Een auditeur wil niet alleen controleren of je processen voor IT-ontwikkeling conform specifieke normen en regelgeving verlopen. Hij wil ook weten hoe je die vereiste processen afdwingt in de praktijk. Het antwoord is een aanpak die wij bij BRYXX al jaren hoog in het vaandel voeren: zorg voor ontwikkelingstools waarmee de makkelijkste weg tegelijk ook de veiligste is.
Naar jaarlijkse gewoonte doorlopen we bij BRYXX momenteel een interne en externe audit om onze ISO-certificering te vernieuwen. Ook wij merken daarbij dat auditeurs meer en meer vragen hoe we compliance met de vereiste, veilige processen afdwingen bij onze engineers. Het antwoord: met de juiste tools. Maar dan zonder dat die tools het proces in de weg staan. Je hebt een omgeving nodig die zowel compliance afdwingt, als engineers toelaat alle nodige middelen te gebruiken om zo goed en efficiënt mogelijk hun werk te doen.
Compliant, met alle nodige tools aan boord
Je gaat daarbij het best voor een internal developer platform met de juiste security plane. Als engineers via dat platform ontwikkelen, checken de tools in de security plane automatisch of hun werk compliant is met alle normen en regelgeving waaraan het moet voldoen. Tegelijk documenteren we de werking van het platform. Zo dwingt het platform niet alleen compliance af, maar kan jij dat ook perfect aan de auditeur bewijzen.
Maar wat als je developers met bijvoorbeeld een nieuwe AI-tool willen werken, die nog niet in het development platform zit? Vroeger zouden ze misschien via een onveilige omweg toch met de tool aan de slag zijn gegaan. Als je daarentegen over een internal development platform beschikt, neem je gewoon contact op met het platformteam (van BRYXX). Dat onderzoekt meteen hoe de tool compliant te gebruiken valt binnen het platform. Vervolgens werkt het platformteam de oplossing uit en integreert ze die, opnieuw met de nodige documentatie, in het platform.
Of alles dan meteen volledig compliant verloopt?
Niet onmiddellijk, daar moet je realistisch in zijn. Maar de juiste weg – ontwikkelen via het internal development platform – wordt wel de makkelijkste. Op die manier nudge je je medewerkers om compliant te ontwikkelen, zonder dat zij daaraan hoeven te denken én zonder dat ze zich belemmerd voelen of moeten vrezen dat ze geen toegang krijgen tot de tools die ze willen.
Trouwens, een auditeur verwacht heus niet dat alles meteen compliant verloopt. Daarvoor verandert de beschikbare technologie te snel. Hij wil wel dat je een actieplan hebt, waarmee je je ontwikkelaars zo veel mogelijk stimuleert om elke nieuwe tool volgens de vereiste regels te gebruiken. Via het internal development platform is dat mogelijk en bekom je wat de auditeur het liefst ziet: almaar meer compliant ontwikkeling, volgens processen met zo weinig mogelijk informele shortcuts.
Als je daar vooruitgang bij boekt en werk van blijft maken, begrijpt de auditeur dat je het streven naar compliance ernstig neemt. Maar weet wel dat de auditeur in de realiteit ook wil zien dat alles werkt zoals jij beschrijft dat het werkt. Goede wil alleen volstaat niet. Wees er dus op voorbereid dat hij de werking van tools en het verloop van processen in de praktijk wil zien.
Het is een kwestie van moeten
Misschien vraag je je nu af waarom je überhaupt zo sterk zou inzetten op compliance. Het antwoord is eenvoudig: omdat klanten dat van jou verwachten, maar ook omdat het niet naleven van wettelijke regels zware gevolgen kan hebben. Ben je niet orde, dan kom je er mogelijk met een boete van af. Maar in het slechtste geval mag je je deuren sluiten. De makkelijkste manier om dat allemaal te vermijden, blijft via een internal development platform dat je met vaste hand richting compliance loodst.