Все новости от 21 октября 2004 г.

Computer Associates: «Стандарты для пиццы выше, чем для ПО»

На конференции Secure Computing в Лондоне компания Computer Associates обратилась к ИТ-индустрии с призывом повысить качество средств защиты, потребовав от бизнеса, правительства и академического сообщества более серьезного отношения к этой проблеме.

Вице-президент СА по стратегии безопасности Саймон Перри сказал, что поставщики и конечные пользователи должны принять меры к повышению качества программных средств защиты. «Сейчас все мы находимся на бегущей дорожке, — сказал Перри. — И нам нужно переломить ситуацию, прежде чем мы сорвемся. Мы должны изменить подход к разработке своей инфраструктуры. Мы должны понять, что процесс установки патчей порочен. И что мы не прилагаем надлежащих усилий к тому, чтобы требовать качественного и надежного программирования».

Перри добавил, что правительству следует играть более активную роль в контроле качества технологических продуктов: «Органы государственного надзора могут отозвать пиццу, если ее качество недостаточно высокое. Но для ПО программы отзыва не существует. Необходимо лучше отрегулировать эти моменты».

Индустрия средств защиты находится в плачевном состоянии еще и потому, что компании убеждены, будто они делают все возможное для решения проблемы установки патчей, сказал Перри. Но они просто стали быстрее реагировать на уязвимости. «Мы не занимаемся профилактикой. Мы научились лучше предотвращать использование уязвимостей, но это реактивное поведение. Необходимо усовершенствовать саму стратегию».

«Я побывал в одном из ведущих ИТ-университетов Европы, — сказал Перри. — И обнаружил, что там нет ни одного курса лекций по безопасному кодированию. В результате мы имеем индустрию безопасности в том виде, в каком она находится сегодня».

Перри посоветовал участникам конференции перейти от огульного обвинения поставщиков к общеотраслевому решению: «Дело не в том, чтобы побить ближайшего к вам поставщика. Все мы внесли в это свой вклад, и теперь нужно менять подход к оценке успешности проектов. Сейчас вознаграждение платят, исходя из сроков разработки и затрат, а не безопасности полученного кода». 

 Предыдущие публикации:

Обсуждение и комментарии

	Михаил Елашкин - imhoelashkin.com 21 Oct 2004 11:41 AM
Как страшно! :) А на самом деле его выступление означает только одно - срочно купите наши продукты, мы саааамые безопасные, мы бьем в барабаны!
	Mark 21 Oct 2004 8:09 PM
а этому любителю погорячее не приходило в голову, что вопросы безопасного кодирования являются неотъемлемой частью вузовского курса программирования и не выделяются в отдельный курс. кроме того я убежден, что если была бы возможность пачить пицу то пачили бы только треск бы стоял.
	Dude 21 Oct 2004 9:16 PM
Computer Associates - очень, очень, очень плохая, управляемая безмозглыми индусами, контора. Продукты хуже, чем у СА, можно найти только у BEA, и прочих засранцев, присосавшихся к корпоративному сегменту.
	СтранниК 22 Oct 2004 10:32 AM
2Михаил В этом случае да. А вообще производители ПО в качестве стабильного релиза все чаще и чаще выпускают откровенный хлам, а сразу стараются отказаться от подержки предыдущего релиза и в этом случае хоть вешайся.
	СтранниК 22 Oct 2004 10:32 AM
Так что проблемы есть, если не сказать хужей.
	none 22 Oct 2004 1:20 PM
у меня через шлюз успевают проскочить вирусы до того как апдейт на их базы состряпают :) - а туда же пугають :) ПС: индусов в ИТ убивать надо - достали, сил нет :), тупее и наглее я не встречал.
	{8BE99A4D-4985-4C07-9F1C-3CD50AF72DFC} 22 Oct 2004 1:59 PM
2 none ты eTrust EZ antivir имеещь ввиду? Он вирусы-то находит?
	Black Bat 23 Oct 2004 1:23 AM
у меня сегодня этот eTrust удалил в реальном времени кучу каких то троянов пока я лазал по всяким сомнительным сайтов
	Ender 23 Oct 2004 3:05 PM
2Михаил Елашкин: "А на самом деле его выступление означает только одно - срочно купите наши продукты, мы саааамые безопасные, мы бьем в барабаны!" У многих подобные скептические настроения держатся ровно до первого хакера, который залез в систему и повел себя как слон в посудной лавке, или до первой потери данных/сбоя с ущербом выражающимся цифрой с пятью...шестью нулями. Понятно, себя не похвалишь, ходишь как обос....ый, но в целом мысли CA верны, независимо от их интересов. 2Mark: "а этому любителю погорячее не приходило в голову, что вопросы безопасного кодирования являются неотъемлемой частью вузовского курса программирования и не выделяются в отдельный курс." Сейчас в вузах уровень преподавания программирования (даже на специальностях связанных с информатикой) крайне низок. Да там дается программирование, но до написанию действительно качественных и безопасных программ там не обучают, ни в отдельном курсе, ни как часть основого курса. 2СтранниК: "А вообще производители ПО в качестве стабильного релиза все чаще и чаще выпускают откровенный хлам, а сразу стараются отказаться от подержки предыдущего релиза и в этом случае хоть вешайся." В этом есть куча плюсов! 0. Пользователю любой продукт нужен обычно "вчера". Дай ему глюкавый релиз, но не совсем уж дерьмо, которое валится при каждом чихе, и он будет доволен. 1. Продукт выпускается раньше чем у конкурентов, т.е. база пользователей будет более широкая чем могла-бы быть в случае "еще пары месяцев на тестирование". 2. Выпуская сырой релиз, производитель получает офигенную базу бетатестеров которые всяко придут с багрепортами. 3. Выпуск патчей и раздача их только зарегистрированным пользователям позволяет отсечь тех кто успели спиратить первоначальный продукт, а так-же оправдать тот самый "саппорт" который пользователь получает, приобретая лицензионный софт. Для производителя сплошные плюсы.
	73137 23 Oct 2004 6:02 PM
2 none Я тебе объясню, почему индусы такие тупые. Потому что они вегетарианцы. Вегетарианство приводит к снижению умственных способностей и подавляет силу воли (вот поэтому они в большинстве случаев пишут то, что дядя скажет). Если бы индусы поголовно жрали мясо, они бы и кастовую систему скинули нах, и Китай заткнули за пояс, построив реально работающий социализм. А так - комплекс жертвы, вечное смирение с обстоятельствами. И главное - кому-то очень выгодно иметь под рукой миллиард овец, 180 миллионов из которых - вообще лишенные всяких прав "неприкасаемые". Не зря говорят, что религия - опиум для народа. Поэтому нужно гнать кришнаитов из наших городов.
	СтранниК 25 Oct 2004 3:21 PM
2Ender Для производителя ДА! Вот только я как потребитель остаюсь не удовлетворенным, потому как только произвоидитель заткнет более или менее значимые дырки уже поря переходить на новый релиз и опять все с начала.