Tietoturvallisen ohjelmiston kehitys- ja ylläpitoprosessin luominen maksukorttiympäristöön

Thumbnail Image

URL

Journal Title

Journal ISSN

Volume Title

School of Science | Master's thesis
Checking the digitized thesis and permission for publishing
Instructions for the author

Authors

Date

2010

Department

Informaatio- ja luonnontieteiden tiedekunta

Major/Subject

Tietojenkäsittelyoppi

Mcode

T-76

Degree programme

Language

fi

Pages

67

Series

Abstract

The number of the payment card fraud and the payment card systems breach has increased. Data breaches cause a big risk for organizations in terms of fines, loss of reputation and disruption of positive business development. Payment card companies have developed Payment Card Industry Data Security Standard (PCI DSS) as a solution for this problem. This thesis focuses on the PCI DSS standard and its requirements for software development and maintenance and further continues to include the organizational requirements. The PCI DSS and its software development and maintenance as well as organizational requirements were covered by utilizing the OPEN Process Framework Metamodel as a practical tool for the requirements. This aims for creating secure software development and maintenance process. This OPEN Process Framework Metamodel approach was chosen because of its flexibility for implementing the PCI DSS and case-organization's requirements for process creation. This model as a part of the case study works well because it enables the integration of all secure software development and maintenance requirements under one framework. As a result of this work an initial process model for the case organization was created. The goal was to meet the criteria set by the case organization. This criteria includes continuity of the operations, improved requirements management, ensuring the payment card systems security, software release builds management and the practise of project portfolio management for improved resource allocation and cost control. A software development and maintenance process framework for the case organization was created. The practical implementation of the process requires several iterative and incremental steps. The goal of these steps is to ensure that the process will be mature enough to create a stable and secure environment to meet the case organization's requirements in practice.

Maksukorttipetosten ja maksukorttijärjestelmien tietomurtojen määrä on kasvanut. Tietomurto on organisaatiolle iso riski sakkojen, maineenmenetyksen ja liiketoiminnan keskeytymisen myötä. Vastauksena tähän ongelmaan maksukorttiyhtiöt ovat kehittäneet maksukorttijärjestelmien tietoturvastandardin Payment Card Industry Data Security Standard (PCI DSS). Tässä tutkimuksessa keskityttiin PCI DSS standardiin ja sen asettamiin vaatimuksiin ohjelmiston kehitykselle ja ylläpidolle. Näihin vaatimuksiin yhdistettiin kohdeorganisaation muut prosessinkehityksen vaatimukset. Molempien vaatimusryhmien sekä PCI DSS:n, että organisaation luomat vaatimukset yhdistettiin Open Process Framework (OPF) prosessin kehityksen metamallilla. Työn tavoitteena oli muodostaa tietoturvallinen ohjelmistonkehitys- ja ylläpitoprosessi kohdeyritykselle. Tämä lähestymistapa metamallia hyödyntäen valittiin johtuen sen joustavuudesta toteuttaa prosessimalleja. Malli toimii hyvin tässä tarkoituksessa, koska se mahdollisti kaikkien vaatimusten käsittelyn yhdessä kehyksessä. Työn tuloksena syntyi kohdeorganisaatiolle alustava tietoturvallisen ohjelmistonkehityksen ja ylläpidon prosessimalli. Malli sisältää liiketoiminnan jatkuvuuden turvaamisen, vaatimustenhallinnan parantamisen, maksukorttijärjestelmien tietoturvan varmistamisen, ohjelmistojen julkaisuajankohtien hallinnan sekä projektisalkun hallinnan resurssien kohdentamisen ja kustannusten seuraamisen osalta. Prosessin toteuttaminen vaatii käytännössä vielä useita iteratiivisia ja inkrementaalisia vaiheita. Näiden vaiheiden tavoitteena on kehittää tarpeeksi kypsä prosessi. Vasta kypsä prosessi mahdollistaa vakaan ja turvallisen kehitysympäristön. Tämä työ luo hyvät edellytykset saavuttaa kohdeyrityksen vaatimukset myöhemmin myös käytännössä.

Description

Supervisor

Männistö, Tomi

Thesis advisor

Puomio, Pekka

Keywords

payment card fraud, maksukorttipetos, PCI DSS, PCI DSS, payment card, maksukortti, security, tietoturva, software development, ohjelmiston kehitys, software maintenance, ohjelmiston ylläpito,

Other note

Citation

Permanent link to this item

https://urn.fi/URN:NBN:fi:aalto-2020122357192

Collections

[dipl] Perustieteiden korkeakoulu / SCI