Mis kuulub tarkvaraväljatöötamise infoturbealuseks?
Tarkvara arendamise infoturbepoliitika on dokument, milles määratlete kuidas teie organisatsioon käsitleb informatsiooni, süsteemide ja koodi turvalisust. Tarkvaraarenduse ettevõtte puhul käib see kahe asjaga samaaegselt: kaitstava tooraxi turvalisus ja keskkonnas, kus seda arendatakse, turvalisus. Mõlemad kuuluvad samasse dokumenti, kuigi teemaline on need erinevad.
Konkreetselt tähendab see, et poliitika tavaliselt käsitleb ulatust (millised süsteemid ja arendusprojektid kuuluvad selle alla), vastutusi (kes otsustab, kes hallitseb, kes kontrollida), viisi kuidas reguleeritakse juurdepääsu lähtekoodile ja arenduskeskkondadele, kuidas avastada ja parandada enda koodi nõrkusi, kuidas käitutakse test- ja tootmiskeskkonnatega, kuidas registreeritakse intsidendid ja kuidas poliitika ennast säilitatakse ja vaadatakse üle. Tellija küsimustik küsib sageli just selliseid dokumente tõendusena, mitte teie lähtekoodist tehnilist kirjeldust.
Kaks tasandit: toode ja arendusinfrastruktuuur
Esimene tasand käsitleb toodet: tarkvara, mille klient saab. Selle juurde kuulub kirjeldus kuidas käitleda nõrkusi, mida pärast tarneperiood avastati, kuidas jõuavad uuendused ja parandused klientideni, ja kes organisatsioonis vastutab tootes turvalisusprobleemide teadete jälgimise eest.
Teine tasand käsitleb arendusinfrastruktuuri: keskkonda, kus teie tiim töötab. See on versioonihalduskeskkond, koostamise- ja testmispaigas, ja test- ja tootmiskeskkonnade vaheline eraldus. Siin käib küsimused nagu kes pääseb lähtekoodile, kuidas reguleeritakse muudatusi enne nende jõudmist otse, ja kuidas eemaldatakse juurdepääs kui keegi tiimist lahkub. Mõlemad tasandid võivad ühe dokumendiga olla, kuid kirjeldatakse sageli eraldi sest risks ja nende omanikud erinevad.
Miks tellija seda küsib
Organisatsioonid, mille jaoks kehtivad omad hooldamiskohustused, on kohustatud hindama riski oma tarnijate juures. Tarkvaraettevõte, mis töötab sellise organisatsiooni jaoks, saab küsimusi, mis ei tulene omast kohustusest, vaid ahelast. Infoturbepoliitika tuleb sageli esimene osa, mis küsitakse, sest see näitab ühes dokumendis kuidas struktureeritud on turvalisus käsitletud. Kui see puudub, peate seda küsimustikus küsimuse kaupa eraldi seletama, mis nõuab rohkem aega ja tundub vähem veenev kui olemasolev dokument.
Kas teie organisatsioon käib enda hooldamiskohustuse alla, ahelakohustuse alla, või kummagi alla, pole ühe silmapilgu peal näha. paari küsimusega näha, kus teie organisatsioon seisab annab selle jaoks esimese näidu, selgitusega miks.
Kuidas see poliitika seondub üksikute meetmetega
Infoturbepoliitika ei seisa üksi. See kirjeldab peamiselt kuidas käitleta turvalisust, samas kui üksikud meetmed — juurdepääsukontroll, varundus, intsidendi registreerimine, tarnija hindamine — on selle konkreetse rakendamise viis. Kes kirjutab poliitika ilma aluseks olevate meetmeteta korras, omab dokumenti, mis ei sobitu praktikasse. Vastupidises olukorras on samuti raske: üksikud meetmed ilma katva poliitikita näevad välja killustunenud neile, kes küsib. ülevaade kõikidest teemadest iga olukorra jaoks näitab kuidas need osad omavahel seonduvad.
Mis praktikas sageli puudub
Paljudes selliste poliitika esimesversioonis puudub iga osa kohta selge vastutaja: kes vastutab juurdepääsupoliitika ajakohasuse eest, kes tarkvara paigaldamise poliitika eest. Samuti jääb regulaarselt puudu kindel hindamise kuupäev, mistõttu kaks aastat vana poliitikat esintatakse endiselt kehtivana, kuigi arendusjada on vahepeal muutunud. Ja kolmas aspekt, mis sageli puudub: selge seos poliitika ja tõendite vahel, mis näitavad, et seda ka rakendatakse, näiteks juurdepääsuõiguste logid või paigaldatud tarkvara värskenduste ülevaade.
Oma olukorra hindamine
Milliseid osa täpselt oodatakse, sõltub teie organisatsiooni rollist ahelas ja sellest, mida konkreetne ostja nõuab. See artikkel kirjeldab tavalisi struktuuri, mitte kohustuslikku malli, ja seaduse tekst ise ei määra kindlat paigutust. Oma konkreetse olukorra hindamiseks on jurist või pädev järelevalveasutus õige pool; sageli esitatud küsimused selliste dokumentide kohta annab täiendava ülevaate sellest, mida tavaliselt küsitakse.
Kas soovite näha, kuidas sellist poliitikat koos aluseks olevate meetmetega ja tõenditega peetakse jätkuvas dossiees koondatud dokumendi asemel? kuidas secria.eu teavet koostab ja hooldab näitab seda. Vastasel juhul alustage tasuta NIS2-kontrollimisega või sirvige teadusbaasi, et näha, millised teemad on teie organisatsiooni jaoks asjakohased.