Ngay cả ngày nay, các phương pháp để đảm bảo chất lượng phần mềm vẫn thường không được nhiều người quản lí dự án hiểu rõ. Đảm bảo chất lượng phần mềm yêu cầu rằng tri thức và kỉ luật kĩ nghệ phải được áp dụng trong MỌI pha của vòng đời phát triển, KHÔNG phải là những pha cuối cùng của kiểm thử hay đưa ra như nhiều người vẫn hiểu lầm. Người kĩ sư đảm bảo chất lượng phần mềm được yêu cầu có nhiều năm phát triển phần mềm và tri thức miền đủ để đánh giá tính đầy đủ và tính đúng đắn của yêu cầu hệ thống, và họ phải có khả năng xác định liệu thiết kế có tổ hợp mọi yêu cầu một cách chính xác không. Cuối cùng, người kĩ sư SQA chịu trách nhiệm về quản lí thông báo liệu sản phẩm phần mềm có tin cậy không và có đáp ứng chuẩn chất lượng không. Với loại công việc này, người kĩ sư SQA phải là người có kinh nghiệm nhất trong tổ chức. Họ phải làm việc như người phát triển phần mềm trong nhiều năm và đi lên người lãnh đạo kĩ thuật hay kiến trúc sư và thực hiện công việc này trong nhiều năm trước khi trở thành kĩ sư SQA.
Cuốn “Sổ tay của Đảm bảo chất lượng phần mềm,” định nghĩa SQA là: “Tập các hoạt động có hệ thống cung cấp bằng chứng về khả năng của qui trình phần mềm tạo ra sản phẩm phần mềm khớp với việc sử dụng. Do đó hội tụ của SQA là giám sát liên tục trong toàn thể vòng đời phát triển phần mềm để đảm bảo chất lượng của sản phẩm được chuyển giao. Điều này yêu cầu giám sát cả qui trình và sản phẩm. Trong đảm bảo qui trình, SQA cung cấp việc quản lí với phản hồi khách quan liên quan tới tuân thủ các kế hoạch, thủ tục, chuẩn và phân tích đã được chấp thuận. Các hoạt động đảm bảo sản phẩm hội tụ vào mức độ thay đổi của chất lượng sản phẩm bên trong từng pha của vòng đời, như yêu cầu, thiết kế, viết mã và kế hoạch kiểm thử. Mục tiêu là nhận diện và khử bỏ khiếm khuyết trong toàn bộ vòng đời sớm nhất có thể được, do vậy giảm chi phí kiểm thử và bảo trì.
Viện các kĩ sư điện và điện tử (IEEE) định nghĩa chất lượng là “mức độ mà hệ thống, cấu phần, hay qui trình đáp ứng cho các yêu cầu xác định, và nhu cầu hay mong đợi của khách hàng hay người dùng.” Trong khi định nghĩa này dường như rõ ràng và không mơ hồ, nhiều người quản lí phần mềm vẫn phàn nàn rằng chất lượng là “khó định nghĩa, không thể đo được, khó nhận ra” và do đó bỏ qua nó. Sau đây là định nghĩa chi tiết khác về chất lượng phần mềm như được định nghĩa trong “Sổ tay của Đảm bảo chất lượng phần mềm” chuẩn.
Tính đúng đắn: mức độ mà dự án hoàn thành các đặc tả của nó.
Tính hiệu quả: dùng tài nguyên trong thực hiện và lưu giữ.
Tính linh hoạt: dễ làm thay đổi được yêu cầu do thay đổi trong môi trường vận hành.
Tính toàn vẹn: bảo vệ dự án khỏi truy nhập không được phép.
Tính liên tác: nỗ lực được yêu cầu để tích hợp hệ thống vào hệ thống khác.
Tính bảo trì: nỗ lực được yêu cầu để định vị và sửa lỗi trong dự án trong môi trường vận hành của nó.
Tính khả chuyển: nỗ lực được yêu cầu để truyền dự án từ môi trường này sang môi trường khác.
Tính tin cậy: khả năng không hỏng.
Tính tái dụng: dễ dùng lại phần mềm trong hoàn cảnh khác.
Tính kiểm thử được: dễ dàng kiểm thử dự án để đảm bảo rằng nó không lỗi và đáp ứng đặc tả.
