Millised küsimused saab tarkvara ettevõte NIS2 küsimustikus?
Kui te loote tarkvara tellijale, kes ise NIS2-direktiivi alla kuulub — või Hollandis Cyberbeveiligingsweti alla — saate te peaaegu kindlasti securityküsimustiku. Nendes küsimused käivad tarkvara arendamisel alati kahe asi peale: teie pakutava turvalisusest ja keskkonna turvalisusest, milles te seda teete. See teine punkt eristab neid küsimustikke näiteks paigaldusfirma või haldusülesandeid pakkuva teenusepakkuja omadest.
Tuum on alati sama: kas keegi saab teie lähtekoodile, teie arenduskeskkonnale või teie kontole paketthalduris ligipääsu saada tellijat süsteemile ja mida te selle vältimiseks või kiireks avastamiseks teete. Kes neid kahte küsimust vastata saab, on juba enamuse nimekirjast valmis.
Miks tarkvara eraldi kategooria on
Enamiku tarnijate puhul vaatab tellija, mis teie ettevõttes juhtub: kellel on juurdepääs milliseid süsteemidele, kuidas te varukoopiaid testite. Tarkvara tarnija puhul tuleb sinna juurde kiht, nimelt mida te oma ettevõttest tellijale teete. See võib olla uuendus, API-ühendus või kood, mis otse nende keskkonda käib. Seetõttu küsib tellija siin sügavamalt kui tarnijalt, kes kasutab ainult kontoriptomatiseeringut.
Küsimused tootelt: mida te pakuate
Suur osa küsimustikust käib tarkvara enda kohta. Kas te kasutate väliseid teeke ja komponente ning hoiate ülest, millised need on — sageli viidatakse kui tarkvara-osade ülevaade. Kuidas te käitute, kui sellises komponendis nõrkus avastati, ja millise aja jooksul te seejärel värskenduse välja andate. Kas koodi kontrollida teine inimene enne, kui see live läheb. Kas te testite teadaolevaid nõrkusi enne tarnimist ja kes seda teeb.
Selle all on sageli veel küsimus teatistest: kui keegi väljaspool teie ettevõtet teie tarkvara nõrkuse avastab, kas teil on viis seda teile teatada ja mis sellise teatisega juhtub. See ei ole NIS2-st endalegi teie jaoks tarnijana tulenev õiguslik kohustus, kuid tellijad küsivad selle praktikas, sest nad peavad seda oma kontrollija juures kätte saama.
Küsimused arenduskeskkonnast: kuidas te loote
Teine plokk käib keskkonnast, kus tarkvara tekib. Kellel on ligipääs lähtekoodile ja kas see juurdepääs on isiklik või jagatud. Kas keskkonnast, kus olete ehitatud ja tarnitakse, on mitmekordne kinnitamine. Kas muudatus testitakse automaatselt enne tootmisse jäämist ja kas keegi seda sammu ringi saab käia. Kes hallitsab võtmeid ja sertifikaate, millega tarkvara allkirjastatakse, ja kus need paiknevad.
Samuti päris kindel tagasikäimine: kuidas te käitute arendajate sülearvutite ja kontodega, kes selle keskkonnaga töötavad, eriti kui need töötavad kaugelt. Ja: kas te peate logisid, kes mida koodis või torujuhtmes muutis ja kui kaua. Viimane on seotud millega laiemalt incidendi registreerimisena nimetatakse, kuid seejärel suunatud arenduskeskkonna endale.
Mida tellija siin küsida võib ja ei tohi
Nimekirjas võib käia teie toote ja arendusprotsessi turvalisusest niivõrd, kuivõrd see tellijat riskib. Küsimused teie täieliku sisemise organisatsiooni, teie personalitavast väljaspool selle konteksti, või teie ettevõtte osad, millel pole tarnitud tarkvaraga midagi pistmist, jäävad välja. Kui täpselt see piir käib, erineb lepingu ja sektori järgi ning see on midagi, et tellijaga vestlusesse teravaks saada, mitte midagi vaikselt üle käia.
Kuidas te seda korraga õigesti ehitate
Enamik neist küsimustest ei ole hetktõmmis, vaid püsiv komplekt, mis ilmub peaaegu iga tellijaga, ainult veidi teisiti sõnastatud. Kes vastused kord maatriks kaupa fikseerib — tõendusdokumendiga ja vastutavaga — peab neid järgmise küsimustikuga ainult kopeerima ja kohandama. Koos mõne küsimusega, mis näitavad, kas ja kuidas teid see puudutab näete kõigepealt, kus te seisate, ja ülevaates teema kaupa leiate üksikute meetmete väljatöötamise, nagu juurdepääsukontroll ja juhtumite registreerimine. Kui teil on kahtlusi konkreetse küsimuse suhtes loendis, mille te saite, annab korduma kippuvate küsimuste loend sageli juba esimese suuna, ja selgitus sellest, kust meie teave pärineb näitab, kuidas me allikaid jälgime.
Kui soovite kõigepealt ise kontrollida, kas ja kuidas teie ettevõte selles seisab, tehke siis tasuta kiirtest või sirvige teadusbaasi. Mõlemad on kättesaadavad ilma kontota ja annavad esimese, faktilise indikaatori — mitte hinnangu teie konkreetse olukorra kohta, milles võite kahtluste korral alati pöörduda juristile või teie sektori järelevalveasutusele.