Mitä kysymyksiä ohjelmistoyritys saa NIS2-kyselylomakkeessa?
Jos kehitätte ohjelmistoa tilaajalle, joka itse kuuluu NIS2-direktiivin tai Hollannin kyberturvallisuuslain soveltamisalaan, saatte lähes varmasti tietoturvakyselylomakkeen. Ohjelmistokehityksessä kysymykset käsittelevät aina kahta asiaa: toimittamanne ratkaisun turvallisuutta ja ympäristön turvallisuutta, jossa sen kehitätte. Toinen näkökulma erottaa nämä kyselyt esimerkiksi asennus- tai toimitilojen palvelun tarjoajille esitetyistä kysymyksistä.
Ydin on aina sama: voiko joku lähdekodin, kehitysympäristön tai paketinhallinnan tilin kautta päästä tilaajasi järjestelmään, ja mitä teet sen estämiseksi tai nopean havaitsemisen varmistamiseksi. Kuka osaa vastata näihin kahteen kysymykseen, on jo valmiina suurimmaksi osaksi listasta.
Miksi ohjelmisto on erillinen kategoria
Useimmilla toimittajilla tilaaja tarkastelee, mitä yrityksessäsi tapahtuu: kenellä on pääsy mihin järjestelmiin, miten testaatte varmuuskopiota. Ohjelmistotoimittajalla on lisäksi kerros, joka käsittää sen, mitä yrityksestäsi lähetetään tilaajan yritykseen. Se voi olla päivitys, sovellusliittymän yhteys tai koodi, joka toimii suoraan heidän ympäristössään. Siksi tilaaja kysyy tässä syvemmälle kuin toimittajalta, joka käyttää vain toimistotietojenkäsittelyä.
Kysymykset tuotteesta: mitä toimitat
Suuri osa kyselymuodosta koskee itse ohjelmistoa. Käytättekö ulkoisia kirjastoja ja komponentteja, ja seuraatteko, mitä nämä ovat – usein kutsutaan ohjelmistokomponenttien luetteloksi. Kuinka käsittelette haavoittuvuuden, joka ilmenee tällaisessa osassa, ja millä aikataululla päivitätte sen. Tarkistaako toinen henkilö koodin ennen kuin se otetaan käyttöön. Testaatteko tunnettuja heikkoja kohtia ennen toimittamista, ja kuka sen tekee.
Tämän alla on usein kysymys ilmoituksista: jos joku yrityksen ulkopuolelta löytää haavoittuvuuden ohjelmistossanne, onko sillä tapa ilmoittaa se teille, ja mitä tällaiselle ilmoitukselle tapahtuu. Tämä ei ole juridinen velvoite, joka johtuisi suoraan NIS2:sta sinulle toimittajana, mutta tilaajat kysyvät siitä käytännössä, koska heidän on voitava osoittaa se omalle valvojalle.
Kysymykset kehitysputkesta: kuinka rakennatte
Toinen lohko koskee ympäristöä, jossa ohjelmisto syntyy. Kenellä on pääsy lähdekoodiin, ja onko pääsy henkilökohtainen vai jaettu. Onko kehitykseen ja toimittamiseen käytettävässä ympäristössä monivaiheinen vahvistus. Testaako järjestelmä muutoksen automaattisesti ennen tuotantoon siirtämistä, ja voidaanko tämä vaihe kiertää. Kuka hallitsee ohjelmiston allekirjoittamisen avaimia ja varmenteita, ja missä ne säilytetään.
Myös varsin tavallinen: kuinka käsittelette kehittäjien kannettavia tietokoneita ja tilejä, jotka käyttävät tätä ympäristöä, erityisesti kun ne toimivat etäyhteyden kautta. Ja: säilytättekö lokeja siitä, kuka on muuttanut mitä koodissa tai putkelissa, ja kuinka pitkään. Jälkimmäinen liittyy siihen, mitä laajemmassa mielessä kutsutaan tapahtumakirjaukseksi, mutta se on tarkoitettu kehitysympäristöille.
Mitä tilaaja voi ja ei voi kysyä
Lista saa käsitellä tuotteen turvallisuutta ja kehitysprosessia siinä laajuudessa kuin se vaikuttaa tilaajan riskiin. Kysymykset täydellisestä sisäisesta organisaatiosta, henkilöstöpolitiikasta tämän kontekstin ulkopuolella tai yrityksen osista, joilla ei ole tekemistä toimitetun ohjelmiston kanssa, eivät kuulu siihen. Tarkka rajapinta vaihtelee sopimuksesta ja toimialasta riippuen, ja se on olennaista selventää tilaajan kanssa käytävässä keskustelussa, eikä jotakin, jonka pituudesta voi vaieta.
Kuinka rakennatte tämän kerran oikein
Useimmissa näistä kysymyksistä ei ole kyse hetkellisestä tilannekuvasta, vaan vakiintuneesta joukkosta, joka toistuu lähes jokaisen tilaajan kanssa — vain hieman eri muotoiltuna. Joka kerta kun vastaukset dokumentoidaan yhdelle toimenpiteelle — todisteineen ja vastuunhaltijoineen — ne voidaan seuraavassa kyselylomakkeessa vain kopioida ja mukauttaa. Kun muutaman kysymyksen avulla nähdään, koskiko se teitä ja millä tavoin näette ensin tilanteenne, ja aiheen mukaisen yleiskatsauksen kautta löydätte yksittäisten toimenpiteiden — kuten pääsynhallinnan ja poikkeamien kirjaamisen — tarkemmat kuvaukset. Jos olette epävarma jonkin tietyn kysymyksen suhteen listalla, jonka saitte, niin usein kysytyistä kysymyksistä koostuva luettelo antaa usein jo ensimmäisen suunnan, ja selitys siitä, mistä tietomme ovat peräisin osoittaa, miten pidämme lähdeluettelon ajan tasalla.
Jos haluatte ensin itse tarkistaa, koskiko tämä teidän yritystäänne ja millä tavoin, suorittakaa ilmainen nopea arviointi tai selatkaas tietokantaa. Molemmat ovat käytettävissä ilman tunnusta, ja ne antavat alkuperäisen, totutuslaatuisen kuvan — ei arviota teidän erityisestä tilanteestanne; epävarmuuden tapauksessa voitte aina kääntyä oikeudellisen asiantuntijan tai sektoriinne toimivaltaisen valvontaviranomaisen puoleen.