Digitaalinen ympäristö muuttuu nopeammin kuin koskaan ja samalla sen haavoittuvuudet moninkertaistuvat. Kun järjestelmät, toimittajat ja teknologiat kietoutuvat yhteen, luottamus ei synny itsestään. Se täytyy rakentaa yhdessä, läpinäkyvästi ja jatkuvasti oppien.

CGI:n Teknologian takana -sarjan uusimmassa jaksossa ääneen pääsevät Maaret Pyhäjärvi, testaus- ja laadunvarmistuksen asiantuntija, sekä Jussi Salminen, tietoturvakonsultti. Heidän keskustelunsa piirtää kuvan maailmasta, jossa laatu ja turvallisuus ovat saman kolikon kaksi puolta ja jossa tekoäly toimii yhä useammin sekä työkaluna että testattavana kohteena.

“Ei ole toiminnallisuutta ilman tietoturvaa eikä tietoturvaa ilman toiminnallisuutta. Ne ovat kuin yin ja yang,” kiteyttää Salminen.

 

Monitoimittajaympäristö vaatii selkeät pelisäännöt

Organisaatiot toimivat yhä useammin ekosysteemeissä, joissa ratkaisuja tuottavat useat eri toimittajat. Vastuiden rajat hämärtyvät helposti, ellei niitä määritellä tietoisesti.

“Kun toimittajia on useita, kukaan ei yksin omista kokonaisuutta. Siksi tarvitaan selkeät pelisäännöt ja asiakkaan vastuulla on varmistaa, että yhteiset käytännöt on sovittu,” Pyhäjärvi painottaa.

Pyhäjärvi vertaa yhteistyötä perheeseen, jossa kaikki tietävät, mitä yhteinen tavoite edellyttää, vaikka roolit elävät tilanteen mukaan: “Kotona ei tarvitse erikseen sopia, kuka hakee maidon jääkaapista. Meillä on yhteinen ymmärrys siitä, mitä ollaan tekemässä.”

Tämä yhteinen ymmärrys on myös tietoturvan ja laadun rakentamisen perusta. Se syntyy vain jatkuvan keskustelun, näkyvyyden ja dokumentoidun vastuun kautta.

Dokumentointi on luottamuksen infrastruktuuri

Ketterissä projekteissa dokumentaatiota saatetaan joskus pitää kehitystä hidastavana tekijänä. Pyhäjärvi ja Salminen kääntävät ajatuksen päälaelleen: dokumentointi ei ole hidaste, se on edellytys ketteryydelle, vastuulle ja oppimiselle.

“Jos sitä ei ole dokumentoitu, sitä ei ole olemassa,” toteaa Salminen ykskantaan.

Salminen jatkaa: “Dokumentointi ei ole vain sitä, mitä tehtiin, vaan miksi tehtiin. Se miksi on tärkein asia kirjata, koska se kertoo perustelun päätöksille ja auttaa muistamaan, mitä opittiin.”

Kun prosessit suunnitellaan fiksusti, auditointeihin tarvittava evidenssi syntyy työn ohessa, ei paniikissa jälkikäteen. Näin laatu ja tietoturva rakentuvat saumattomasti osaksi kehitystyötä.

Ketteryyttä ei pidä sekoittaa kaaokseen

Ketteryyttä on totuttu ihailemaan nopeutena ja joustavuutena, mutta kun kyse on turvallisuudesta ja laadusta, liika vauhti voi kääntyä itseään vastaan.

“Tietoturvassa se näkyy niin, että asioita kyllä tehdään nopeasti, mutta ilman todisteita. Sitten auditoinneissa huomataan, ettei ole näyttöä, vaikka asiat olisi tehty oikein,” Salminen kuvaa.

Pyhäjärven mukaan todellinen ketteryys ei ole vastakohta laadulle tai regulaatiolle, vaan niiden moderni muoto. Kun kehitystiimit suunnittelevat laadun ja tietoturvan osaksi jokapäiväistä työtä, vaatimustenmukaisuus syntyy automaattisesti, ei jälkikäteen paniikissa.

“Ketteryyden perusajatus on jatkuva oppiminen ja parantaminen. Se toimii vain, jos meillä on näkyvyys siihen, mitä olemme tehneet ja miksi,” Pyhäjärvi muistuttaa.

Ketteryyden ja regulaation yhdistäminen vaatii ennen kaikkea selkeät rajat ja yhteisen rytmin. Sääntely määrittää reunaehdot, mutta ketteryys pitää organisaation hereillä ja kykenevänä reagoimaan muutoksiin.