Tính khả dụng: dễ dùng phần mềm.
Tất nhiên, trong một thế giới hoàn hảo tất cả những tiêu chí này sẽ được đáp ứng, nhưng trong thực tế việc bù trừ là một phần của mọi dự án phát triển. Thường phần mềm hiệu quả nhất lại không khả chuyển, vì tính khả chuyển sẽ yêu cầu mã phụ thêm, làm giảm tính hiệu quả. Tính khả dụng là chủ quan và thay đổi tuỳ theo kinh nghiệm của người dùng. Khi dùng các tiêu chí này để xác định mục tiêu đảm bảo của hệ thống phần mềm, mục đích và việc dùng hệ thống phải được tính tới. Trong thế giới thực của phát triển phần mềm, tiêu chí về chất lượng được nhận diện và áp dụng cho mức độ khác biệt xem như kết quả của các quyết định bù trừ.
Với toàn cầu hoá, khi nhiều công ti làm kinh doanh qua các biên giới quốc gia, yêu cầu về chất lượng sản phẩm đang trở nên quan trọng hơn. Thực tế đã chứng minh rằng việc có SQA là đảm bảo rằng có kỉ luật và kiểm soát trong qui trình phát triển phần mềm thông qua đánh giá độc lập do đó SQA sẽ xác định liệu một sản phẩm sẽ được chấp nhận ở chỗ nào đó hay không. Có hai mô hình phổ biến để kiểm điểm và đảm bảo chất lượng phần mềm: ISO 9000 và CMMI. Tổ chức tiêu chuẩn quốc tế (ISO 9000) cung cấp một cách để thu được việc uỷ nhiệm bên ngoài cho hệ thống quản lí chất lượng. Nhiều công ti đã dùng ứng dụng của ISO cho phần mềm, nhưng vấn đề là ở chỗ nó hội tụ phần lớn vào thủ tục thay vì qui trình. Mô hình kia là Tích hợp mô hình trưởng thành năng lực (CMMI) của Viện kĩ sư phần mềm hội tụ trên cơ sở rằng chất lượng của sản phẩm phần mềm chủ yếu được xác định bởi chất lượng của qui trình phát triển và bảo trì phần mềm được dùng để xây dựng nó.
Đảm bảo chất lượng là mấu chốt cho mọi doanh nghiệp tương lai. Có SQA có kinh nghiệm là bản chất cho doanh nghiệp nhưng ngay cả ngày nay, nhiều công ti phần mềm hiếm khi đầu tư đủ ngân quĩ để thực hiện công việc SQA. Một số người tin họ có thể tránh được nó nhiều nhất có thể được. Thái độ “cắt giảm chi phí” và có sản phẩm chất lượng kém là không thể chấp nhận được trong thế giới cạnh tranh cao. Nhiều công ti sẽ KHÔNG sống sót lâu được vì nhiều khách hàng đang đòi hỏi sản phẩm chất lượng tốt hơn với an toàn và tin cậy tốt nhất.
As software project is becoming larger and more complex, the role of Software Quality Assurance (SQA) is becoming more critical. Even today, methods for assuring software quality are often not well understood by many project managers. Assuring software quality requires that engineering knowledge and discipline be applied at ALL phases of the development life cycle, NOT the last phases of test or release as many people misunderstood. Software Quality Assurance engineers are required to possess many years of software development and sufficient domain knowledge to evaluate the completeness and correctness of system requirements, and they must have the ability to determine whether the design has incorporated all requirements accurately. Ultimately, SQA engineers are responsible for advising management whether a software product is reliable and meet quality standards. For this kind of works, SQA engineers probably should be the most experience persons in the organization. They should work as software developers for many years and move up to technical leader or architect and perform this work for years before becoming SQA engineers.
The “Handbook of Software Quality Assurance”, define SQA as: “The set of systematic activities providing evidence of the ability of the software process to produce a software product that is fit to use. The focus, therefore, of SQA is to monitor continuously throughout the software development life cycle to ensure the quality of the delivered product. This requires monitoring both the processes and the products. In process assurance, SQA provides management with objective feedback regarding compliance to approved plans, procedures, standards, and analyses. Product assurance activities focus on the changing level of product quality within each phase of the life cycle, such as the requirements, design, code, and test plan. The objective is to identify and eliminate defects throughout the life cycle as early as possible, thus reducing test and maintenance costs.
