Kao softverska tvrtka, sve više često primite listu sigurnosnih pitanja od klijenta koji spada pod Zakon o kibernetskoj sigurnosti. Ta ista obveza ažurne pazi koja vaš klijent nameće prema vama, nameće vam i nešto: procijeniti koje od vaših vlastitih dobavljača utječu na sigurnost onoga što gradite i isporučujete. Politika nabave je način da tu procjenu učinite ponovljivom, umjesto da svaki put iznova razmišljate kome zapravo vjerujete.
Kratak odgovor: počinjete s pregledom tko se nalazi u vašoj razvojnoj liniji i u isporučenom softveru, klasificirate te dobavljače prema riziku koji predstavljaju, i za svaku kategoriju utvrđujete koje zahtjeve postavljate i kako to provjeravate. Taj pregled i ta klasifikacija zajedno čine politiku nabave.
Dvije vrste dobavljača, jedno slijepo mjesto
U razvoju softvera dva lanaca prolaze jedan kroz drugoga, što čini politiku nabave kompliciranijom nego kod tvrtke koja samo nabavlja fizičku robu.
Prvi lanac je vaša razvojna linija: upravljač izvornog koda, CI/CD cjevovod, okruženje u oblaku gdje gradite, alati za testiranje i implementaciju. Slaba točka tamo prvi put utječe na vašu vlastitu poslovnu aktivnost.
Drugi lanac je ono što završi u vašem proizvodu: biblioteke otvorenog koda, API-ji trećih strana, kupljene komponente. Slaba točka tamo ne utječe samo na vas, već na svakog klijenta koji koristi vaš softver. Upravo je to razlika koju većina politika nabave propušta: pozornost ide prema prvom lancu jer je vidljiv u svakodnevnom radu, dok je drugi lanac često vidljiv tek kada nešto pođe po zlu.
Inventarisacija: počnite s onim što već radi
Politika nabave ne počinje sa predloškom, već sa popisom. Za razvoj softvera to znači najmanje: koje pružatelje cloud usluga koristite, koje upravitelje paketa i registre vaš proces izgradnje preuzima, koje vanjske API-je vaš proizvod poziva, i koji od tih sudionika mogu pristupiti kodu, tajnama ili podacima proizvodnje.
Za svakog dobavljača pitanje nije samo što radi, već što se događa ako padnu ili bude ugroženi. Upravitelj paketa iz kojeg dolaze stotine ovisnosti bitan je drugačije od paketa za fakturiranje koji radi odvojeno od razvojne linije.
Klasifikacija rizika: ne zaslužuje svaki dobavljač istu pažnju
Nakon inventarisacije slijedi klasifikacija, obično u dvije ili tri razine. Dobavljači s pristupom izvornom kodu, tajnama ili okruženjima proizvodnje trebaju strože zahtjeve: jaku provjeru identiteta, bilježenje, čvrstu kontaktnu točku u slučaju incidenta. Dobavljači koji se samo neizravno bave, kao alat za planiranje projekata, trebaju manje.
Direktiva i nacionalni zakon ne propisuju čvrstu klasifikaciju; pri tome nadzorni organi gledaju je li mjere u srazmjeri s rizikom. To znači da klasifikacija koju odaberete mora biti objašnjiva: zašto ovaj dobavljač spada u tešku kategoriju a onaj drugi ne.
Što vi pitajte, i što vi sami već odgovarate
Politika nabave funkcionira na dva smjera. Prema van je koristite da postavljate pitanja vlastitim dobavljačima: kako se nose s ranjevima, imaju li proces za višestruku provjeru, koliko brzo vam prijavljivaju incident. Prema unutra predstavlja temelj za ono što sami odgovarate na liste pitanja vaših klijenata, jer klijent koji vas procjenjuje često želi znati jesu li vaš lanac u fokusu.
Dvije strane su međusobno povezane: politika dobavljača koju napišete samo za sebe obično se ne podudara s pitanjima koja dobijate od kupaca. Ako postavite politiku od početka vodeći računa o tome što kupac traži, trebat će vam je prepisati kasnije.
Dokumentiranje: od politike do dokaza
Politika koja postoji samo u tekstualnom dokumentu teško se može opravdati u trenutku kad je kupac ili nadzorni organ zatraži. Praktičnije je živi pregled: po dobavljaču kategorija rizika, posljednja procjena, dokaz kao što je izjava, certifikat ili odgovori na vašu vlastitu listu pitanja, i tko unutar vaše organizacije nadzire tog dobavljača.
Takav pregled ne mora biti obiman da bi bio koristan. Za softversku tvrtku s nekoliko ključnih dobavljača obično je dovoljna tablica s nekoliko stupaca, pod uvjetom da se redovito ažurira kada se dobavljač promijeni ili ugovor obnovi.
Želite li prvo saznati pada li vaša organizacija sama pod obvezu ili je samo dogovarana kroz vaše kupce? obavite besplatnu provjeru u nekoliko pitanja i pročitajte na stranici sa svim temama kako je procjena dobavljača povezana s ostalim obvezama. Znatiželjni ste gdje dolaze informacije na ovoj platformi i koliko su aktuelne? To je objašnjeno na stranici o načinu funkcioniranja. Tko želi pretvoriti pregled dobavljača u dosje s dokazima i vlasnicima, nalazi na stranici s pretplatama što je za to potrebno.