Pri registraciji incidenata u razvoju softvera radi se o dvjema različitim stvarima koje se često miješaju: ranjivosti ili greške u softveru koji gradite i isporučujete, te incidentu u vašoj vlastitoj razvojnoj liniji — okruženju u kojem taj softver kreirate. Ono što dokumentirate, tko to mora znati i koji sljedeći korak je uključen, razlikuje se po vrsti. Ako to razlikovanje ne napravite, često propustite incident koji je najvažniji: zagađenje u build-pipeline-u koje se kroz kod širi svim klijentima koji ga koriste.
Ranjivost u isporučenom kodu izravno pogađa klijenta: on koristi softver, pa se suočava s rizikom. Incident u razvojnoj liniji — ukradena pristupna ključa, kompromitiran build-račun, curenja u spremištu izvornog koda — u prvom redu vas pogađa, ali može se proširiti na svakog klijenta koji s tim kodom radi. Za obje stvari vrijedi da sigurnosni upitnik ili revizor ne pita je li ikad nešto pošlo po zlu, već može li vam se dokazati što ste o tome dokumentirali i što ste naučili.
Što dokumentirate pri incidentu u kodu
Pri ranjivosti ili greški u isporučenom softveru radi se o: kada je otkrivena, od strane koga ili čega (interno testiranje, prijava klijenta, skeniranje, vanjski istraživač), koji dio softvera je pogođen, kakav je mogući učinak, koje je akcije poduzeto i na koji datum, te tko je u vašoj organizaciji odgovoran za nastavak. Dobra registracija čini vidljivim i je li ispravka raspoređena svim klijentima koji koriste dotičnu verziju, ili samo onima koji su je prijavili. Ovo posljednje je upravo ono o čemu klijent pita u upitniku: ne je li ranjivost ikad bilo, već garantira li vaš proces da svaki pogođeni to doznaje.
Što dokumentirate pri incidentu u razvojnoj liniji
Incident u vašem vlastitom razvojnom okruženju — kompromitiran račun s pristupom spremištu izvornog koda, build-server koji se ponaša drugačije nego što se očekuje, ovisnost koju se kasnije pokazuje zloćudnom — zahtijeva nešto drugačiju registraciju. Ovdje se radi o: koji je sustav ili račun bio pogođen, tko je imao pristup tijekom razdoblja u kojem se to događalo, postoje li dokazi da je kod promijenjen ili pregledан, te koji klijenti mogu koristiti softver koji je u tom razdoblju građen ili isporučen. Ovo je vrsta incidenta koju uprava pristupa u razvojnoj liniji izravno pogađa: bez trenutnog pregleda tko smije gdje, odgovaranje na to pitanje tijekom incidenta značajno je teže.
Koga obavještavate, a koga ne
Padne li i na vas dužnost skrbi prema Zakonu o kibernetskoj sigurnosti ili ne, određuje koga obavještavate o incidentu. Entiteti koji su sami označeni kao bitni ili važni, imaju obvezu obavijesti svog nadzornika; što točno to mora biti i u kojem roku, opisano je u Direktivi i nacionalnom zakonu, i razlikuje se prema situaciji. Softverska tvrtka koja je pogođena kroz lanac — dakle nije sama obvezna, ali isporučuje klijentu koji jest — nema tu obvezu obavijesti nadzornika, ali obično ima ugovornu dogovor da obavijesti klijenta. To ne čini vašu vlastitu registraciju manje važnom: klijent koji pita je li ikad bilo incidenta, želi vidjeti konkretan odgovor, ne procjenu u retrospektivi.
Registar koji živi, ne arhiv
Registracija incidenata najbolje funkcionira kao živi dokument: popis u kojem se za svaki incident mogu pronaći stanje, dokaz i vlasnik, umjesto odvojenog izvješća koje nakon rješavanja nestane u mapi. To je u skladu s načinom na koji je obaveza skrbi strukturirana, s deset mjera od kojih svaka traži stanje i vlasnika. Tko želi vidjeti kako se registracija incidenata odnosi prema ostalih devet mjera, može pronaći taj pregled na stranici sa svim temama prema situaciji.
Je li vaša organizacija sama podložna obvezi skrbi, pogođena putem lanca opskrbe, ili nijedno od toga, može se vidjeti s nekoliko pitanja kroz provjeru NIS2 koja s nekoliko pitanja daje indikaciju. Tko želi precizno znati odakle dolaze informacije na secria.eu i kako se održavaju, može to pročitati na stranici o načinu funkcioniranja. A tko nakon čitanja želi znati što pretplata dodaje onome što je ovdje besplatno dostupno, može to jasno pronaći kod pregleda onoga što je uključeno.
Ovaj tekst je opća napomena i ne predstavlja pravnu savjet o vašoj specifičnoj situaciji. Za ocjenu vašeg specifičnog procesa rukovanja incidentima ili obveze prijave, možete se obratiti pravniku ili toezornom tijelu koje je nadležno za vašu granu.