Koja pitanja softverska tvrtka dobija na NIS2 listi sigurnosnih pitanja?
Ako razvijate software za naručitelja koji sâm pada pod Direktivu NIS2 — ili pod Zakon o kibernetskoj sigurnosti u Nizozemskoj — tada ćete gotovo sigurno dobiti listu sigurnosnih pitanja. Pitanja u toj listi pri razvoju softvera uvijek se bave s dvije stvari: sigurnošću onoga što isporučujete, i sigurnošću okruženja u kojem to pravite. Ta druga točka razlikuje te liste od onih za primjerice instalatersku tvrtku ili pružatelja usluga opće infrastrukture.
Jezgra je uvijek ista: može li netko kroz vaš izvorni kod, vašu razvojnu infrastrukturu ili vaš račun kod upravitelja paketa dobiti pristup sustavu vašeg naručitelja, i što radite da to spriječite ili brzo detektirate. Tko može odgovoriti na ta dva pitanja, veći je dio liste već gotov.
Zašto je softver posebna kategorija
Kod većine dobavljača naručitelj gleda što se dešava u vašoj tvrtki: tko ima pristup kojim sustavima, kako testirate sigurnosnu kopiju. Kod dobavljača softvera dodaje se i sloj onoga što iz vaše tvrtke u onu naručitelja ide. To može biti ažuriranje, API sprega, ili kod koji se izravno izvršava u njihovu okruženju. Zato naručitelj ovdje dublje zadire nego kod dobavljača koji koristi samo standardne uredske alate.
Pitanja o proizvodu: što isporučujete
Velik dio liste bavi se samim softverom. Koristite li vanjske knjižnice i komponente, i pratite li koje su — često se označavaju kao pregled softverskih komponenti. Kako postupate s ranjivošću koja se otkrije u toj komponenti, i u kojem roku onda izdate ažuriranje. Pregledava li kod druga osoba prije nego što krene u produkciju. Testirate li na poznatim slabim mjestima prije nego što isporučite, i tko to radi.
Ispod toga često dolazi i pitanje o prijavljivanju: ako netko izvan vaše tvrtke otkrije ranjivost u vašem softveru, postoji li način da to prosledi vama, i što se sa takvom prijavom dešava. To nije pravna obaveza koja sama iz NIS2 direktive proizlazi za vas kao dobavljača, ali naručitelji u praksi to pitaju jer trebaju moći to objasniti svojoj nadzornoj vlasti.
Pitanja o razvojnoj infrastrukturi: kako gradite
Drugi blok govori o okruženju u kojem nastaje software. Tko ima pristup izvornom kodu, i je li taj pristup vezan uz osobu ili je zajednički. Postoji li verifikacija u više koraka na okruženju u kojem se gradi i u kojem se isporučuje. Testira li se promjena automatski prije nego što ide u produkciju, i može li netko preskočiti taj korak. Tko upravlja ključevima i certifikatima s kojima se software potpisuje, i gdje se oni čuvaju.
Također se redovito pojavljuje: kako postupate s prijenosnim računalima i računima razvojnih inženjera koji rade s ovim okruženjem, pogotovo ako rade na daljinu. I: čuvate li zapise tko je što promijenio u kodu ili cjevovodu, i koliko dugo. Potonje se veže uz ono što se u širem smislu naziva registracijom incidenata, ali usmjereno samo na samu razvojnu infrastrukturu.
Što naručitelj smije i što ne smije pitati
Lista može zahvatiti sigurnost vašeg proizvoda i vašeg razvojnog procesa u mjeri u kojoj to utječe na rizik naručitelja. Pitanja o vašoj cijeloj internoj organizaciji, vašoj kadrovskoj politici odvojenoj od ovog konteksta, ili dijelove vaše tvrtke koji nemaju veze s isporučenim softverom, spadaju izvan toga. Gdje je točno ta granica, razlikuje se ovisno o ugovoru i sektoru, i to je nešto što trebate ujasniti u razgovoru s naručiteljem, ne nešto što trebate bezglasno prihvatiti.
Kako to jednom dobro sagraditi
Većina tih pitanja nije snimak stanja u određenom trenutku nego stalan skup koji se vraća u skoro svakom nalogu, samo s drugačijom formulacijom. Tko jednom po mjeri fiksira odgovore — s dokazom i vlasnicima — ne trebam ih pri sljedećoj listi pitanja samo kopirati i prilagoditi. S nekoliko pitanja koja pokazuju jesam li i kako pogođeni prvo vidite gdje stojite, a u pregledu po temi nalazite razradu pojedinih mjera kao što su pristup i registracija incidenta. Ako ste nesvjesni određenog pitanja u listi koju ste dobili, tada popis često postavljanih pitanja često već daje prvi smjer, a objašnjenje gdje dolaze naše informacije pokazuje kako vodimo izvore.
Ako želite sami prvo provjeriti je li i kako vaša tvrtka tu stoji, tada obavite besplatnu brzu provjeru ili pregledajte bazu znanja. Oba se mogu konzultirati bez računa i daju prvi, činjenični pokazatelj — ne ocjenu vaše specifične situacije, za koju u slučaju sumnje uvijek možete obratiti se odvjetniku ili toezichthouder koji je nadleži za vašu granu.