In qualità di azienda di software, ricevete sempre più spesso un questionario sulla sicurezza da un cliente soggetto alla legge sulla sicurezza informatica. Lo stesso obbligo di diligenza che il vostro cliente vi impone obbliga anche voi a fare qualcosa: valutare quali dei vostri fornitori hanno un impatto sulla sicurezza di ciò che costruite e fornite. Una politica dei fornitori è il modo per rendere quella valutazione ripetibile, invece di doversi reinventare ogni volta in cui vi fidate.
Breve risposta: iniziate con una panoramica di chi si trova nella vostra catena di sviluppo e nel software fornito, classificate i fornitori in base al rischio che rappresentano, e per ogni categoria definite quali requisiti ponete e come li verificate. Questa panoramica e questa classificazione insieme formano la politica dei fornitori.
Due tipi di fornitori, un punto cieco
Nello sviluppo software due catene si intrecciano, e questo rende una politica dei fornitori più complessa rispetto a un'azienda che acquista solo beni fisici.
La prima catena è la vostra catena di sviluppo: il gestore del codice sorgente, la pipeline CI/CD, l'ambiente cloud su cui costruite, gli strumenti per i test e il deploy. Un punto debole lì colpisce in primo luogo il vostro stesso funzionamento aziendale.
La seconda catena è ciò che finisce nel vostro prodotto: librerie open source, API di terze parti, componenti acquistati. Un punto debole lì non colpisce solo voi, ma anche ogni cliente che utilizza il vostro software. Questa distinzione è esattamente dove molte politiche dei fornitori sono carenti: l'attenzione va alla prima catena perché è visibile nel lavoro quotidiano, mentre la seconda catena spesso diventa visibile solo quando qualcosa va storto.
Inventariare: iniziate con ciò che sta già funzionando
Una politica dei fornitori non inizia con un modello, ma con un elenco. Per lo sviluppo software questo significa come minimo: quali provider cloud utilizzate, quali gestori di pacchetti e registri il vostro processo di build attinge, quali API esterne il vostro prodotto chiama, e quale di queste parti può accedere al codice, ai segreti o ai dati di produzione.
Per ogni fornitore la domanda non è solo cosa fanno, ma cosa succede se escono dal servizio o vengono compromessi. Un gestore di pacchetti da cui provengono centinaia di dipendenze ha un peso diverso rispetto a un pacchetto di fatturazione che funziona indipendentemente dalla catena di sviluppo.
Classificazione del rischio: non ogni fornitore merita la stessa attenzione
Dopo l'inventario viene una classificazione, solitamente in due o tre livelli. I fornitori con accesso al codice sorgente, ai segreti o agli ambienti di produzione richiedono i requisiti più severi: autenticazione forte, registrazione, un punto di contatto fisso per gli incidenti. I fornitori che collaborano solo indirettamente, come uno strumento per la pianificazione dei progetti, richiedono meno.
La direttiva e la legge nazionale non prescrivono una classificazione fissa; le autorità di vigilanza guardano se le misure sono proporzionate al rischio. Ciò significa che la classificazione che scegliete deve essere spiegabile: perché questo fornitore rientra nella categoria pesante e quell'altro no.
Quello che chiedete, e quello che voi stessi rispondete già
Una politica dei fornitori funziona in due direzioni. Verso l'esterno la utilizzate per porre domande ai vostri fornitori: come affrontano le vulnerabilità, hanno un processo per la verifica multipla, con quale rapidità segnalano un incidente a voi. Verso l'interno forma la base per ciò che voi stessi rispondete ai questionari dei vostri clienti, perché un cliente che vi valuta vuole spesso sapere se avete la vostra catena sotto controllo.
I due aspetti sono collegati: una politica di valutazione dei fornitori che scrivete solo per voi stessi di solito non corrisponde alle domande che ricevete dai clienti. Chi elabora la politica fin dall'inizio tenendo conto di ciò che un cliente richiede, non dovrà riscriverla in seguito.
Documentare: dalla politica alla prova
Una politica che esiste solo in un documento di testo è difficile da sostenere nel momento in cui un cliente o un'autorità di vigilanza la richiede. Più pratico è un registro dinamico: per ogni fornitore la categoria di rischio, la valutazione più recente, la prova documentale come una dichiarazione, un certificato o una risposta al vostro questionario, e chi all'interno della vostra organizzazione monitora quel fornitore.
Un tale registro non deve essere grande per essere utile. Per un'azienda di software con una manciata di fornitori critici, una tabella con poche colonne è spesso sufficiente, purché sia mantenuta aggiornata quando un fornitore cambia o un contratto viene rinnovato.
Volete prima sapere se la vostra organizzazione è soggetta direttamente agli obblighi di due diligence, o se ne è interessata solo tramite i vostri clienti? eseguire il controllo gratuito in poche domande e leggere su la pagina con tutti gli argomenti come la valutazione dei fornitori si collega agli altri obblighi. Curiosi di sapere da dove provengono le informazioni su questa piattaforma e quanto sono aggiornate? Questo è spiegato su la pagina su come funziona. Chi vuole trasformare il registro dei fornitori in un dossier con prove e proprietari troverà su la pagina con gli abbonamenti cosa è necessario per questo.