“Regulaatio luo perusraamit, mutta ketteryys tuo siihen jatkuvuuden. Tulevaisuuden organisaatiot eivät pysähdy ohjeiden äärelle, ne oppivat, mukautuvat ja dokumentoivat samalla, kun tekevät,” Salminen tiivistää.

Kun ketteryyden periaatteet ja turvallisuuden vaatimukset sovitetaan yhteen, syntyy kulttuuri, jossa nopeus ja hallittavuus eivät ole ristiriidassa, vaan tukevat toisiaan.

“Yksisarvisten” aika on ohi, osaaminen kuuluu kaikille

Sekä tietoturvassa että testauksessa on pitkään etsitty niin sanottuja “yksisarvisia”, asiantuntijoita, jotka hallitsevat kaiken. Todellisuudessa kestävä laatu rakentuu jaetusta osaamisesta.

“Usein löytyy supersankareita, joilla on ratkaisu kaikkeen. Mutta jos organisaatio on yhden ihmisen varassa, se on riski,” Salminen muistuttaa.

Pyhäjärvi uskoo oppimisen ja osaamisen siirtämisen olevan tärkeämpää kuin yksilösuoritukset: “Kun teemme työtä näkyvästi ja yhdessä, osaaminen leviää. Se ei ole prosessin dokumentointia vaan kulttuurin rakentamista.”

Tekoäly tuo mahdollisuuksia

Tekoäly muuttaa testausta ja tietoturvaa perusteellisesti, mutta todellinen murros ei ole pelkästään teknologinen, vaan kulttuurinen. Aiemmin testaus on ollut tarkasti rajattua ihmisten työtä; nyt tekoäly pystyy tunnistamaan virheitä, luomaan testitapauksia ja analysoimaan tietoturvariskejä nopeammin kuin koskaan.

“Se voi olla erinomainen apuri, mutta sen vahvuus on vain niin suuri kuin sen käyttäjän ymmärrys. Jos emme tiedä, miten se toimii, emme voi luottaa sen tuottamiin vastauksiin,” Pyhäjärvi sanoo.

Tekoälyn tuottama nopeus ja tehokkuus eivät poista vastuuta, ne vain siirtävät sen painopisteen. Kehittäjien ja testaajien on ymmärrettävä, mitä tekoäly ehdottaa, miksi se tekee tietyn johtopäätöksen ja millaista dataa se hyödyntää. “Tekoäly on työkalu, ei toimittaja. Se ei voi olla vastuussa päätöksistä, vastuu säilyy aina ihmisellä,” Salminen muistuttaa.

Tekoälyn suurin lupaus on kuitenkin siinä, että se voi nostaa laadun ja turvallisuuden uudelle tasolle: se löytää yhteyksiä, joita ihminen ei näe, ja auttaa kohdentamaan tarkastelun oikeisiin kohtiin. Mutta vain, jos se rakennetaan oikein.

“Se on kuin ulkoinen mielikuvitus, tekoäly haastaa ajattelua ja laajentaa näkökulmaa. Mutta jos sen antaa ajatella puolestasi, menettää samalla sen kriittisyyden, joka tekee ihmisestä asiantuntijan,” Pyhäjärvi kiteyttää.

Testauksessa ja tietoturvassa tavoite on lopulta sama: luottamus

Luottamus syntyy, kun ihmiset, prosessit ja teknologia pelaavat yhteen ja kun vastuuta ei siirretä, vaan jaetaan.

“Kukaan ei saa jäädä yksin. Kun rakennetaan järjestelmiä, jotka vaikuttavat miljooniin, vastuu kuuluu koko tiimille,” Pyhäjärvi muistuttaa.

Salminen nyökkää: “Asioiden valmistuminen alkaa aloittamisesta. Tärkeintä on lähteä liikkeelle ja kalibroida suuntaa matkan varrella.”

 

Näin CGI tukee luotettavan digitaalisen ympäristön rakentamista

CGI auttaa organisaatioita rakentamaan laadukkaita ja turvallisia digitaalisia palveluja, joissa testaus, tietoturva ja tekoäly tukevat toisiaan. Käytännön tukimuotoja ovat muun muassa:

  • Laadunvarmistuksen ja tietoturvan integraatiot monitoimittajaympäristöihin
  • Testaus- ja automaatiostrategiat, jotka tuottavat auditointikelpoista evidenssiä työn ohessa
  • Tietoturva- ja compliance-palvelut, jotka sovittavat ketteryyden ja regulaation yhteen
  • Tekoälyn vastuullisen käytön mallit osana laadunvarmistusta ja riskienhallintaa