Užsakovas, kuris patenka į NIS2 parūpinimo pareigos taikymo sritį, turi sugebėti įrodyti, kad jis žino risikus savo pačios tiekimo grandinėje. Programinė įranga, kurią jūs tam užsakovui kuriate, yra tos grandinės dalis. Praktikoje tai išsivysto į sutartyse nurodytus reikalavimus, kurie veikia du dalykus vienu metu: produktą, kurį jūs pristatote, ir būdą, kuriuo tą produktą kuriate. Abu yra nurodyti sutarties tekste, dažnai kaip pirkimo sutarties priedas.
Šerdis yra paprasta prisiminti: užsakovas klausia ne tik to, ar programinė įranga veikia, bet ir to, ar galite parodyti, kaip ji išlieka saugi, kas prie jos gali prieiti ir kas atsitinka, jei kažkas išeina iš kontrolės. Tai yra pokytis, palyginti su anksčiau, kai funkcionalumas ir pristatymo laikas dažnai buvo vienintelės diskusijų temos.
Reikalavimai produktui, kurį jūs pristatote
Dažniausias sutartyje nurodomas reikalavimas yra pačios programinės įrangos sudėtis. Užsakovai vis dažniau prašo sąrašo naudojamų bibliotekų ir atvirojo kodo komponentų, vadinamojo programinės įrangos komponentų sąrašo. Priežastis ta, kad spragą pagrindinėje komponentėje yra toks pat rizika kaip klaida jūsų pačių kode, ir užsakovas nori turėti galimybę matyti tuos rizikus nenaudojant pačio šaltinio kodo.
Be to, grįžta reikalavimai, kaip programinės įrangos spragos aptinkamos ir šalinamos ir per kiek laiko. Tai gali apimti automatizuotus skenavimus dėl žinomų silpnybių, nustatytą pataisų procedūrą arba klausimą, kas gali pranešti apie spragą ir kur ji turi būti pateikta. Skiriant esančios programinės įrangos, kartais taip pat klausiama apie palaikymo laikotarpį: kiek laiko versija gauna saugumo atnaujinimus.
Reikalavimai jūsų pačių kūrimo procesui
Antroji reikalavimų grupė nukreipta ne į produktą, o į procesą, kuriuo jis kuriamas: kūrimo procesą. Pagalvokite, kas turi prieigą prie šaltinio kodo ir aplinkos, kurioje kuriama ir testuojama, kaip būna tikrinami pakeitimai prieš paleidžiant juos, ir ar yra skyrimas tarp testo, priėmimo ir gamybos aplinkos. Taip pat dauginių patvirtinimo naudojimas kūrėjams, turintiems prieigą prie šaltinio kodo arba kūrimo sistemų, yra nurodomas sutartyse, taip pat klausimas apie tai, kas tvarko raktus ir prisijungimo duomenis, kurie reikalingi programinei įrangai diegti.
Kai kurie užsakovai taip pat klausia apie jūsų naudojamos programinės įrangos kilmę: kompiliatorių, kūrimo įrankius, paketus, kurie yra atsiunčiami kūrimo metu. Tai derėtina su platesniam supratimui, kad ataka gali vykti ne tik per galutinį produktą, bet ir per fabriką, kuriame jis kuriamas.
Kodėl šie reikalavimai yra suformuluoti būtent taip
Parūpinimo pareiga, esanti šio viso pagrinde, įpareigoja atitinkamą organizaciją įvertinti ir kontroliuoti rizikus savo tiekimo grandinėje. Kaip tai būtent įgyvendinama, skiriasi atsižvelgiant į kiekvieną šalį pagal nacionalinį įstatymą, kuris paremtas Europos direktyva, ir pagal sektorių, kuriame veikia užsakovas. Tai, kas yra griežta reikalavimas vienoje sutartyje, kitoje sutartyje vis dar yra neprivaloma užduotis. Jei norite žinoti, kaip ši pareiga iš esmės yra suformuota, skaitykite paaiškinimai pagal pareigą mūsų žinių bazėje.
Svarbu prisiminti: tai užsakovas nustato šiuos reikalavimus, nes pats yra priežiūros objektas, o ne todėl, kad programinės įrangos bendrovės kaip tokios patenka į direktyvos taikymo sritį. Ar ir kaip griežtai jūsų atveju tai bus įgyvendinta, priklauso nuo to konkretaus užsakovo sektoriaus ir dydžio. Jūsų konkrečiam atvejui nacionalinio įstatymo tekstas arba teisininko nuomonė yra tinkamas pradžios taškas, o ne bendra apžvalga.
Ką tai reiškia jūsų pasiruošimui
Dauguma šių reikalavimų, atlikę tam tikrą parengiamąjį darbą, galite gerai atsakyti, o atsakymą, kurį kartą suformuluosite, galite pakartotinai naudoti kitam užsakovui. Komponentų sąrašas, trumpas jūsų prieigos kontrolės aprašymas ir nuolatinė pataisų procedūra nėra dokumentai, kuriuos turėtumėte iš naujo kurti kiekvienam kontraktui.
Jei pirmiausia norite pamatyti, ar ir kaip tai veikia jūsų įmonę, tada patikra, kuri keliuose klausimuose nustato jūsų padėtį grandinėje suteikia pirmąjį nurodymą, nereikalaudama paskyros. Norėdami sužinoti konkrečius klausimus, kuriuos užsakovai kelia, ir tai, kaip mes jums turime padėti, skaitykite daugiau apie dažnai užduodamų klausimų puslapyje arba žiūrėkite kaip mes pagrindžiame informaciją platformoje.
Nemokama žinių bazė ir patikra suteikia jums pirmąjį vaizdą be jokių įsipareigojimų. Jei norite toliau iš tikrųjų kontralines reikalavimus paversti veikiančiu dosje su įrodymais ir paruoštais atsakymais į klausimynus, tai yra laikas pamatyti, ką prenumerata tam prideda.