Az a megbízó, aki a NIS2 gondossági kötelezettség alá esik, bizonyítania kell, hogy ismeri a saját szállítási láncában rejlő kockázatokat. Az az Ön által a megbízónak készített szoftver e lánc részét képezi. A gyakorlatban ez szerződéses követelményekké alakul, amely két dologra vonatkozik egyidejűleg: az Ön által szállított termékre és az e termék elkészítésének módjára. Mindkettő megjelenik a megállapodás szövegében, gyakran a beszerzési szerződés függelékeként.
A lényeg egyszerűen megjegyezhető: a megbízó nem csak azt kérdezi, hogy működik-e a szoftver, hanem azt is, hogy meg tudja-e mutatni, hogyan marad biztonságos, ki férhet hozzá, és mi történik, ha valami rosszul sül el. Ez eltolódás ahhoz képest, amikor korábban a funkcionalitás és a szállítási idő volt gyakran az egyetlen vitatéma.
Az Ön által szállított termékre vonatkozó követelmények
A leggyakoribb szerződéses követelmény magára a szoftver összetételére vonatkozik. A megbízók egyre gyakrabban kérik az alkalmazott könyvtárak és nyílt forráskódú komponensek egy áttekintésére, az úgynevezett szoftver alkatrészlistára. Az oka az, hogy az alapul szolgáló komponensben rejlő sebezhetőség ugyanolyan kockázat, mint a saját kód hibája, és a megbízó szeretné tudni ezeket a kockázatokat anélkül, hogy magát a forráskódot kellene olvasnia.
Továbbá visszatérő követelmények vannak arra vonatkozóan, hogy hogyan fedezik fel a szoftver sebezhetőségeit, és milyen határidőn belül szüntetik meg azokat. Ez lehet automatizált vizsgálat az ismert gyenge pontokra, rögzített javítási eljárás, vagy az a kérdés, hogy ki jelenthet be sebezhetőséget és hova kerül az. A meglévő szoftverek esetében néha a támogatási időre is kérdeznek: meddig marad egy verzió biztonsági frissítésekre szánva.
Az Ön fejlesztési folyamatára vonatkozó követelmények
A második követelmény-csoport nem a termékre, hanem az annak elkészítésének folyamatára, a fejlesztési folyamatra irányul. Gondoljon arra, hogy ki fér hozzá a forráskódhoz és az elkészítési és tesztési környezethez, hogyan ellenőrzik a módosításokat az élesítés előtt, és hogy van-e elkülönülés a test-, az elfogadási és a termelési környezet között. A többszintű ellenőrzés alkalmazása a forráskódhoz vagy build-rendszerekhez hozzáféréssel rendelkező fejlesztők számára szintén előfordul szerződésekben, valamint az a kérdés, hogy ki kezeli a szoftver telepítésével kapcsolatos kulcsokat és hozzáférési adatokat.
Néhány megbízó azt is kérdezi az Ön által az építéshez használt szoftverre vonatkozóan: a fordítóra, a build-eszközökre, a megépítés során beolvasott csomagokra. Ez összhangban van azzal a szélesebb tudattal, hogy a támadás nem csak a végprodukten keresztül futhat, hanem az azt készítő gyáron keresztül is.
Miért vannak ezek a követelmények pontosan így megfogalmazva
Az ezek alapjául szolgáló gondossági kötelezettség egy pénzügyi intézmény kötelez arra, hogy a saját szállítási láncban rejlő kockázatokat mérlegelje és kezelje. Ennek pontos végrehajtása az európai irányelvre alapozott nemzeti jogszabályonként és azon szektortól függően eltér, amelyben a megbízó tevékenykedik. Ami az egyik szerződésben kemény követelmény, az egy másik szerződésben még nem kötelező jellegű. Ha azt szeretné megtudni, hogy ez az obligáció alapjául szolgáló szerkezet hogyan épül fel, azt a tudásbázisunkban szereplő obigáció szerinti magyarázatban olvashatja meg.
Fontos megjegyezni: az a megbízó állít ilyen követelményeket, mert maga is felügyelet alatt áll, nem azért, mert a szoftvervállalatokat mint ilyeneket az irányelv alá esik. Az, hogy és mennyire szigorúan hajtódik végre az Ön helyzetében, az adott megbízó szektorától és méretétől függ. Az Ön saját helyzetéhez a nemzeti jogszabály szövege vagy egy jogász tanácsa a kiindulópont, nem pedig egy általános becslés.
Mit jelent ez az Ön előkészítésének szempontjából
Az ilyen követelmények többsége megfelelő előkészítéssel jól megválaszolható, és az egyszer összeállított válasz újra és újra felhasználható a következő megrendelőnél. Az összetevők listája, a hozzáférés-vezérlés rövid leírása és a javítások rögzített eljárása olyan dokumentumok, amelyeket minden szerződéshez újra nem kell létrehoznia.
Ha először azt szeretné megtudni, hogy és hogyan érinti ez a vállalatát, akkor az a vizsgálat, amely néhány kérdésből meghatározza a helyzetét az ellátási láncban kezdeti iránymutatást ad, anélkül hogy ehhez fiókra lenne szüksége. Az olyan konkrét kérdésekről, amelyeket a megrendelők felvetnek, és arról, hogy hogyan segítünk ebben, további információkért olvassa el a gyakran feltett kérdésekről szóló oldalon vagy tekintse meg hogyan támasztjuk alá a platform információit.
Az ingyenes tudásbázis és a vizsgálat az első képet adja kötelezettségek nélkül. Ha ezután a szerződéses követelményeket valóban egy folyó dosszié bewisstükökkel és kész kérdőívekre adott válaszokkal szeretné megvalósítani, akkor ez az idő annak megtekintésére, hogy mit ad hozzá az előfizetés.