Като софтуерна фирма все по-често получавате списък със въпроси за сигурност от клиент, на който се прилага Законът за кибербезопасност. Същата задача за управление на риска, която ви задължава клиентът, ви задължава и вас самите: да преценят кои от вашите собствени доставчици могат да повлияят на безопасността на това, което разработвате и доставяте. Политиката за доставчици е начинът да направите тази оценка повторяема, вместо всеки път наново да преразглеждате кому всъщност доверявате.
Кратък отговор: започвате със преглед на всички, които участват в вашата линия на разработка и в доставения софтуер, разпределяте тези доставчици според риска, който представляват, и установявате за всяка категория какви изисквания поставяте и как проверявате тяхното спазване. Този преглед и разпределението заедно образуват политиката за доставчици.
Два вида доставчици, едно невидимо място
При разработка на софтуер две вериги се преплитат, което прави политиката за доставчици по-сложна отколкото в компания, която закупува само физически стоки.
Първата верига е вашата линия на разработка: системата за управление на изходния код, тръбопроводът CI/CD, облачната среда, на която разработвате, инструментите за тестване и разгръщане. Слаба точка там засяга преди всичко вашата собствена оперативна дейност.
Втората верига е това, което попадва в вашия продукт: библиотеки с отворен код, приложни програмни интерфейси на трети лица, закупени компоненти. Слаба точка там засяга не само вас, но и всеки клиент, който използва вашия софтуер. Именно това разграничение е това, в което много политики за доставчици са недостатъчни: вниманието се отправя към първата верига, защото е видима в ежедневната работа, докато втората верига често става видима само когато нещо се обърка.
Инвентаризация: начнете с това, което вече работи
Политиката за доставчици не начина със шаблон, а със списък. При разработка на софтуер това означава поне: кои облачни доставчици използвате, кои диспетчери на пакети и хранилища извлича процесът на изграждане, кои външни приложни програмни интерфейси призовава вашия продукт, и кои от тези страни имат достъп до код, мистерии или производствени данни.
За всеки доставчик въпросът е не само какво правят, но какво се случва, ако спрат или бъдат компрометирани. Диспетчер на пакети, от който дохождат стотици зависимости, се брои по-тежко от софтуер за фактури, което функционира независимо от линията на разработка.
Разпределение по риск: не всеки доставчик заслужава еднакво внимание
След инвентаризацията идва разпределението, обикновено в два или три нива. Доставчици с достъп до изходния код, мистериите или производствените среди изискват най-тежките изисквания: силна проверка на самоличност, регистриране, фиксиран контакт при инциденти. Доставчици, които участват само косвено, например инструмент за планиране на проекти, изискват по-малко.
Директивата и националния закон не предписват фиксирано разпределение; надзорните органи съдят въз основа на това дали мерките са пропорционални на риска. Това означава, че разпределението, което изберете, трябва да бъде обяснимо: защо този доставчик попада в тежката категория, а другия не.
Какво питате и какво сами вече отговаряте
Политиката за доставчици работи в две посоки. Навън я използвате за поставяне на въпроси към своите доставчици: как преминават с уязвимости, имат ли процес за многофакторна проверка, как бързо докладват инцидент. Навътре служи като основа за това, което сами отговаряте на списъците на въпросите на клиентите, защото клиент, който ви оценява, често иска да знае дали имате свои вериги в поглед.
Двата аспекта са свързани: политика на доставчика, която напишете само за себе си, обикновено не съответства на въпросите, които получавате от клиентите. Ако от самото начало разработите политиката като вземете предвид това, което търси закупувачът, няма да трябва да я преписвате по-късно.
Документиране: от политика към доказателства
Политика, която съществува само в текстов документ, е трудна за обосноваване в момента, когато клиент или надзорен орган я поискат. По-практично е жив преглед: за всеки доставчик категорията на риска, последната оценка, доказателството като декларация, сертификат или отговор на вашия собствен въпросник, и който в организацията ви контролира този доставчик.
Такъв преглед не трябва да бъде голям, за да бъде полезен. За софтуерна компания с няколко критични доставчика таблица с няколко колони обикновено е достатъчна, при условие че се поддържа актуална, когато се смени доставчик или се подновява договор.
Искате ли първо да знаете дали вашата организация сама попада под задълженията за управление на риска, или само се засяга чрез вашите клиенти? направете безплатната проверка с няколко въпроса и прочетете на страницата с всички теми как оценката на доставчиците се свързва с останалите задължения. Интересувате ли се откъде идва информацията на този платформ и как актуална е тя? Това е обяснено на страницата как работи. Ако искате да преобразувате преглед на доставчиците в досие с доказателства и отговорни лица, намерете на страницата с абонаментите какво е необходимо за това.