Kaip programinės įrangos bendrovė, jūs vis dažniau gauna kliento saugumo klausimyną, kuris patenka į Kibernetinio saugumo įstatymą. Tai pačią pareigą, kurią jūsų klientas nustato jums, nustatote ir jūs patys: įvertinti, kurie iš jūsų tiekėjų turi įtakos jūsų kuriamo ir tiekiamo produkto saugumui. Tiekėjų politika yra būdas padaryti šią vertinimą kartotinu, o ne kiekvieną kartą iš naujo galvoti, komu jūs iš tikrųjų pasitikite.
Trumpas atsakymas: pradėkite nuo apžvalgos, kas yra jūsų kūrimo procese ir tiekiamoje programinėje įrangoje, suskirstykite tuos tiekėjus pagal jų keliamą riziką, ir kiekvienai kategorijai nustatykite, kokius reikalavimus keliате ir kaip tai kontroliuojate. Ši apžvalga ir skirstymas kartu sudaro tiekėjų politiką.
Dvi tiekėjų rūšys, vienas neapžvelgtas aspektas
Kuriant programinę įrangą, susipina dvi grandinės, todėl tiekėjų politika tampa sudėtingesnė nei bendrovėje, kuri perka tik materialius produktus.
Pirmoji grandinė yra jūsų kūrimo procesas: šaltinio kodo valdymo sistema, CI/CD konvejeris, debesų aplinka, kurioje jūs kuriate, testavimo ir diegimo įrankiai. Silpna vieta čia iš pirmo žvilgsnio paveikia jūsų pačių verslo operacijas.
Antroji grandinė yra tai, kas patenka į jūsų produktą: atvirojo kodo bibliotekos, trečiųjų šalių API, išsinuomoti komponentai. Silpna vieta čia paveikia ne tik jus, bet ir kiekvieną klientą, kuris naudoja jūsų programinę įrangą. Šis skirtumas yra būtent tai, kur trūksta daugeliui tiekėjų politikų: dėmesys kreipiamas į pirmąją grandinę, nes ji matoma kasdieniniame darbe, o antroji grandinė dažnai tampa matoma tik tada, kai nutinka kažkas blogo.
Inventorizavimas: pradėkite nuo to, kas jau veikia
Tiekėjų politika pradedama ne nuo šablono, o nuo sąrašo. Kuriant programinę įrangą tai reiškia mažiausiai: kokias debesų paslaugų teikėjus naudojate, kokius paketų tvarkytojus ir registrus jūsų kūrimo procesas naudoja, kokius išorinius API jūsų produktas iškviečia, ir kurie iš šių subjektų gali prieiti prie kodo, slaptažodžių ar gamybos duomenų.
Kiekvieno tiekėjo klausimas yra ne tik tai, ką jie daro, bet kas nutinka, jei jie nutrūksta arba yra sukomprometoti. Paketų tvarkytoja, iš kurios ateina šimtai priklausomybių, turi kitą svorį nei sąskaitos faktūros paketas, kuris veikia atskirai nuo kūrimo proceso.
Rizikos skirstymas: ne kiekvienas tiekėjas nusipelno tokio pat dėmesio
Po inventorizavimo seka skirstymas, paprastai į dvi ar tris lygius. Tiekėjai, kurie turi prieigą prie šaltinio kodo, slaptažodžių ar gamybos aplinkų, reikalauja griežčiausių reikalavimų: stipri autentifikacija, žurnalizavimas, fiksuotas ryšio taškas incidentų metu. Tiekėjai, kurie tik netiesiogiai dalyvauja, pavyzdžiui, projekto planavimo įrankis, reikalauja mažiau.
Direktyva ir nacionalinis įstatymas nenustato fiksuoto skirstymo; priežiūros institucijos čia žiūri, ar priemonės yra proporcingas rizikai. Tai reiškia, kad jūsų pasirinktas skirstymas turi būti paaiškinamas: kodėl šis tiekėjas patenka į griežčiausią kategoriją, o tas kitas ne.
Ką jūs klausiate, ir ką jūs patys jau atsakote
Tiekėjų politika veikia dviem kryptimis. Į išorę jūs ją naudojate norėdami pateikti klausimus savo tiekėjams: kaip jie elgiasi su pažaidimais, ar jie turi daugialypio patvirtinimo procesą, kaip greitai jie pranešą jums apie incidentą. Į vidų ji sudaro pagrindą tam, ką jūs patys atsakote į jūsų klientų klausimynus, nes klientas, kuris jus vertina, dažnai nori žinoti, ar jūs turite savo grandinę peržvelgtą.
Abu dvi pusės yra tarpusavyje susijusios: tiekėjo politika, kurią rašote tik sau, dažniausiai nesiderinama su klausimais, kuriuos gausite iš klientų. Kas nuo pat pradžios nustato politiką atsižvelgdamas į tai, ko prašo pirkėjas, vėliau jos nereikės perrašyti.
Fiksavimas: nuo politikos prie įrodymų
Politika, kuri egzistuoja tik teksto dokumente, sunkiai pagrindžiama tada, kai ją paprašo klientas arba reguliavimo institucija. Praktiškiau turėti gyvą apžvalgą: kiekvienam tiekėjui jo rizikos kategorija, paskiausia vertinimo ataskaita, įrodymų dokumentas, pavyzdžiui, deklaracija, sertifikatas arba atsakymas į jūsų paties klausimyną, ir tai, kas jūsų organizacijoje seka šį tiekėją.
Tokia apžvalga neturi būti didelė, kad būtų naudinga. Programinės įrangos įmonei, turinčiai kelias kritines tiekėjas, dažniausiai pakanka lentelės su keliomis stulpeliais, jei ji aktualizuojama, kai tiekėjas pasikeičia arba sutartis atnaujinama.
Ar norėtumėte sužinoti, ar jūsų organizacija pati patenka į aprūpinimo reikalavimą, ar tik per jūsų klientus jūs juo paveikiami? atlikite nemokamą patikrą keliuose klausimuose ir skaitykite toliau puslapis su visomis temomis kaip tiekėjo įvertinimas susieja su kitais įpareigojimais. Norėtumėte žinoti, iš kur šioje platformoje paimta informacija ir kaip ji aktuali? Tai paaiškinta puslapyje, kuriame aprašyta, kaip tai veikia. Norintys konvertavinti tiekėjų apžvalgą į dosieriaus su dokumentais ir atsakingais asmenimis formatą, suranda abonementų puslapį kas tam reikalinga.