Što spada u politiku informacijske sigurnosti za razvoj softvera?
Politika informacijske sigurnosti za razvoj softvera je dokument u kojem vaša organizacija zapisuje kako upravlja sigurnošću informacija, sustava i koda. Za softversku tvrtku, to se odnosi na dvije stvari istovremeno: sigurnost onoga što gradite i sigurnost okoline u kojoj ga gradite. Oboje spada u isti dokument, iako su to sadržajno različite teme.
U praksi, politika obično pokriva opseg (koji sustavi i koji razvojni projekti su obuhvaćeni), odgovornosti (tko odlučuje, tko upravlja, tko kontrolira), načina na koji se regulira pristup izvornom kodu i razvojnim okruženjima, kako se pronalaze i rješavaju ranjivosti u vlastitom kodu, kako se upravlja razvojnim okruženjima naspram proizvodnih okruženja, kako se bilježe incidenti i kako se sama politika održava i preispituje. Checklist nabavitelja često traži upravo taj oblik dokumenta kao dokaz, a ne tehnički opis vašeg izvornog koda.
Dva sloja: proizvod i razvojna linija
Prvi sloj se odnosi na proizvod: softver koji dostavljate kupcima. Tu spada opis kako upravljate ranjivostima koje se otkriju nakon isporuke, kako ažuriranja i zakrpe stigu do kupaca, te tko u organizaciji je odgovoran za praćenje prijava o sigurnosnim problemima u proizvodu.
Drugi sloj se odnosi na razvojnu liniju: okruženje u kojem vaš tim radi. To je okruženje za upravljanje verzijama, razvojna i testna cjevovoda, te razdvajanje između testnog i proizvodnog okruženja. Ovdje se postavlja pitanja kao: tko može pristupiti izvornom kodu, kako se promjene nadziru prije nego što postanu dostupne, i kako se pristup uklanja kada netko napusti tim. Oba sloja mogu biti u istom dokumentu, ali se često opisuju odvojeno jer se rizici i vlasnici razlikuju.
Zašto nabavitelj to pita
Organizacije koje su same obavezane duživanjem skrbi dužne su procijeniti rizike kod svojih dobavljača. Softverska tvrtka koja razvija za takvu organizaciju na taj način dobija pitanja koja ne proizlaze iz vlastite obaveze, već iz lanca opskrbe. Politika informacijske sigurnosti često je prvi dokument koji se traži, jer u jednom dokumentu pokazuje kako je strukturalno sigurnost riješena. Ako nedostaje, trebate je objasniti u checklistu po pitanju odvojeno, što traje duže i manje je uvjerljivo od postojećeg dokumenta.
Jesu li vaša organizacija sama obavezana duživanjem skrbi, obuhvaćena lancem opskrbe ili nijedno od toga, nije odmah vidljivo. u nekoliko pitanja vidjeti gdje vaša organizacija stoji daje prvi nagovještaj, s objašnjenjem zašto.
Kako se ova politika odnosi prema pojedinim mjerama
Politika informacijske sigurnosti ne stoji sama. Ona na široj razini opisuje kako upravljate sigurnošću, dok pojedinaćne mjere — upravljanje pristupom, sigurnosne kopije, registracija incidenata, procjena dobavljača — predstavljaju konkretnu provedbu. Tko napiše politiku bez da ima uređene osnovne mjere, ima dokument koji se ne slaže sa praksom. Obrnuto je također složeno: pojedinačne mjere bez nadređene politike izgledaju raspršeno onima koji ih postavljaju. pregled svih tema po situaciji pokazuje kako se ovi dijelovi međusobno povezuju.
Što se u praksi često propušta
U mnogim prvim verzijama takve politike nedostaje jasna osoba odgovorna za svaki dio: tko je odgovoran za ažuriranje politike pristupa, tko za politiku zakrpa. Često nedostaje i fiksni datum evaluacije, što znači da se politika od prije dvije godine i dalje predstavlja kao trenutna iako se razvojna linija međusobno promijenila. I treća stvar koja često nedostaje: eksplicitan veznik između politike i dokaza koji pokazuju da se ona i provodi, poput zapisnika o pravima pristupa ili pregleda primijenjenih zakrpa.
Procjena vaše vlastite situacije
Koji se točno dijelovi očekuju ovisi o ulozi vaše organizacije u opskrbnom lancu i o tome što specifični kupac traži. Ovaj članak opisuje uobičajenu strukturu, ne obvezatni predložak, a sam zakonski tekst ne propisuje fiksni redoslijed. Za procjenu vaše specifične situacije odličan izbor je pravnik ili nadležni nadzorni organ; česta pitanja o takvim dokumentima daje dodatni pregled onoga što se često traži.
Želite li vidjeti kako se takva politika, zajedno s temeljnim mjerama i dokazima, održava u tekućoj evidenciji umjesto kao odvojeni dokument? kako secria.eu gradi i održava informacije to pokazuje. Inače počnite s besplatnom NIS2 provjerom, ili pregledajte bazu znanja da vidite koja su područja relevantna za vašu organizaciju.