Milyen kérdéseket kap egy szoftvercég egy NIS2-kérdéssorban?
Ha szoftveret fejleszt egy olyan megbízó számára, aki maga a (EU) 2022/2555 irányelv hatálya alá tartozik — vagy Hollandiában a Cyberbeveiligingswet hatálya alá — akkor szinte biztosan kap egy biztonsági kérdőívet. Az ilyen kérdőívek a szoftverfejlesztésben mindig két dologról szólnak: az Ön által szállított termék biztonsága, és annak a környezetnek a biztonsága, amelyben azt elkészíti. Ez a második pont különbözteti meg ezeket a kérdőíveket például egy telepítő vállalkozás vagy egy általános szolgáltató kérdőíveitől.
Az alapvetés minden esetben ugyanaz: hozzáférhessen-e valaki az Ön forráskódján, fordítási környezetén vagy a csomagkezelőjénél lévő fiókján keresztül a megbízó rendszeréhez, és mit tesz ennek megakadályozására vagy gyors felfedezésére. Aki ezt a két kérdést meg tudja válaszolni, a lista nagyobb részére már készen van.
Miért különleges kategória a szoftver
A legtöbb szállító esetében a megbízó azt nézi meg, hogy mi történik az Ön cégén belül: kinek van hozzáférése mely rendszerekhez, hogyan tesztel Ön egy biztonsági másolatot. Szoftverszállító esetén ehhez még egy réteg adódik, nevezetesen az, amit az Ön cégéből a megbízó cégébe közvetít. Ez lehet frissítés, API-csatolás vagy olyan kód, amely közvetlenül az ő környezetében fut. Ezért kérdez mélyebben egy megbízó itt, mint egy olyan szállító esetén, aki csak irodai automatizálást használ.
Kérdések a termékről: amit szállít
A kérdőív jelentős része magára a szoftverre vonatkozik. Külső könyvtárakat és komponenseket használ-e, és nyomon követi-e ezeket — gyakran szoftverre vonatkozó összetevő-jegyzékként jelölik. Hogyan jár el, ha ilyen összetevőben biztonsági rés fedezik fel, és milyen időn belül bocsát ki frissítést. Egy másik személy felülvizsgálja-e a kódot, mielőtt az élesbe kerül. Tesztel-e az ismert biztonsági résekre a szállítás előtt, és ki végzi ezt.
Gyakran egy kérdés a bejelentésekről szintén előfordul: ha az Ön cégén kívüli valaki biztonsági rést fedez fel az Ön szoftverében, van-e módja ennek nálunk való bejelentésére, és mi történik ilyen bejelentéssel. Ez nem olyan jogi kötelezettség, amely a (EU) 2022/2555 irányelvből közvetlenül Önre mint szállítóra hárul, de a gyakorlatban a megbízók megkérdezik, mert ezt saját felügyeleti szervüknek alá kell tudniuk támasztani.
Kérdések a fejlesztési folyamatról: hogyan épít
A második blokk annak a környezetnek az adminisztrációjáról szól, amelyben a szoftver létrejön. Kinek van hozzáférése a forráskódhoz, és ez a hozzáférés személyhez kötött vagy megosztott-e. Többfaktoros ellenőrzés van-e azon a környezeten, ahol fejlesztenek és szállítanak. Automatikusan tesztelődik-e egy módosítás a termelésbe kerülés előtt, és megkerülheti-e valaki ezt a lépést. Ki kezeli azokat a kulcsokat és tanúsítványokat, amelyekkel a szoftveret aláírják, és hol tárolódnak.
Szintén meglehetősen rendszeres: hogyan jár el a fejlesztők laptopjaival és fiókjaival, akik ezzel a környezettel dolgoznak, különösen akkor, ha távolról dolgoznak. És: őrzi-e azokat a naplókat, amelyek rögzítik, hogy ki mit módosított a kódban vagy a szállítási folyamatban, és meddig. Ez utóbbi tágabb értelemben az incidensnaplózásnak nevezett kategóriához kapcsolódik, de magára a fejlesztési környezetre összpontosít.
Mit kérdezhet meg egy megbízó és mit nem
A lista foglalkozhat az Ön termékének és fejlesztési folyamatának biztonságával abban a mértékben, amely a megbízó kockázatát érinti. A teljes belső szervezetre, személyzetpolitikára ebben a kontextuson kívül, vagy olyan cég-részlegekre vonatkozó kérdések, amelyeknek semmi közük a szállított szoftverhez, kívül esnek ezen. Ahol pontosan ez a határ van, az szerződésenként és szectoronként eltérő, és ez olyan, amit a megbízóval folytatott beszélgetésben egyértelműsíteni kell, nem pedig csendben felül kell engedni.
Hogyan épül fel ezt egyszer megfelelően
Az esetek többségében ezek a kérdések nem egy adott pillanatnak megfelelő felmérések, hanem rögzített kérdéssor, amely szinte minden megbízó esetében előkerül, csak éppen más megfogalmazásban. Aki a válaszokat egyszer egy-egy intézkedés szerint dokumentálja — bizonyítékkal és felelősvel együtt — a következő kérdőívnél csak másolni és módosítani kell azokat. néhány kérdéssel, amely azt mutatja, hogy Ön hogyan vagy mennyire érintett először látja, hol áll, és a témakörönkénti áttekintésben megtalálja az egyes intézkedések (például hozzáférés-ellenőrzés és incidensfeljegyzés) részletes kifejtését. Ha egy konkrét kérdésről tart, amely egy kapott listán szerepel, a gyakran felmerülő kérdések listája gyakran már első iránymutatást ad, és a tájékoztatás arról, hogy információink honnan származnak bemutatja, hogyan tartjuk nyilván a forrásokat.
Ha előbb saját maga szeretné ellenőrizni, hogy vállalkozása ebben hol áll, végezze el az ingyenes gyorsértékelést, vagy böngésszen a tudásbázisban. Mindkettő account nélkül elérhető, és olyan kezdeti, tényszerű képet nyújt — nem pedig Ön konkrét helyzetéről szóló véleményt, amelyről kétség esetén mindig fordulhat egy jogászhoz vagy az ágazatában illetékes felügyeleti hatósághoz.