Аудит ПО: что показывает обзор приложения
Если бизнес-приложению уже несколько лет, у вас, скорее всего, есть один вопрос: стоит ли развивать его дальше или пора строить что-то новое? По этому вопросу часто принимаются решения на десятки тысяч евро, хотя никто даже не заглянул в код.
Аудит ПО — это то, что должно предшествовать решению. Это не разработка и не исправление, а независимый обзор того, в каком состоянии приложение и что с ним разумно делать.
Когда нужен обзор
- Разработчик или агентство ушли, и никто точно не знает, как работает система. Об этой ситуации подробнее в статье разработчик ушёл: что будет с вашей программой?
- Добавление новых функций стало медленным и дорогим.
- У вас есть предложение переписать приложение, и вы хотите понять, действительно ли это нужно.
- Фреймворк или сервер больше не поддерживаются, и обновления безопасности не выходят.
- Вы планируете продать приложение, показать его инвестору или передать новой команде.
Что входит в обзор
1. Обзор кода и компонентов. Из чего состоит приложение: язык программирования, фреймворки и их версии, база данных, внешние библиотеки и сервисы. Какие из них устарели, какие не поддерживаются и в каких есть известные уязвимости.
2. Карта рисков безопасности. Доступы, хранение паролей, устаревшие зависимости, настройка сервера. Проблемы безопасности идут в списке первыми, потому что они не ждут.
3. Карта технического долга. Где есть скопированный код, нет тестов, есть незадокументированная логика и места, к которым никто не решается прикоснуться. Что это такое и почему это стоит денег, подробно описано в статье технический долг.
4. Инфраструктура. Где работает приложение, делаются ли резервные копии и восстанавливали ли их хоть раз. Часто выясняется, что настройка сервера задокументирована так же плохо, как код.
5. Поэтапный план. Что сделать сразу, что в ближайшие полгода и что может подождать. У каждого шага указаны влияние, риск и ориентировочный объём работы.
6. Честная оценка. Обновлять или делать заново. Если существующая система настолько старая, что построить с нуля дешевле, я скажу это прямо.
Чем обзор не является
Обзор — это не разработка. В его ходе не меняются ни код, ни сервер, только изучаются и записываются. Это осознанный выбор: оценка должна оставаться независимой от того, кто потом будет делать работу. С планом можно пойти к любому разработчику.
Обзор — это и не формальный аудит безопасности для сертификата. Если нужно соответствие какому-либо стандарту, это отдельная работа.
Что нужно до обзора
- Доступ к репозиторию кода (GitHub, GitLab или другой) или копия кода.
- Доступ к серверу или хостингу, где работает приложение, хотя бы на чтение.
- Короткое описание того, что делает приложение и кто им пользуется.
- Если есть: старая документация, список ошибок, прежние предложения.
Если каких-то доступов нет, это уже первая находка. В ходе обзора помогу выяснить, как их вернуть.
Сколько стоит обзор
Обзор приложения вместе с планом модернизации — от 390 евро. Точная цена зависит от размера приложения и от того, сколько отдельных систем связаны между собой. После обзора модернизацию можно делать по этапам, и цена каждого этапа известна до начала работы. Пакеты указаны на странице цен.
Итог
Обзор — самый дешёвый шаг, который можно сделать со старым приложением. Он отвечает на вопрос «обновлять или делать заново» на основе фактов, а не ощущений, и даёт вам план, с которым можно двигаться дальше.
Посмотрите, как я занимаюсь модернизацией и развитием ПО, или закажите обзор. Опишите в паре предложений, о каком приложении идёт речь.
