikus elemzés lehetővé teszi a program teljesítményének és az erőforrások (memória, CPU stb.) használatának monitorozását. Például:

c++

int main() {

int* arr = new int[1000000];

// ...

delete[] arr;

return 0;

}

Ebben a C++ kódban a dinamikus elemzés segíthet azonosítani a memória szivárgását, mivel a "delete[]" művelet hiányzik, és a lefoglalt memóriát nem szabadítjuk fel.

Hibakeresés és kivételek

A dinamikus elemzés lehetővé teszi a hibák és kivételek monitorozását, ami segít a hibakeresésben és a program stabilitásának javításában. Például:

java

public static void main(String[] args) {

int[] arr = {1, 2, 3};

System.out.println(arr[3]);

}

Ebben a Java kódban a dinamikus elemzés jelzi, hogy túlindexelési hiba történt, amikor az arr tömb negyedik elemét próbáljuk megjeleníteni.

3. Statikus és dinamikus elemzés: Mikor és miért használjuk őket?

Mind a statikus, mind a dinamikus forráskódelemzésnek megvan a saját helye és szerepe a szoftverfejlesztésben. Általános iránymutatásként a következőképpen alkalmazzuk őket:

Statikus Elemzés: Általában a fejlesztési folyamat korai szakaszában használják, hogy azonosítsák a szintaktikai hibákat, a kódstílus és formázás szabályok megsértéseit, valamint a lehetséges logikai hibákat. Segít a kód minőségének javításában és a korai hibák azonosításában.
Dinamikus Elemzés: A dinamikus elemzés inkább a futási időben történő viselkedés és teljesítmény figyelésére szolgál. Használjuk a kód biztonságának és stabilitásának ellenőrzésére, valamint a teljesítményproblémák és memória szivárgások azonosítására.

Példa arra, mikor érdemes mindkét elemzési módszert alkalmazni: Tegyük fel, hogy egy webalkalmazást fejlesztünk, amelynek adatait egy adatbázisból olvassa be. A statikus elemzés segíthet azonosítani a szintaktikai hibákat és a kódban lévő SQL-injekció potenciális veszélyeit. Ugyanakkor a dinamikus elemzés során figyeljük a kódot a futási időben, hogy megbizonyosodjunk a megfelelő működéséről és a memória hatékony használatáról.

4. Összegzés

A statikus és dinamikus forráskódelemzés két különböző, de kiegészítő technika a szoftverminőség javításához és a hibák korai azonosításához. Az egyik a kódra összpontosít a fejlesztés során, míg a másik a futási időben figyeli a program viselkedését. Mindkét módszert érdemes alkalmazni, a projekt és a hibák jellegétől függően, hogy a lehető legjobb minőségű és biztonságos szoftvert hozzuk létre.