The Institute of Electrical and Electronics Engineers’ (IEEE) defines quality as “the degree to which a system, component, or process meets specified requirements, and customer or user needs or expectations While this definition seems to be clear and unambiguous, many software project managers still complains that quality is “hard to define, impossible to measure, difficult to recognize” and therefore ignore it. Following is another detailed definition of software quality as defined in the standard “Handbook of Software Quality Assurance”.
Correctness: extent to which a project fulfills its specifications.
Efficiency: use of resources execution and storage.
Flexibility: ease of making changes required by changes in the operating environment.
Integrity: protection of the project from unauthorized access.
Interoperability: effort required to integrate the system to another system.
Maintainability: effort required to locate and fix a fault in the project within its operating environment.
Portability: effort required to transfer a project from one environment to another.
Reliability: ability not to fail.
Reusability: ease of re-using software in a different context.
Testability: ease of testing the project to ensure that it is error-free and meets its specification.
Usability: ease of use of the software.
Of course, in a perfect world all of these criteria would be met, but in reality tradeoffs are a part of all development projects. Often the most efficient software is not portable, as portability would require additional code, decreasing the efficiency. Usability is subjective and varies depending on the experience of users. When using the criteria to define the assurance objectives of a software system, the purpose and use of the system must be taken into account. In the real work of software development, criteria for quality are identified and applied to differing extents as a result of trade-off decisions.
With globalization, as many companies are doing business across national borders, the requirement for a quality product is becoming more important. It has been proven that having SQA is to ensure that there is discipline and control in the software development process via independent evaluation therefore SQA will determine whether a product will be accepted in certain places or not. There are two popular models of reviewing and assuring software quality: The ISO 9000 and the CMMI. The International Standard Organization (ISO 9000) provided a way to gain external accreditation for a quality management system. Many companies have used the application of ISO to software, but the issue is that it focuses mostly on procedures rather than process. The other is the Software Engineering Institute’s Capability Maturity Mode Integration (CMMI) focuses on the basis that the quality of the software product is largely determined by the quality of the software development and maintenance processes used to build it.
To ensure quality is critical for all future business. Having experienced SQA is essential for the business but even today, many software companies rarely invest or have sufficient funds to perform SQA works. Some believe they can avoid it as much as possible. The attitude of “Cutting costs” and having poor quality product are unacceptable in the highly competitive world. Many will NOT survive for long as more customers are demanding better quality product with the best safety, and reliability.
An ninh không phải là thứ bạn có thể mua và thêm vào cho hệ thống mà là một phần tích hợp của hệ thống phải được “dựng sẵn bên trong”. Cho dù bạn có thể sửa những khiếm khuyết an ninh nào đó sau khi hệ thống được phát triển, điều đó là quá trễ và sẽ tốn kém cho bạn nhiều để sửa hơn là xây dựng trong các pha kiến trúc, thiết kế và viết mã.
Một cách để giảm đe doạ an ninh là làm tăng nhận biết về rủi ro an ninh. Bất kì ai có cách hiểu thông thường sẽ tiến hành các biện pháp cần thiết nếu người đó biết tới rủi ro. Tuy nhiên, với phổ cập của máy tính, nhiều rủi ro không phải bao giờ cũng thấy được. Máy tính của bạn có thể có bảo vệ bằng mật khẩu, nhưng trừ phi bạn có mật khẩu rất mạnh và thay đổi nó thường xuyên, các hackers có thể vẫn dùng kĩ thuật “xâm nhập lực mạnh” để đoán ra tên người dùng và mật khẩu nhanh chóng và tấn công máy tính của bạn. Bạn có thể cẩn thận với những email không biết nhưng bạn có thể là chủ thể cho “giả mạo” khi bạn mở email từ bạn bè mà không biết rằng hackers đang dùng tên người bạn của bạn để nhử bạn vào việc mở bản đính kèm email nhiễm virus hay mở bí mật một ‘cửa hậu” trong máy tính của bạn để họ thu thập dữ liệu cá nhân của bạn.
