Наръчител, който попада в обхвата на мерките за управление на риска по NIS2, трябва да може да докаже, че познава рисковете в собственото си снабдяване. Софтуерът, който разработвате за този наръчител, е част от това снабдяване. На практика това се преобразува в договорни изисквания, които засягат две неща едновременно: продуктът, който доставляте, и начина, по който разработвате този продукт. И двете се появяват в текста на споразумението, често като приложение към договора за покупки.
Същината е лесна за запомняне: наръчителят не само запитва дали софтуерът работи, но и дали можете да докажете как остава сигурен, кой има достъп и какво се случва, ако нещо отиде наопако. Това е промяна спрямо миналото, когато функционалността и сроковете на доставка часто бяха единствените теми на разговор.
Изисквания към продукта, който доставляте
Най-честото договорно изискване се отнася до самия състав на софтуера. Наръчителите все повече искат преглед на използваните библиотеки и компоненти с отворен код, така наречен събор на компоненти на софтуера. Причината е, че уязвимост в подлежащ компонент е също толкова рисково като грешка във вашия собствен код, и наръчител иска да може да преглежда тези рискове, без да чете самия изходен код.
Освен това се появяват изисквания относно начина, по който уязвимостите в софтуера се открива и отстранява, и в кой период. Това може да включва автоматизирани сканирания за известни слабости, установена процедура за кръпки или въпроса кой е оправомощен да докладва уязвимост и къде трябва да бъде докладвана. За съществуващия софтуер понякога се запитва и за периода на поддръжка: как дълго версия остава със безопасностни обновления.
Изисквания към собственото ви развойно портбюро
Втори набор изисквания се фокусира не на продукта, а на процеса, чрез който се създава: развойното портбюро. Помислете за това кой има достъп до изходния код и средата, в която се разработва и тества, как се контролират промените преди да бъдат пуснати в готинката, и дали има разделение между среда за тестване, приемане и продукция. Използването на многофакторна проверка за разработчици, които имат достъп до изходния код или системи за компилиране, също се появява в договори, както и въпросът кой управлява ключовете и данните за достъп, които са свързани с пускането на софтуер.
Някои наръчители питат и за происхода на софтуера, който вие сам използвате за разработка: компилаторът, инструментите за компилиране, пакетите, които се извличат по време на компилиране. Това се свързва с по-широко разбиране, че атака не може да дойде само чрез крайния продукт, но и чрез фабриката, в която е направена.
Защо точно така са формулирани тези изисквания
Задължението за управление на риска, което е в основата на всичко това, задължава организация в обхвата на мерките да оцени и управлява рисковете в собственото си снабдяване. Точно как се развива това, варира по страни в националния закон, който е основан на европейската richtlijn, и по сектор, в който работи наръчителят. Това, което е твърдо изискване в един договор, все още е добровилен въпрос в друг договор. Ако желаете да знаете как е построена по същество мерката за управление на риска, четете това в обяснението за всяка мярка в нашата библиотека.
Важно за запомняне: наръчителят поставя тези изисквания, защото сам е под надзор, а не защото софтуерните компании по същество попадат в richtlijn. Дали и колко строго това се прилага във вашия случай, зависи от сектора и размера на този специфичен наръчител. За вашата собствена ситуация текстът на националния закон или съветът на юрист е подходящото начало, а не обща преценка.
Какво означава това за вашата подготовка
Повечето от тези изисквания се дават добре отговор с известна подготовка, а отговорът, който съставите един път, можете да използвате отново при следващия възложител. Списък на използваните компоненти, кратко описание на вашия контрол на достъпа и фиксирана процедура за кръпки не са документи, които трябва да намирате наново за всеки договор.
Желаете ли първо да видите дали и как това засяга вашия бизнес, тогава проверката, която с няколко въпроса определя вашата позиция в верижката дава първа посока, без да ви е необходима сметка. За въпросите, които възложителите конкретно задават, и начина, по който ви помагаме, прочетете повече на страницата с често задавани въпроси или вижте как подкрепяме информацията на платформата.
Безплатната база от знания и проверката ви дават първо представяне без задължения. Ако впоследствие желаете наистина да преведете договорните изисквания в текущ досие с доказателствени материали и готови отговори на въпросници, тогава това е моментът да видите какво добавя абонаментът.