Ποια ερωτήματα λαμβάνει μια εταιρεία λογισμικού σε έναν κατάλογο ερωτήσεων NIS2;
Εάν δημιουργείτε λογισμικό για έναν πελάτη που πέφτει ο ίδιος υπό την Οδηγία NIS2 — ή υπό τον Νόμο Κυβερνοασφάλειας στην Ολλανδία — τότε θα λάβετε σχεδόν σίγουρα έναν κατάλογο ερωτήσεων ασφάλειας. Τα ερωτήματα σε αυτόν αφορούν πάντα δύο πράγματα στην ανάπτυξη λογισμικού: την ασφάλεια αυτού που παραδίδετε και την ασφάλεια του περιβάλλοντος στο οποίο το κάνετε. Αυτό το δεύτερο σημείο διακρίνει αυτές τις λίστες από εκείνες για παράδειγμα ένα εγκατάστασης ή ένα παροχέα facility services.
Η ουσία είναι πάντα η ίδια: μπορεί κάποιος μέσω του πηγαίου κώδικά σας, του περιβάλλοντος κατασκευής σας ή του λογαριασμού σας σε έναν διαχειριστή πακέτων να αποκτήσει πρόσβαση στο σύστημα του πελάτη σας, και τι κάνετε για να το αποτρέψετε ή να το εντοπίσετε γρήγορα. Όποιος μπορεί να απαντήσει σε αυτές τις δύο ερωτήσεις, είναι ήδη έτοιμος για το μεγαλύτερο μέρος της λίστας.
Γιατί το λογισμικό είναι μια ξεχωριστή κατηγορία
Με τους περισσότερους προμηθευτές, ένας πελάτης εξετάζει τι συμβαίνει ΣΤΟ εσωτερικό της εταιρείας σας: ποιος έχει πρόσβαση σε ποια συστήματα, πώς δοκιμάζετε ένα backup. Με έναν προμηθευτή λογισμικού, υπάρχει ένα επιπλέον στρώμα, δηλαδή τι στέλνετε ΑΠΟ την εταιρεία σας ΣΤΟ εσωτερικό του πελάτη. Αυτό μπορεί να είναι μια ενημέρωση, ένα coupling API, ή κώδικας που εκτελείται απευθείας στο περιβάλλον τους. Γι' αυτό ένας πελάτης θέτει εδώ βαθύτερα ερωτήματα από ό,τι σε έναν προμηθευτή που χρησιμοποιεί μόνο εφαρμογές γραφείου.
Ερωτήματα σχετικά με το προϊόν: αυτό που παραδίδετε
Ένα μεγάλο μέρος του καταλόγου ερωτήσεων αφορά το λογισμικό. Χρησιμοποιείτε εξωτερικές βιβλιοθήκες και συστατικά και καταγράφετε ποιες είναι — συχνά αναφέρονται ως μια λίστα συστατικών λογισμικού. Πώς χειρίζεστε μια ευπάθεια που ανακαλύπτεται σε ένα τέτοιο συστατικό και σε ποια χρονική περίοδο δημοσιεύετε τότε μια ενημέρωση. Ο κώδικας εξετάζεται από δεύτερο άτομο πριν τεθεί σε λειτουργία. Δοκιμάζετε για γνωστά ασθενή σημεία πριν παραδώσετε και ποιος το κάνει.
Σε αυτό συχνά υπάρχει ένα ερώτημα σχετικά με τις αναφορές: εάν κάποιος έξω από την εταιρεία σας ανακαλύψει μια ευπάθεια στο λογισμικό σας, υπάρχει τρόπος να σας το αναφέρει και τι συμβαίνει με μια τέτοια αναφορά. Αυτό δεν είναι νομική υποχρέωση που προκύπτει άμεσα από την οδηγία NIS2 για σας ως προμηθευτής, αλλά οι πελάτες το ρωτούν στην πράξη επειδή πρέπει να το δικαιολογήσουν στον δικό τους εποπτικό φορέα.