Biết rủi ro là cách tốt nhất phòng ngự chống lại các hackers. Mọi ngày đều có những đe doạ mới, virus mới và phần mềm độc hại mới cho nên bạn phải theo sát với những vấn đề này. Mọi công ti phải có thủ tục an ninh tại chỗ để sẵn sàng giải quyết với những vấn đề mới. Ngay khi đe doạ an ninh được phát hiện, mọi máy tính phải được báo động để được an toàn bằng các cập nhật và miếng vá trong thời gian tối thiểu nhất có thể được. Khi một điểm mong manh mới được phát hiện, lực lượng đặc nhiệm an ninh sẽ tìm cách để sửa nó bằng những miếng vá nhưng những điều này có thể lại là rủi ro an ninh nữa. Miếng vá có thể chỉ ra trực tiếp chỗ yếu ở đâu và hackers không cần đi tìm chỗ yếu mà khai thác luôn chúng bởi vì phải mất thời gian cho tới khi mọi người đã cập nhật máy tính của họ. Không may một số người chưa bao giờ cập nhật cho tới khi quá trễ.
Với phát triển phần mềm, an ninh phải được “dựng sẵn bên trong” như một phần của toàn thể vòng đời phát triển. Khái niệm then chốt là ở chỗ bạn nhận diện rủi ro sớm và chăm lo tới chúng, dẫn tới chất lượng cao về an ninh với chi phí thấp. Bạn cần có yêu cầu an ninh được xác định rõ ràng và đúng đắn cho hệ thống. Bạn phải thiết kế và kiến trúc hệ thống với các xem xét về an ninh. Bạn phải tuân theo hướng dẫn về viết mã an ninh và thực hiện kiểm thử an ninh tương ứng. Nhiều người phát triển phần mềm coi kiểm thử an ninh là kiểm thử phi chức năng. Như nhiều kiểm thử phi chức năng khác, phần lớn các kiểm thử đều được thực hiện ở giai đoạn cuối cùng của phát triển trước khi đưa ra cho khách hàng. Hậu quả là ở chỗ nhiều lỗi an ninh, mà có thể được phát hiện và sửa, đi vào những giai đoạn phát triển sớm hơn mà không có kiểm tra. Rủi ro là sẽ quá trễ để tìm và sửa lỗi kiến trúc nền tảng hay thiết kế.
Người phát triển phần mềm giỏi biết cách thiết lập môi trường kiểm thử với an ninh có trong đầu, cũng như giải quyết dữ liệu kiểm thử của bạn với mục đích an ninh. Có các hướng dẫn an ninh phải được tuân theo và chính trách nhiệm của người quản lí dự án là bảo đảm rằng mọi người phát triển tuân theo chúng một cách cẩn thận. Trong phát triển phần mềm phân bố, tổ của bạn có thể được phân bố ở bất kì đâu trên thế giới. Nếu dữ liệu kiểm thử chứa thông tin tư như dữ liệu cá thể hay tài khoản ngân hàng, bạn phải chắc chúng không được gửi đi mà không được bảo vệ qua internet. Mặc cho sự kiện là Internet là môi trường bị ô nhiễm nơi các hackers có ở mọi nơi, nhiều công ti vẫn không dùng mật mã hoá dữ liệu và chung cuộc phải trả tiền nhiều về sau. Nếu bạn dùng Internet, bạn phải chắc chắn rằng đường trao đổi là được an ninh; cố giữ nó nhiều nhất có thể được bên trong mạng công ti, dùng VPN, các móc nối an ninh SSL hay mật mã hoá.
Ngày nay laptop ngày càng thành thông dụng ở chỗ làm việc. Chúng được dùng trong mạng công ti có an ninh, thế rồi được dùng bên ngoài công việc ở một mạng không dây nào đó tại quán cà phê, sân bay hay ở nhà vốn kém an ninh hơn nhiều. Rủi ro bị ô nhiễm là ở khắp nơi nếu máy tính của bạn không được bảo vệ đúng. Máy tính bị nhiễm virus có thể quay trở lại mạng công ti an ninh làm hỏng toàn thể mạng. Ngày nay nhiều hackers đang dùng “kẻ hít – sniffer” (một chương trình nhỏ nắm bắt và truyền thông tin mà không bị phát hiện) lẻn vào máy tính không được bảo vệ, toàn thể mạng có thể bị lâm nguy, vì thỉnh thoảng nó sẽ bị dò xét. Điều này gây ra lỗ hổng an ninh trong mạng toàn công ti.
