Audit kódu: kedy si ho objednať a čo dostanete

Audit kódu si objednajte vtedy, keď sa chystáte rozhodnúť o softvéri, ktorému úplne nerozumiete: pred prevzatím projektu od iného dodávateľa, pred väčšou investíciou do rozvoja, po bezpečnostnom incidente alebo keď vývoj citeľne spomalil. Dostanete písomný prehľad rizík v bezpečnosti, kvalite, výkone a prevádzke, zoradený podľa priority, s odporúčaním, čo opraviť hneď a čo môže počkať.

Audit nerobíme preto, aby sme našli čo najviac chýb. Robíme ho preto, aby ste vedeli, na čom stojíte, a mohli sa rozhodnúť s otvorenými očami.

Ako seniori, ktorí denne preberajú a upravujú cudzie weby, e-shopy a aplikácie, vidíme, že majitelia systémov o ich stave často nevedia nič. Kód je pre nich čierna skrinka, ktorej rozumie len pôvodný dodávateľ. Audit túto skrinku otvorí a preloží jej obsah do jazyka rozhodnutí: čo to stojí, čo hrozí a čo s tým robiť.

Kedy sa audit kódu oplatí

• Preberáte projekt od iného dodávateľa. Predchádzajúca firma skončila, programátor odišiel alebo prechádzate k novému dodávateľovi. Skôr než začnete platiť nový vývoj, oplatí sa vedieť, či sa na kód dá stavať.
• Plánujete väčšiu investíciu. Nový modul, napojenie na ďalšie systémy, expanzia do ďalšej krajiny. Audit ukáže, či je základ pripravený, alebo treba najprv upratať.
• Vývoj spomalil. Každá malá zmena trvá týždne a pokazí niečo iné. To býva príznak technického dlhu, ktorý sa dá pomenovať a splácať.
• Stal sa incident. Únik dát, výpadok, podozrivá aktivita. Okrem opravy samotného problému treba zistiť, či podobných miest nie je viac.
• Aplikáciu ste postavili cez AI nástroj. Prototyp z vibe codingu funguje, ale pred pustením zákazníkov treba vedieť, či je bezpečný. Na to je samostatná služba AI kód do produkcie.
• Kupujete firmu alebo produkt. Softvér je často najväčšie aktívum a zároveň najväčšie skryté riziko.

Čo audit kódu pokrýva

Oblasť	Na čo sa pozeráme
Bezpečnosť	prihlasovanie a oprávnenia, ošetrenie vstupov, heslá a kľúče v kóde, zraniteľné knižnice
Kvalita kódu	štruktúra, duplicity, čitateľnosť, či sa dá kód rozumne meniť
Testy	či existujú, čo pokrývajú a či bežia automaticky pri každej zmene
Výkon	pomalé databázové dopyty, zbytočná záťaž, ako systém zvládne rast
Prevádzka	nasadzovanie, zálohy, monitoring, aktualizácie servera a závislostí
Závislosti	zastarané frameworky a knižnice, ktoré už nedostávajú bezpečnostné opravy

Rozsah prispôsobíme otázke, ktorú potrebujete zodpovedať. Ak vás zaujíma len bezpečnosť pred spustením, nemusíme riešiť estetiku kódu.

Ako audit u nás prebieha

1. Krátky rozhovor. Čo je cieľom auditu, aké rozhodnutie z neho má vzniknúť a čo už o systéme viete.
2. Prístup. Dostaneme prístup na čítanie k repozitáru, prípadne k dokumentácii a prostrediu. NDA podpisujeme štandardne.
3. Analýza. AI asistenti nám pomôžu rýchlo prejsť veľký objem kódu a nájsť podozrivé miesta. Každé zistenie však overí senior, aby v správe neboli falošné poplachy.
4. Správa. Písomný výstup so zisteniami zoradenými podľa závažnosti.
5. Prechod správy. Na hovore vysvetlíme, čo zistenia znamenajú a ako postupovať.

Čo dostanete

Výstupom nie je stostranový dokument, ktorý nikto nedočíta. Dostanete:

• Zhrnutie na jednu stranu pre vedenie: celkový stav, najväčšie riziká a odporúčanie.
• Zoznam zistení s presným miestom v kóde, popisom rizika a závažnosťou.
• Odporúčaný postup: čo opraviť hneď, čo v najbližších mesiacoch a čo stačí sledovať.
• Odhad náročnosti opráv, aby ste vedeli naplánovať rozpočet, nech už opravy urobí ktokoľvek.

Opravy si nemusíte objednať u nás. Správa má byť použiteľná pre ľubovoľného programátora alebo dodávateľa.

Koľko audit kódu stojí

Účtujeme odpracované hodiny seniora, 38 € / hod bez DPH. Koľko hodín audit zaberie, závisí od veľkosti systému a od otázky, na ktorú hľadáte odpoveď. Pred začatím sa dohodneme na rozsahu a dostanete odhad hodín. Ak potrebujete len rýchly druhý názor, dá sa začať aj jednou hodinou konzultácie. Podrobnosti nájdete v službe IT konzultácie seniora a na stránke cena.

Najčastejšie zistenia

Každý systém je iný, no niektoré nálezy sa opakujú takmer pri každom audite:

• framework alebo PHP verzia, ktorá už nedostáva bezpečnostné opravy,
• administrácia alebo API, kde sa kontroluje prihlásenie, ale nie oprávnenie na konkrétny záznam,
• heslá k databáze či platobnej bráne priamo v repozitári,
• zálohy, z ktorých ešte nikto neskúšal obnoviť,
• nasadzovanie ručným kopírovaním súborov na server bez histórie zmien.

Väčšina z nich sa dá opraviť rýchlo a lacno, keď už o nich viete. Problém je, že kým ich nikto nepomenuje, nikto ich ani neopraví.

Ako sa na audit pripraviť

Nemusíte pripravovať nič zložité. Pomôže prístup k repozitáru, informácia, kde a ako aplikácia beží, a kontakt na človeka, ktorý systém pozná, ak taký existuje. Ak dokumentácia chýba, nevadí, aj to je zistenie. Čím jasnejšie poviete, aké rozhodnutie z auditu potrebujete, tým lacnejší a užitočnejší bude.

Čo audit nie je

Audit kódu nie je záruka, že v systéme nie je žiadna chyba. Je to odborný pohľad na najvýznamnejšie riziká. Nie je to ani penetračný test, pri ktorom sa niekto aktívne snaží do systému preniknúť, hoci pri bezpečnostných zisteniach odporučíme, kde by mal zmysel. A nie je to hodnotenie programátorov, ktorí kód písali. Každý kód má históriu, termíny a kompromisy, a tie berieme do úvahy.

Audit kódu písaného s AI

Čoraz častejšie auditujeme kód, ktorý vznikol s pomocou AI. Postup je rovnaký, ale niektoré chyby sa v ňom objavujú častejšie: chýbajúca kontrola oprávnení, neošetrené vstupy alebo knižnice, ktoré neexistujú. Viac v článku Je kód písaný s AI bezpečný?

Zhrnutie

Audit kódu je lacnejší než rozhodnutie urobené naslepo. Oplatí sa pred prevzatím projektu, pred investíciou, po incidente a vždy, keď vývoj prestane napredovať. Dostanete jasný zoznam rizík a postup, nie akademický posudok.

Potrebujete vedieť, v akom stave je váš systém? Napíšte nám, dohodneme rozsah auditu.