La circolare 263 di Banca d Italia

Transcript

1 La circolare 263 di Banca d Italia Supporto operativo alla compliance 15 Aprile 2014 Massimo Crubellati CAST Italia m.crubellati@castsoftware.com

2 Il supporto CAST: Titolo V, Capitolo 8, 15 agg. 263 Standard: OMG-CISQ, ISO, OWASP, CWE Sicurezza Affidabilità Efficienza Benchmarking Database Compliance architetturale Misura degli SLA di rischio operativo CAST Misurazione automatica dimensione funzionale Produttività «risk adjusted» Prevenzione «lock-in» fornitori Standard OMG Automated FP CAST Confidential 2

3 I fattori di rischio in un asset software Sicurezza, Affidabilità ed Efficienza I danni economici e reputazionali hanno spesso origine da carenze in uno qualsiasi di questi fattori. La misurazione del rischio ICT deve considerare tutti e tre questi driver Lo standard OMG/CISQ: Evoluzione dello standard ISO verso metriche automaticamente computabili. Incorpora, integra ed estende OWASP, CWE ed IFPUG Adottati da numerosi enti pubblici ed corporate come riferimento normativo CAST Confidential 3

4 Come prevenire i rischi ICT: anticipare è meglio Analisi statica Test Dinamici Real time Sicurezza CAST AIP Sicurezza Penetration test Sicurezza Dispositivi ad hoc Affidabilità CAST AIP Affidabilità Test specifici di affidabilità Affidabilità Infrastrutture in failover Efficienza CAST AIP Efficienza Test di carico Efficienza Infrastrutture scalabili La misurazione sugli asset software dei rischi operativi ad alto impatto va effettuata prima della messa in esercizio delle applicazioni Solamente considerando gli aspetti architetturali degli asset è possibile effettuare valutazioni olistiche dei driver di rischio operativo attraverso l analisi statica del software CAST Confidential

5 Gestione delle esternalizzazioni Risk Acceptance Gate Misurazione SLA sui rischi operativi sugli asset software Verifica della compliance architetturale Misurazione driver di vendor lock-in : Transferability e Maintenability. Mantenimento e recupero della conoscenza sugli asset software Costruzione automatica del metamodello delle applicazioni Supporto all analisi d impatto ed alla stima Creazione di Blueprint architetturali di riferimento Supporto al Fast troubleshooting CAST Confidential 5

6 Controllo dei costi ICT Gli investimenti di ADM Misura automatica della dimensione funzionale degli asset software (OMG/AFP): Basata sul riconoscimento automatico delle transazioni Misurazioni estese all intero portfolio applicativo e ad ogni release Congruenti con i conteggi manuali (IFPUG, FFPA, Cosmic, ) Consistenza nel tempo e ripetibilità Eliminazione dell imprecisione dei conteggi tecnici e della soggettività dei conteggi manuali Risk Adjusted Productivity: Introduzione dei costi nascosti nel modello di calcolo della produttività: Debito Tecnico relativo ai rischi operativi Oggettività sul volume di lavoro dei team (interni/esterni) CAST Confidential 6

7 CAST AIP Application Analytics Dashboard (ID:CIO, PASSWORD:cast) CAST Confidential 7

8 Benchmarking dei rischi applicativi Low risk High risk Low risk Max 3rd Quartile Median 1st Quartile Min FWS NSD High risk TQI Robustness Performance Security Transferability Changeability Min st Quartile Median rd Quartile Benchmark on J2EE cluster 339 applications 103 companies 102,704 KLOC Max CAST Confidential 8

9 Misura del rischio sull intero portfolio applicativo Analisi puntuale di portafogli di centinaia di applicazioni, in poche settimane: Servizio di misurazione in cloud, sicuro e non invasivo ideale per analisi globali Fannie Mae Value at Risk Portfolio Analysis CAST Confidential 9

10 CAST in breve Mission: trasformare lo sviluppo applicativo ed il suo outsourcing in una disciplina industriale e quindi management attraverso la misurazione e la trasparenza. Come: portare visibilità manageriale sui rischi operativi legati agli assetsoftware aziendali e sulla produttività effettiva delle software factory «Thinkglobal / actlocal»: vasta presenza sui mercati globali in Europa, Nord America ed India, costante investimento in R&D per oltre 100 milioni di Euro 250 Leader globali si affidano a CAST SIs I system Resell CAST integrator usano CAST Le istituzioni lavorano con CAST Come i Key Influencer riconoscono CAST CAST is a leader in applying software quality analysis and measurement technology in the IT space. CAST metricshavebecomethe de facto standard for measuring the quality and productivity of application services. CAST Confidential 10

11 Q & A CAST Confidential 11