Som softwarefirma modtager du selv i stigende grad et sikkerhedsspørgeskema fra en kunde, der er omfattet af cybersikkerhedsloven. Den samme risikostyringsforpligtelse, som forpligter din kunde over for dig, forpligter også dig selv til noget: at vurdere, hvilke af dine egne leverandører, der påvirker sikkerheden af det, du bygger og leverer. En leverandørpolitik er måden at gøre denne vurdering gentagelig på, i stedet for hver gang at skulle genoverveje, hvem du faktisk stoler på.
Kort svar: du starter med en oversigt over, hvem der er i din udviklingskæde og i din leverede software, du kategoriserer disse leverandører efter det risiko, de udgør, og du fastlægger for hver kategori, hvilke krav du stiller, og hvordan du kontrollerer det. Denne oversigt og kategorisering udgør tilsammen leverandørpolitikken.
To slags leverandører, et blidt punkt
Ved softwareudvikling løber to kæder gennem hinanden, og det gør en leverandørpolitik mere kompliceret end hos en virksomhed, der kun køber fysiske varer.
Den første kæde er din udviklingskæde: versionskontrolsystemet, CI/CD-pipelinen, cloudmiljøet, hvor du bygger, værktøjerne til test og implementering. Et svagt punkt der påvirker primært din egen virksomhedsdrift.
Den anden kæde er det, der ender i dit produkt: open source-biblioteker, tredjeparts-API'er, indkøbte komponenter. Et svagt punkt der påvirker ikke kun dig, men også hver kunde, der bruger din software. Denne forskel er netop det, som meget leverandørpolitik mangler: opmærksomheden går til den første kæde, fordi den er synlig i det daglige arbejde, mens den anden kæde ofte først bliver synlig, når der sker noget galt.
Inventar: start med det, der allerede kører
En leverandørpolitik starter ikke med en skabelon, men med en liste. For softwareudvikling betyder det mindst: hvilke cloududbydere du bruger, hvilke pakkemanagere og registreringssteder dit build-proces henter fra, hvilke eksterne API'er dit produkt kalder, og hvilke af disse parter der har adgang til kode, hemmeligheder eller produktionsdata.
For hver leverandør er spørgsmålet ikke kun, hvad de gør, men hvad der sker, hvis de går ned eller bliver kompromitteret. En pakkemanager, hvorfra hundredvis af afhængigheder kommer, vejer anderledes end en faktureringspakke, der kører uafhængigt af udviklingskæden.
Risikokategorisering: ikke enhver leverandør fortjener samme opmærksomhed
Efter inventariseringen følger en kategorisering, normalt på to eller tre niveauer. Leverandører med adgang til kildekode, hemmeligheder eller produktionsmiljøer kræver de strengeste krav: stærk godkendelse, logning, et fast kontaktpunkt ved hændelser. Leverandører, der kun indirekte medvirker, såsom et værktøj til projektplanlægning, stiller mindre krav.
Direktivet og den nationale lov foreskriver ingen fast kategorisering; tilsynsmyndigheder vurderer her, om tiltagen står i forhold til risikoen. Det betyder, at den kategorisering, du vælger, skal kunne forklares: hvorfor denne leverandør falder i den tunge kategori, og den anden ikke.
Hvad du spørger, og hvad du selv allerede besvarer
En leverandørpolitik fungerer på to måder. Udadtil bruger du den til at stille spørgsmål til dine egne leverandører: hvordan håndterer de sårbarheder, har de en proces for flerfaktorgodkendelse, hvor hurtigt melder de en hændelse til dig. Indadtil udgør den grundlaget for, hvad du selv svarer på spørgeskemaer fra dine kunder, fordi en kunde, der vurderer dig, ofte gerne vil vide, om du har dit eget lager i overblik.
De to sider hænger sammen: en leverandørpolitik, som du kun skriver for dig selv, stemmer normalt ikke overens med de spørgsmål, du modtager fra kunder. Hvis du etablerer politikken fra starten med fokus på, hvad en køber spørger om, behøver du ikke omskrive den senere.
Dokumentering: fra politik til bevis
En politik, der kun findes i et tekstdokument, er svær at underbygge på det tidspunkt, hvor en kunde eller tilsynsmyndighed spørger om den. Mere praktisk er en løbende oversigt: for hver leverandør kategori for risiko, seneste vurdering, bevisstykke såsom erklæring, certifikat eller svar på dit eget spørgeskema, og hvem inden for din organisation, der overvåger leverandøren.
En sådan oversigt behøver ikke være omfattende for at være nyttig. For en softwarevirksomhed med en håndfuld kritiske leverandører er en tabel med nogle få kolonner ofte tilstrækkelig, blot den holdes opdateret, når en leverandør skiftes ud eller en kontrakt fornyes.
Vil du først vide, om din organisation selv falder under vedligeholdelsespligten, eller bliver du kun påvirket via dine kunder? foretag den gratis check i nogle få spørgsmål og læs på siden med alle emner hvordan leverandørvurdering hænger sammen med de øvrige forpligtelser. Nysgerrig efter, hvor informationen på denne platform kommer fra, og hvor aktuelt den er? Det er forklaret på siden om hvordan det fungerer. Hvis du ønsker at omdanne leverandøroversigten til et dossier med bevisstykker og ejere, finder du på siden med abonnementer hvad der er nødvendigt til det.