Ohjelmistoyrityksenä saat yhä useammin turvallisuuskyselylomakkeen asiakkaalta, joka kuuluu Kyberturvallisuuslain piiriin. Sama huoltovelvoite, joka velvoittaa asiakkaasi sinua kohtaan, velvoittaa sinua myös johonkin: arvioimaan, millä omista toimittajiistasi on vaikutusta rakentamasi ja toimittamasi tuotteen turvallisuuteen. Toimittajapolitiikka on tapa tehdä arvioinnista toistettavaa sen sijaan, että miettisit joka kerta uudelleen, ketä oikeastaan luotat.
Lyhyt vastaus: aloitat tekemällä yleiskatsauksen siitä, kuka on mukana kehitysympäristössäsi ja toimittamassasi ohjelmistossa, luokittelet toimittajat heidän aiheuttamansa riskin mukaan, ja kunkin kategoriaan kirjaat, mitä vaatimuksia asitat ja miten tarkistat ne. Tämä yleiskatsaus ja luokittelu muodostavat yhdessä toimittajapolitiikan.
Kaksi toimittajien lajia, yksi sokea piste
Ohjelmistokehityksessä kaksi toimitusketjua kulkee lomittain, ja se tekee toimittajapolitiikasta monimutkaisemman kuin yrityksessä, joka ostaa vain fyysisiä tavaroita.
Ensimmäinen ketju on kehitysympäristösi: lähdekoodin hallintajärjestelmä, CI/CD-putki, pilviympäristö, jossa rakennat, testaus- ja käyttöönotto-työkalut. Heikko kohta siellä vaikuttaa ensisijaisesti omaan liiketoimintaasi.
Toinen ketju on se, mitä päätyy tuotteeseen: avoimen lähdekoodin kirjastot, kolmansien osapuolten API:t, ostetut komponentit. Heikko kohta siellä ei vaikuta vain sinuun, vaan myös jokaiseen asiakkaaseen, joka käyttää ohjelmistoasi. Juuri tämä ero on se, jossa monet toimittajapolitiikat puuttuvat: huomio kiinnittyy ensimmäiseen ketjuun, koska se näkyy päivittäisessä työssä, kun taas toinen ketju tulee usein näkyviin vasta silloin, kun jotain menee pieleen.
Inventointi: aloita siitä, mitä jo käytössä on
Toimittajapolitiikka ei aloitu mallista, vaan luettelosta. Ohjelmistokehityksessä se tarkoittaa vähintään: mitä pilvipalveluntarjoajia käytät, mitä pakettinhallintajärjestelmiä ja rekistereitä rakennusprosessisi hakee, mitä ulkoisia API:ita tuotteesi kutsuu, ja millä näistä osapuolista on pääsy koodiin, salaisuuksiin tai tuotantotietoihin.
Jokaisen toimittajan osalta kysymys ei ole vain se, mitä he tekevät, vaan se, mitä tapahtuu, jos he kaatuvat tai joutunevat vaarantuneiksi. Pakettinhallintajärjestelmä, josta sadat riippuvuudet tulevat, painaa eri tavalla kuin laskutusohjelmisto, joka toimii erillään kehitysympäristöstä.
Riskiluokittelu: jokainen toimittaja ei ansaitse samaa huomiota
Inventoinnin jälkeen seuraa luokittelu, yleensä kahdelle tai kolmelle tasolle. Toimittajat, joilla on pääsy lähdekoodiin, salaisuuksiin tai tuotantoympäristöihin, vaativat raskaimmat vaatimukset: vahva tunnistautuminen, lokitus, kiinteä yhteyshenkilö tapauksissa. Toimittajat, jotka vain välillisesti osallistuvat, kuten projektinsuunnittelutyökalu, vaativat vähemmän.
Direktiivi ja kansallinen laki eivät määritä kiinteää luokittelua; valvontaviranomaiset katsovat, ovatko toimenpiteet suhteessa riskiin. Se tarkoittaa, että valitsemaasi luokittelua on pystyttävä perustelemaan: miksi tämä toimittaja kuuluu raskaaaseen kategoriaan ja tuo toinen ei.
Mitä sinä kysyt ja mitä itse jo vastaat
Toimittajapolitiikka toimii kahteen suuntaan. Ulospäin käytät sitä kysymysten esittämiseen omille toimittajillesi: kuinka he käsittelevät haavoittuvuuksia, onko heillä prosessi kaksivaiheiselle tunnistautumiselle, kuinka nopeasti he ilmoittavat poikkeaman sinulle. Sisäänpäin se muodostaa perustan sille, mitä itse vastaat asiakkaiden kyselylomakkeisiin, sillä asiakas, joka arvioi sinua, haluaa usein tietää, onko sinulla oma ketjusi hallinnassa.
Kaksi puolta liittyvät toisiinsa: toimittajapolitiikka, jonka kirjoitat vain itseäsi varten, ei yleensä ole yhdenmukainen asiakkaiden esittämien kysymysten kanssa. Jos laaditte politiikan alusta alkaen ottaen huomioon, mitä ostaja vaatii, ette joudu kirjoittamaan sitä myöhemmin uudelleen.
Dokumentointi: politiikasta todisteeksi
Politiikka, joka on vain tekstidokumentissa, on vaikea todentaa silloin, kun asiakas tai sääntelyviranomainen sitä kysyy. Käytännöllisempää on elävä katsaus: kutakin toimittajaa kohti riskikategoria, viimeisin arviointi, todiste, kuten ilmoitus, sertifikaatti tai vastaus omaan kyselylomakkeeseen, ja henkilö organisaatiossanne, joka valvoo kyseistä toimittajaa.
Tällainen katsaus ei tarvitse olla suuri ollakseen hyödyllinen. Ohjelmistoyrityksen kannalta, jolla on muutama kriittinen toimittaja, taulukko, jossa on muutama sarake, on usein riittävä, kunhan sitä päivitetään, kun toimittaja vaihtuu tai sopimus uusitaan.
Haluatko ensin tietää, kuuluuko organisaatiosi itse vaatimuksen piiriin vai oletko vaikuttunut vain asiakkaidesi kautta? tee ilmainen tarkistus muutamalla kysymyksellä ja lue sivu, jolla käsitellään kaikkia aiheita kuinka toimittajien arviointi liittyy muihin velvoitteisiin. Kiinnostaako, mistä tämän alustan tiedot tulevat ja kuinka ajantasaisia ne ovat? Se on selitetty osoitteessa sivulla siitä, miten se toimii. Jos haluat muuntaa toimittajien katsauksen dossieeksi, jossa on todisteet ja omistajat, löydät tilaussivu mitä siihen tarvitaan.