Quali domande riceve un'azienda di software in un questionario NIS2?
Se create software per un cliente che rientra lui stesso nella Direttiva (EU) 2022/2555 — o nella legislazione sulla sicurezza informatica nazionale — riceverete quasi certamente un questionario sulla sicurezza. Le domande in esso contenute nello sviluppo software riguardano sempre due aspetti: la sicurezza di ciò che consegnate e la sicurezza dell'ambiente in cui lo realizzate. Questo secondo aspetto distingue questi questionari da quelli rivolti, ad esempio, a un'impresa di installazione o a un fornitore di servizi generali.
Il fulcro resta sempre lo stesso: qualcuno potrebbe accedere al sistema del vostro cliente attraverso il vostro codice sorgente, il vostro ambiente di compilazione o il vostro account presso un gestore di pacchetti, e cosa fate per prevenirlo o per rilevarlo tempestivamente. Chi riesce a rispondere a queste due domande è già in grado di affrontare la maggior parte dell'elenco.
Perché il software è una categoria a sé
Con la maggior parte dei fornitori, un cliente esamina ciò che accade nello vostro interno: chi ha accesso a quali sistemi, come testate un backup. Con un fornitore di software si aggiunge un livello, vale a dire ciò che dalla vostra azienda confluisce in quella del cliente. Può trattarsi di un aggiornamento, di un collegamento API o di codice che viene eseguito direttamente nell'ambiente del cliente. Per questo motivo un cliente approfondisce più di quanto farebbe con un fornitore che utilizza solo automazione d'ufficio.
Domande sul prodotto: ciò che consegnate
Una gran parte del questionario riguarda il software stesso. Utilizzate librerie e componenti esterni e tenete traccia di quali siano — spesso indicati come una panoramica dei componenti software. Come gestite una vulnerabilità scoperta in uno di questi componenti e entro quale termine fornite un aggiornamento. Il codice è sottoposto a revisione da una seconda persona prima di essere messo in linea. Testate le debolezze note prima di consegnare, e chi lo fa.
Sotto questo aspetto spesso figura anche una domanda sulle segnalazioni: se qualcuno al di fuori della vostra azienda scopre una vulnerabilità nel vostro software, c'è un modo per segnalarla a voi, e cosa succede con tali segnalazioni. Questo non è un obbligo legale che derivi dalla Direttiva (EU) 2022/2555 per voi come fornitore, ma i clienti lo chiedono nella pratica perché devono poterlo comprovare al loro ente di controllo.
Domande sull'ambiente di sviluppo: come costruite
Il secondo blocco riguarda l'ambiente in cui il software viene creato. Chi ha accesso al codice sorgente e se l'accesso è legato alla persona o condiviso. L'ambiente in cui si compila e si consegna dispone di autenticazione a più fattori. Una modifica è automaticamente testata prima di passare alla produzione e qualcuno può saltare questo passaggio. Chi gestisce le chiavi e i certificati con cui il software è sottoscritto e dove sono conservati.
Anche ricorrente con una certa regolarità: come gestite i laptop e gli account degli sviluppatori che lavorano con questo ambiente, specialmente se lavorano da remoto. E: conservate registri di chi ha modificato cosa nel codice o nella pipeline, e per quanto tempo. Quest'ultimo aspetto si collega a quello che più in generale si chiama registrazione degli incidenti, ma applicato all'ambiente di sviluppo stesso.
Cosa un cliente può e non può chiedere
L'elenco può riguardare la sicurezza del vostro prodotto e del vostro processo di sviluppo nella misura in cui incidono sul rischio del cliente. Le domande sulla vostra intera organizzazione interna, la vostra politica del personale al di fuori di questo contesto, o parti della vostra azienda che non hanno nulla a che fare con il software consegnato, vanno oltre. Dove tracciare esattamente questa linea varia a seconda del contratto e del settore, e questa è una questione da chiarire nella conversazione con il cliente, non qualcosa da lasciar passare in silenzio.
Come strutturare questo una sola volta nel modo giusto
La maggior parte di queste domande non è una fotografia del momento, ma un insieme fisso che torna presso quasi ogni cliente, solo con una formulazione leggermente diversa. Chi registra le risposte una volta per misura — con una prova e un responsabile — dovrà solo copiarle e adattarle al prossimo questionario di sicurezza. un paio di domande che mostrano se e come siete coinvolti vedete prima dove vi trovate, e in la panoramica per argomento trovate l'elaborazione di singole misure come il controllo dell'accesso e la registrazione degli incidenti. Se avete dubbi su una domanda specifica in un elenco che avete ricevuto, allora l'elenco delle domande frequenti spesso offre già un primo orientamento, e una spiegazione su da dove proviene la nostra informazione mostra come manteniamo le fonti.
Se volete prima verificare voi stessi se e come la vostra azienda si trova in questa situazione, effettuate la scansione rapida gratuita o sfogliate la banca dati delle conoscenze. Entrambi sono consultabili senza account e forniscono un primo indicatore fattuale — non un giudizio sulla vostra situazione specifica, per la quale in caso di dubbio potete sempre rivolgervi a un giurista o all'autorità di vigilanza competente per il vostro settore.