Szoftverbeszállítóként egyre gyakrabban kap biztonsági kérdőívet olyan ügyféltől, aki a Cyberbeveiligingswet hatálya alá tartozik. Az a gondossági kötelezettség, amely az ügyfelet felé kötelezi, önmagát is kötelezi: értékelje, hogy saját szállítói közül mely szereplőknek van hatása az Ön által épített és szállított rendszer biztonságára. A szállítói politika az a módszer, amellyel ezt az értékelést megismételhetővé teszi ahelyett, hogy minden alkalommal újra kellene gondolni, kire bízhatunk magunk.
Rövid válasz: egy áttekintéssel kezd, hogy ki van a fejlesztési folyamatban és a szállított szoftverben, szállítóit a által okozott kockázat szerint kategorizálja, és kategóriánként rögzíti, milyen követelményeket támaszt és hogyan ellenőrzi azt. Ez az áttekintés és a kategorizálás együttesen alkotja a szállítói politikát.
Kétféle szállító, egy vakfolt
A szoftverfejlesztésben két lánc megy keresztül egymáson, és ez bonyolultabbá teszi a szállítói politikát, mint egy olyan vállalaté, amely csak fizikai árut beszállít.
Az első lánc a fejlesztési folyamat: a forráskód-tárház, a CI/CD-csatorna, a felhőkörnyezet, amelyen építkezik, a tesztelési és telepítési eszközök. Az ott gyenge pont elsősorban az Ön vállalati működésére hat.
A második lánc az, ami a termékbe kerül: nyílt forráskódú könyvtárak, harmadik fél API-jai, beszerzett komponensek. Az ott gyenge pont nemcsak Önra hat, hanem az Ön szoftverét használó minden ügyfélre is. Ez a megkülönböztetés éppen az, ahol sok szállítói politika hiányzik: a figyelem az első lánc felé irányul, mert az a napi munka során látható, míg a második lánc gyakran csak akkor válik láthatóvá, ha valami nem működik.
Leltárizálás: kezdje azzal, ami már működik
A szállítói politika nem egy sablonnal kezdődik, hanem egy listával. A szoftverfejlesztéshez ez legalább az jelenti: mely felhőszolgáltatókat használ, mely csomagkezelőket és nyilvántartásokat húz a az Ön fordítási folyamata, mely külső API-kat hívja meg az Ön terméke, és mely szereplők lehetnek kapcsolatban a kóddal, titkokkal vagy éles adatokkal.
Minden szállító esetében a kérdés nem csak az, hogy mit csinálnak, hanem az, hogy mi történik, ha leállnak vagy kompromittálódnak. A pakétkezelő, ahol több száz függőség származik, másmilyen súlyú, mint egy számlázási csomag, amely a fejlesztési folyamaton kívül működik.
Kockázat-kategorizálás: nem minden szállító érdemel azonos figyelmet
A leltárizálás után következik a kategorizálás, általában két vagy három szinten. Az olyan szállítók, akik hozzáféréssel rendelkeznek a forráskódhoz, titokhoz vagy éles környezetekhez, súlyosabb követelményeket igényelnek: erős hitelesítés, naplózás, rögzített kapcsolattartó incidensek esetén. Az olyan szállítók, akik csak közvetetten vesznek részt, például egy projektmenedzsment eszköz, kevesebbet követelnek.
Az irányelv és a nemzeti törvény nem írja elő a rögzített kategorizálást; a felügyeleti hatóságok azt nézik, hogy az intézkedések arányosak-e a kockázattal. Ez azt jelenti, hogy az Ön által választott kategorizálást meg kell tudnia magyarázni: miért esik ez a szállító a súlyos kategóriába és a másik nem.
Mit kér, és mit válaszol saját maga
A szállítói politika kétirányú. Kifelé használja arra, hogy kérdéseket tegyen fel saját szállítóinak: hogyan foglalkoznak a sebezhetőségekkel, van-e folyamatuk a többtényezős hitelesítéshez, milyen gyorsan közlik az incidenseket Önnel. Befelé pedig az alapját képezi annak, amit Ön saját maga válaszol az ügyfelek kérdőívein, mert az Önt értékelő ügyfél gyakran szeretné tudni, hogy van-e Önnek rálátása a saját láncolatra.
A két oldal összefügg: egy szállítói szabályzat, amelyet csak magának ír, általában nem illeszkedik az ügyfelektől kapott kérdésekhez. Aki a szabályzatot kezdettől fogva úgy alakítja ki, hogy figyelembe veszi, amit egy megbízó kérdez, később nem kell azt újraírnia.
Dokumentálás: szabályzattól bizonyítékig
Egy szabályzat, amely csak egy szöveges dokumentumban létezik, nehezen tudható alátámasztani abban a pillanatban, amikor egy ügyfél vagy felügyeleti szerv rákérdez. Praktikusabb egy élő áttekintés: szállítónként a kockázati kategória, a legutolsó értékelés, a bizonyíték, például egy nyilatkozat, egy tanúsítvány vagy a saját kérdőívére adott válasz, valamint az a személy a szervezetben, aki az adott szállítót felügyeli.
Egy ilyen áttekintésnek nem kell nagynak lennie ahhoz, hogy hasznos legyen. Egy szoftvercég számára, amelynek néhány kritikus szállítója van, általában néhány oszlopból álló táblázat elegendő, feltéve, hogy azt naprakészen tartják, amikor a szállító megváltozik vagy a szerződést megújítják.
Szeretné először megtudni, hogy a szervezete maga tartozik-e a gondossági kötelezettség alá, vagy csak az ügyfelei révén érinti? végezze el az ingyenes ellenőrzést néhány kérdésben és olvassa el az összes témát tartalmazó oldalt hogyan kapcsolódik a szállítói értékelés az egyéb kötelezettségekhez. Kíváncsi, honnan származnak az információk ezen a platformon és mennyire naprakészek? Ez megtalálható a az oldal működésérről szóló oldalonoldalon. Aki a szállítói áttekintést bizonyítékokkal és felelősökkel rendelkező dossziévá szeretné alakítani, megtalálja a előfizetési oldalt amit ehhez szükséges.