Jako softwarová společnost stále častěji dostáváte bezpečnostní dotazník od zákazníka, který spadá pod zákon o kybernetické bezpečnosti. Stejná povinnost péče, která váš zákazník uplatňuje vůči vám, také vás zavazuje: posoudit, kterí z vašich vlastních dodavatelů mají vliv na bezpečnost toho, co vytváříte a dodáváte. Politika dodavatelů je způsob, jak toto posouzení učinit opakovatelným, místo aby se pokaždé znovu přemýšlelo o tom, komu vlastně věříte.
Stručná odpověď: začnete přehledem o tom, kdo se nachází ve vaší vývojové linii a v dodávaném softwaru, rozdělíte tyto dodavatele podle rizika, které představují, a pro každou kategorii určíte, jaké požadavky kladete a jak je kontrolujete. Tento přehled a toto rozdělení dohromady tvoří politiku dodavatelů.
Dva druhy dodavatelů, jeden slepý bod
Při vývoji softwaru se dvě řetězce vzájemně překrývají, což činí politiku dodavatelů složitější než u společnosti, která nakupuje pouze fyzické zboží.
První řetězec je vaše vývojová linka: správce zdrojového kódu, CI/CD pipeline, cloudové prostředí, na kterém stavíte, nástroje pro testování a nasazení. Slabé místo tam především ovlivňuje váš vlastní chod podniku.
Druhý řetězec je to, co skončí ve vašem produktu: open source knihovny, API třetích stran, nakoupené komponenty. Slabé místo tam neovlivňuje pouze vás, ale také každého zákazníka, který váš software používá. Právě toto rozlišení je přesně tam, kde mnoho politik dodavatelů selhává: pozornost se soustředí na první řetězec, protože je viditelný v každodenní práci, zatímco druhý řetězec se často stává viditelným až v okamžiku, kdy se něco pokazí.
Soupis: začněte tím, co již běží
Politika dodavatelů nezačíná šablonou, ale seznamem. Pro vývoj softwaru to znamená minimálně: které poskytovatele cloudu používáte, které správce balíčků a registry váš proces sestavení stahuje, která externí API váš produkt volá, a které z těchto stran mohou přistupovat ke kódu, tajemstvím nebo produkčním datům.
Pro každého dodavatele není otázka pouze to, co dělá, ale co se stane, pokud vypadne nebo bude ohrožen. Správce balíčků, ze kterého pocházejí stovky závislostí, se váží jinak než fakturační balíček, který funguje samostatně mimo vývojovou linku.
Klasifikace rizik: ne každý dodavatel si zaslouží stejnou pozornost
Po soupisu následuje klasifikace, obvykle do dvou nebo tří úrovní. Dodavatelé s přístupem ke zdrojovému kódu, tajemstvím nebo produkčním prostředím vyžadují nejpřísnější požadavky: silné ověření, protokolování, pevný kontaktní bod pro incidenty. Dodavatelé, kteří pracují pouze nepřímo, například nástroj pro plánování projektů, vyžadují méně.
Směrnice a národní zákon neurčují žádnou pevnou klasifikaci; dohlížející orgány se při tom dívají na to, zda opatření odpovídají riziku. To znamená, že klasifikace, kterou si vyberete, musí být vysvětlitelná: proč tento dodavatel spadá do těžké kategorie a ten druhý ne.
Co si vyžadujete a na co si sami odpovídáte
Politika dodavatelů funguje dvěma směry. Navenek ji používáte ke kladení otázek svým vlastním dodavatelům: jak nakládají s chybami zabezpečení, mají proces vícefaktorového ověření, jak rychle vám hlásí incident. Dovnitř tvoří základ toho, na co sami odpovídáte v dotaznících svých zákazníků, protože zákazník, který vás posuzuje, často chce vědět, zda máte svůj řetězec na očích.
Obě strany spolu souvisí: zásady pro dodavatele, které si napíšete pouze pro sebe, obvykle neodpovídají otázkám, které dostáváte od zákazníků. Kdo si zásady od začátku nastaví s ohledem na to, co požadují odběratelé, nemusí je později přepisovat.
Zdokumentování: od zásad k důkazům
Zásady, které existují pouze v textovém dokumentu, je obtížné obhájit v okamžiku, kdy se na ně ptá zákazník nebo regulátor. Praktičtější je živý přehled: pro každého dodavatele jeho kategorie rizika, poslední posouzení, důkazní podklad, například prohlášení, certifikát nebo odpověď na vaši vlastní dotazník, a osoba v rámci vaší organizace, která daného dodavatele sleduje.
Takový přehled nemusí být rozsáhlý, aby byl užitečný. Pro softwarovou firmu s hrstkou kritických dodavatelů je tabulka s několika sloupci často dostačující, pokud je udržována v aktuálním stavu, když se změní dodavatel nebo se smlouva obnoví.
Chcete nejdříve vědět, zda vaše organizace sама spadá pod povinnost zajišťování péče, nebo je zasažena pouze prostřednictvím svých zákazníků? proveďte bezplatnou kontrolu v několika otázkách a přečtěte si na stránce se všemi tématy jak posouzení dodavatelů souvisí s ostatními povinnostmi. Zajímá vás, odkud pocházejí informace na této platformě a jak jsou aktuální? To je vysvětleno na stránce o tom, jak to funguje. Kdo chce převést přehled dodavatelů na dossier s důkazními podklady a odpovědnými osobami, najde si na stránce s předplatnými co k tomu potřebuje.