Какви въпроси получава софтуерно предприятие в лист с въпроси по NIS2?
Ако разработвате софтуер за клиент, който сам попада под Директива (EU) 2022/2555 — или под Законодателството за киберсигурност в Нидерландия — вероятно ще получите списък за оценка на киберсигурност. Въпросите в него при разработка на софтуер винаги са свързани с две неща: сигурността на това, което доставяте, и сигурността на средата, в която го правите. Втората точка отличава тези списъци от такива за, например, инсталационна компания или доставчик на услуги за управление на съоръжения.
Основата е винаги една и съща: може ли някой чрез вашия изходен код, вашата среда за разработка или вашия профил при доставчик на пакети да получи достъп до системата на вашия клиент, и какво правите, за да го предотвратите или да го откриете бързо. Който може да отговори на тези два въпроса, вече е готов за голямата част от списъка.
Защо софтуерът е отделна категория
При повечето доставчици клиентът гледа какво се случва ВЪТ вашата компания: кой има достъп до кои системи, как тестирате резервна копия. При доставчик на софтуер идва допълнителен слой — именно това, което позволявате да тече ОТ вашата компания към тази на клиента. Това може да бъде актуализация, API интеграция или код, който работи директно в тяхната среда. Затова клиентът задава по-дълбоки въпроси тук, отколкото при доставчик, който използва само офисна автоматизация.
Въпроси за продукта: това, което доставляте
Голяма част от списъка се занимава със самия софтуер. Използвате ли външни библиотеки и компоненти, и проследявате ли кои са те — често наричани инвентар на софтуерните компоненти. Как се справяте с уязвимост, открита в такъв компонент, и в какъв период издавате актуализация. Кодът проверен ли е от втора личност преди да отиде в продукция. Тестирате ли за известни слабости преди доставка, и кой го прави.
По-долу често стои още един въпрос относно докладване: ако някой вън от вашата компания открие уязвимост в вашия софтуер, има ли начин да го докладва на вас, и какво се случва с такъв доклад. Това не е правна вътрешна задължителност, която произтича от самата Директива (EU) 2022/2555 за вас като доставчик, но клиентите всъщност го питат, защото трябва да могат да го обоснуват пред собствения си надзорен орган.
Въпроси за средата за разработка: как разработвате
Вторият блок се занимава със средата, в която софтуерът се появява. Кой има достъп до изходния код, и е ли този достъп обвързан с лице или е общ. Многофакторна проверка ли е активирана в средата, в която разработвате и доставляте. Автоматично ли се тестира промяна преди да отиде в продукция, и може ли някой да заобиде тази стъпка. Кой управлява ключовете и сертификатите, с които се подписва софтуерът, и къде се съхраняват те.
Също така доста часто: как се справяте с лаптопите и профилите на разработчиците, които работят с тази среда, особено ако работят отдалечено. И: запазвате ли логове на това кой е направил какви промени в кода или тръбопровода, и колко дълго. Последното е свързано с това, което по-широко се нарича регистриране на инциденти, но насочено към самата среда за разработка.
Какво клиентът може и не може да пита
Списъкът може да се занимава със сигурността на вашия продукт и вашия процес на разработка, доколкото той засяга риска на клиента. Въпроси относно вашата пълна вътрешна организация, вашата политика относно персонала, отделена от този контекст, или части на вашата компания, които нямат нищо общо с доставения софтуер, попадат извън това. Където точно е границата, се различава в зависимост от договора и сектора, и това е нещо, което трябва да уточните в разговора с клиента, не нещо, което трябва да оставите мълчаливо да мине.
Как да го построите добре един път
Повечето от тези въпроси не са снимка от момент, а постоянен набор, който се връща при почти всеки клиент, само с малко по-различна формулировка. Quien един път отговорите на въпросите по мярка — с доказателство и отговорен лице — при следващия списък с въпроси трябва само да ги копирате и адаптирате. С няколко въпроса, които показват дали и как сте засегнати виждате първо как стоите, и в обзора по темa намирате разработката на отделни мерки като контрол на достъпа и регистрация на инциденти. Ако се съмнявате в конкретен въпрос от списък, който получихте, тогава списъкът с често задавани въпроси често вече дава първа посока, и обяснение за източника на нашата информация показва как пазим архив на източниците.
Ако искате първо сами да проверите дали и как вашето предприятие стои в това отношение, направете безплатното бързо сканиране или прелистете базата от знания. И двете могат да се консултират без профил и дават първа, фактическа индикация — не преценка на вашата конкретна ситуация, за която в случай на съмнение винаги можете да се обърнете към юрист или към надзорния орган, отговорен за вашия сектор.