Tko smije pristupiti izvornom kodu, razvojnom vodu i produkcijskom okruženju?
Kontrola pristupa u razvoju softvera bavi se pitanjem tko smije izvršiti koju radnju na kojem dijelu vašeg razvojnog voda: tko smije čitati kod, tko smije mijenjati kod i spajati ga, tko smije pokrenuti izgradnju i tko smije objaviti izdanje u produkciju. To je specifičnije pitanje od kontrole pristupa za organizaciju općenito, jer razvojni tim radi s više sustava istovremeno: spremištem izvornog koda, okruženja za izgradnju i testiranje, te obično odvojenim produkcijskim okruženju gdje se softver zapravo izvršava.
Razlog što se upravo ova tema ponovno pojavljuje u listama sigurnosnih pitanja i u mjerama obveze brižnosti Direktive NIS2 jest što greška u pristupu vašem razvojnom vodu izravno utječe na sve koji koriste vaš softver. Tko može nevidljivo promijeniti kod koji će se zatim raspodijeliti, ne šteti samo vašoj organizaciji već i vašim kupcima. Zato nadzorni organ kao i preuzimač koji sam podliježe obvezi brižnosti pita kako ste to organizirali.
Zašto se ovo specifično odnosi na izvorni kod i razvojni vod
Razvojni tim obično ima više ljudi s širim dozvolama nego što je strogo potrebno, jednostavno jer je to praktično: svi mogu biti svugdje, nitko nikoga ne čeka. S gledišta obveze brižnosti to je upravo točka na koju se dalje upituje. Ne zato što bi povjerenje bilo krivo, već zato što dokazivost nešto drugo od povjerenja: nadzorni organ ili preuzimač želi znati možete li pokazati tko ima pristup, ne samo da li to vjerujete.
Pitanja koja se tu pojavljuju obično se tiču tri sloja. Prvi je samo spremište izvornog koda: tko može čitati, tko može mijenjati, i postoji li obavezna provjera prije nego se promjena spoji s glavnom verzijom. Drugi je okruženje za izgradnju i testiranje: tko može pokrenuti izgradnju, i ima li to okruženje pristup podacima ili sustavima koji nisu namijenjeni testiranju. Treći je produkcijsko okruženje: tko može zapravo objaviti izdanje, i jesu li to druge osobe od onih što pišu kod.
Razdvajanje između pisanja i objavljivanja
Često se pojavljujuće razlikovanje na listama pitanja jest je li osoba koja piše kod ista osoba koja objavlje izdanje u produkciju. Gdje je to ista osoba, bez međukoraka druge osobe, nastaje situacija u kojoj greška ili zlonamjerna promjena nevidljivo završi u produkciji. Mnoge organizacije to rješavaju obaveznom drugom procjenom prije nego se kod spoji, te odvojenom ulogom ili odvojenim dozvolama za stvarno objavljivanje. Kako to u praksi izgleda,很大 se razlikuje ovisno o timu i veličini; sama direktiva ne propisuje specifičan način rada, ali nadzorni organi i preuzimači promatraju temeljno pitanje: može li jedna osoba nekontrolirano provesti izmjene koje utječu na klijente.
Tajne i ključevi odvojeno od koda
Druga točka na koju liste pitanja redovito dopituju, jest gdje se čuvaju zaporke, API-ključevi i druga tajnost. Tajne koje stoje u samom izvornom kodu vidljive su svakome s dozvolom za čitanje tog koda, što može biti mnogo veća grupa od onih koji trebaju stvarno raditi s tim ključem. Odvojena blagajna za tajnost, s vlastitim dozvolama neovisno o spremištu koda, čest je način da se to odvoji. Je li i kako ste ovo organizirali tehnička je odluka; relevantno za dosije je vooral možete li objasniti zašto je odabrana metoda primjerena veličini i rizicima onoga što gradite.
Što bilježite, ne samo što postavljate
Tehnička konfiguracija prava pristupa je jedno; dokazivanje toga je drugo, a to drugo se u praksi često zaboravlja. Popis tko ima pristup kojem sustavu, kada je pristup dodijeljen i na temelju čega, upravo je dokaz koji upitnik ili nadzorni organ traži. Bez tog popisa trebate pri svakom pitanju iznova rješavati; s živim registrom uz svaku mjeru odgovor je već spreman. prođite kroz objašnjenje po mjeri daje sliku kako se upravljanje pristupom odnosi prema ostalih devet mjera iz obveze pažnje.
Vršite li vi kao organizacija sami pod obvezu pažnje, ili ste tu pitanja dobili jer to vaš nalogodavac čini, može se odrediti s nekoliko pitanja. Za one koji se pitaju kako stroga su zahtjevi upravljanja pristupom upravo kada klijent traži da dokažete što je uređeno, daje objašnjenje o zaštiti podataka i sigurnosti širu sliku odakle takvi zahtjevi potječu.
Za vašu vlastitu situaciju, primjerice je li specifična konfiguracija vaše razvojne linije dovoljna za obvezu pažnje koja počiva na vama ili vašem nalogodavcu, pravi je mjesta pravnik ili nadležni nadzorni organ; secria.eu priprema dokumentiranje ali ne daje presude o zasebnoj usklađenosti.
Želite li vidjeti kako se upravljanje pristupom uklapa u ostatak vašega dossiera, ili vam je još što nejasno što se točno podrazumijeva pod tom mjerom? prođite kroz često postavljena pitanja odgovara na mnoge od tih točaka već s kratkim objašnjenjem, a besplatna brza procjena pokazuje u par minuta gdje se vaša organizacija nalazi s obzirom na tu temu.