Với chất lượng cao trong an ninh bạn có thể giảm nhẹ rủi ro của việc gây nguy hại cho kinh doanh của bạn. Để làm điều đó, bạn cần học về các đe doạ an ninh và cách tranh đấu với chúng, ngăn ngừa các lỗi an ninh được tạo ra hay giảm thiểu số lỗi bằng việc tuân theo các thủ tục và hướng dẫn an ninh và kiểm thử an ninh trong tất cả các giai đoạn phát triển. Tôi cũng tin rằng an ninh phải là môn học yêu cầu có trong mọi đại học.
—-Enlish version—-
Computing security
Today Information Security is a critical and fast growing area in software engineering. Neglecting security is an issue that could lead to many damaging problems. Unfortunately security is still not being taken seriously by many software developers or being taught as a required course at most universities. As the technology grows more popular, the misusing of it is getting more and more serious. Security is not a thing you could buy and add to a system but an integrated part of the system that must be “Built in”. Even you could fix some security deficiencies after the system is being developed, it is already too late and it would cost you much more to fix than build in security during the architect, design and coding phases.
One of the ways of reducing security threats is to increase awareness of security risks. Anyone with common sense would take necessary measures if he or she knows the risks. However, with the popular of computer, many risks are not always visible. Your computer may have a password protection, but unless you have a very strong password and keep changing it frequently, hackers can still use “Brute force intrusion” technique to guess user names and password quickly and attack your computer. You may be careful with unknown emails but you may be subjected to “Phishing” as you open email from friends without knowing that hackers are using your friend’s names to lure you into open a virus infected email attachment or secretly open a “backdoors” in your computer that let them collect your personal data.
Knowing the risks is the best way of defense against hackers. Yet everyday, there are new threats, new virus, and new malicious software so you must keep up with these issues. Every company must have security procedures in place to be ready to deal with new ones. As soon as a security threat is detected, all computers must be in alert and to be secured with updates and patches in minimal time possible. When a new vulnerability is detected, a security task force will find a way to repair it with patches but these could be a security risk too. Patches could point out directly where the weaknesses are and hackers would not need to search for weaknesses but just exploit them because it takes a while until everyone has updated their computers. Unfortunately some may never update until it is too late.
For software development, security must be “Built in” as part of the whole development life cycle. The key concept is that you identify the risk early and take care of them, leading to high quality in security for a low cost. You need to have security requirements that are clearly and correctly defined for the system. You must design and architect the system with security considerations. You must follow guidelines for secure coding and perform security tests accordingly. Many software developers consider security testing as non-functional tests. As many other non-functional tests, most of testing is performed at final stages of development before release to customers. The consequence is that many security bugs, which could be detected and fixed, go through earlier development stages without checking. The risk is it will be too late to find and fix a fundamental architectural error or design.
A good software developer knows how to set up test environment with security in mind, as well as handle your test data for security purpose. There are security guidelines which must be followed and it is the project manager‘s responsibility to make sure that every developers follow them carefully. In the distributed software development, your team can be distributed anywhere in the world. If the test data contain private information such as personal data or bank accounts, you must make sure they are not sent unprotected on the internet. In spite of the fact that Internet is a contaminated environment where hackers are everywhere, many companies are still do not use data encryption and end up paying much more later. If you use Internet, you must make sure that the communication lines are secured; try to keep it as much as possible inside the corporate networks, use VPN, SSL-secured links or encryption.
Today Laptops are getting more and more common at work. They are used in the secure company network, then are used out of the job in some wireless network at a coffee shop, airport or home with much less security. The risk of contamination is overwhelming if your computer is not properly protected. An infected computer can comes back in the secure company network endangering the whole network. Today many hackers are using “sniffer” (a small program that captures and transmits information without being discovered) sneaked in unprotected computer, the whole network can be endangered, since it might take a while to be detected. This causes a security hole in the whole company network.
With high quality in security you can mitigate the risks of endangering your businesses. In order to do that, you need to learn security threats and how to fight them, prevent security bugs to be created or minimize their number by following security procedures and guidelines and testing security in all development stages. I also believe that security must be a requirements course in all universities.