Ερωτήματα σχετικά με τη γραμμή ανάπτυξης: πώς δημιουργείτε
Το δεύτερο block αφορά το περιβάλλον στο οποίο δημιουργείται το λογισμικό. Ποιος έχει πρόσβαση στον πηγαίο κώδικα και είναι αυτή η πρόσβαση προσωπική ή κοινή. Υπάρχει πολλαπλή επαλήθευση στο περιβάλλον στο οποίο δημιουργείται και παραδίδεται. Δοκιμάζεται αυτόματα μια αλλαγή πριν πάει στην παραγωγή και μπορεί κάποιος να παρακάμψει αυτό το βήμα. Ποιος διαχειρίζεται τα κλειδιά και τα πιστοποιητικά με τα οποία υπογράφεται το λογισμικό και πού αποθηκεύονται.
Επίσης αρκετά συχνό: πώς χειρίζεστε τα laptops και τους λογαριασμούς των προγραμματιστών που εργάζονται με αυτό το περιβάλλον, ειδικά όταν εργάζονται εξ αποστάσεως. Και: διατηρείτε αρχεία καταγραφής του ποιος τι έχει τροποποιήσει στον κώδικα ή τη γραμμή και για πόσο καιρό. Το τελευταίο συνδέεται με αυτό που ευρύτερα ονομάζεται καταγραφή συμβάντων, αλλά εστιασμένο στο ίδιο το περιβάλλον ανάπτυξης.
Τι ένας πελάτης μπορεί και δεν μπορεί να ρωτήσει εδώ
Η λίστα μπορεί να αφορά την ασφάλεια του προϊόντος σας και της διαδικασίας ανάπτυξής σας κατά το μέτρο που επηρεάζει τον κίνδυνο του πελάτη. Ερωτήματα σχετικά με ολόκληρη την εσωτερική οργάνωσή σας, τις πολιτικές προσωπικού σας ανεξάρτητα από αυτό το πλαίσιο ή τμήματα της εταιρείας σας που δεν έχουν σχέση με το παραδοθέν λογισμικό, εξαιρούνται. Όπου ακριβώς τραβιέται αυτό το όριο, διαφέρει ανάλογα με το συμβόλαιο και τον τομέα, και αυτό είναι κάτι που θα πρέπει να διευκρινιστεί στη συνομιλία με τον πελάτη, όχι κάτι που θα πρέπει να αφήσετε να περάσει αθόρυβα.
Πώς θα το δημιουργήσετε σωστά μια φορά
Τα περισσότερα από αυτά τα ερωτήματα δεν είναι ένα στιγμιότυπο αλλά ένα σταθερό σύνολο που εμφανίζεται σχεδόν σε κάθε ανάθεση, με μόνο διαφορετική διατύπωση. Όσοι καταγράψουν τις απαντήσεις μία φορά ανά μέτρο — με ένα στοιχείο απόδειξης και έναν ιδιοκτήτη — δεν χρειάζεται να τις αντιγράψουν και να τις προσαρμόσουν στην επόμενη λίστα ερωτημάτων. Με μερικά ερωτήματα που δείχνουν αν και πώς επηρεάζεστε βλέπετε πρώτα που βρίσκεστε, και στο τη σύνοψη ανά θέμα θα βρείτε την εργασία μεμονωμένων μέτρων όπως ο έλεγχος πρόσβασης και η καταχώρηση συμβάντων. Εάν αμφιβάλλετε σχετικά με ένα συγκεκριμένο ερώτημα σε μια λίστα που λάβατε, τότε το οι συχνές ερωτήσεις συχνά ήδη δίνουν μια πρώτη κατεύθυνση, και μια εξήγηση για το πού προέρχονται οι πληροφορίες μας δείχνει πώς διατηρούμε τις πηγές.
Εάν θέλετε πρώτα να ελέγξετε μόνοι σας αν και πώς η εταιρεία σας βρίσκεται σε αυτό, κάντε τη δωρεάν γρήγορη σάρωση ή περιηγηθείτε στη βάση γνώσης. Και τα δύο μπορούν να συμβουλευθούν χωρίς λογαριασμό και δίνουν μια πρώτη, αντικειμενική ένδειξη — όχι κρίση για τη συγκεκριμένη κατάστασή σας, για την οποία, σε περίπτωση αμφιβολίας, μπορείτε πάντα να απευθυνθείτε σε έναν νομικό ή στην αρχή εποπτείας που είναι αρμόδια για τον τομέα σας.