Aplikace „hotová a v provozu". Bezpečná jen pro slušné uživatele.
Klient si nechal externě vyvinout aplikaci pro plánování směn a schvalování mzdových záloh, napojenou přímo na mzdový systém. Před převzetím do produkce chtěl jediné: žádné dojmy — posoudit dodávku nad zdrojovým kódem, produkčními daty a předávací dokumentací, každé zjištění doložit konkrétním místem.
Co audit odkryl
Stejná zásada jako u prověrek před akvizicí: každé zjištění dohledatelné do konkrétního místa v kódu nebo datech, každý odhad označený jako odhad — a překlad do jazyka, kterému rozumí i netechnický kupující.
- Server neověřoval identitu u žádného z 35 přístupových bodů — kdokoli mohl číst i měnit mzdová a osobní data všech zaměstnanců
- Limity mzdových záloh hlídal jen prohlížeč; server přijal libovolnou částku od kohokoli — přímá cesta k odklonění peněz zaměstnavatele
- V kódu viditelném každému v prohlížeči byly natvrdo zapsané dva administrátorské účty
- Databáze běžela na osobním účtu vývojáře se slabým slovníkovým heslem — klient mohl kdykoli ztratit přístup k vlastním datům
Detail, který rozhodl
Aplikace na obrazovce poctivě hlídala výši, četnost i termín záloh — ale stejné pravidlo na serveru neexistovalo. Pravidla platila jen pro slušné uživatele. A zhotovitel sám v předávací dokumentaci přiznával dvě kritické vady jako neodstraněné.
Výsledek
Náklady na uvedení do bezpečně provozovatelného stavu vyšly na 1,3× až 2,8× ceny dodávky. Audit se stal důkazním podkladem pro odstoupení od smlouvy a žádost o vrácení uhrazené ceny — fakta, která žádná prezentace dodavatele nepřebije.
Co tvrdil zhotovitel — a co doložila data
Doporučení pro firmy přebírající software
- Nepřebírejte dodávku bez pohledu do kódu — klikání po aplikaci bezpečnost neprokáže
- Co hlídá jen prohlížeč, nehlídá nic — pravidla musí vynucovat server
- První otázka zní: na čích účtech běží databáze a produkční prostředí
- Chtějte předávací dokumentaci — vady přiznané zhotovitelem jsou nejsilnější důkaz
- Náklad na nápravu je součást ceny; „hotová aplikace" za 1,3–2,8× ceny navíc hotová není
- Audit objednejte před převzetím, ne po něm — pak je to podklad k jednání, ne jen k lítosti
Realizováno ve skupině VOTOCHECK