Kokius klausimus gauna programinės įrangos įmonė NIS2 klausimyne?
Jei kuriate programinę įrangą užsakovui, kuris pats patenka į NIS2 direktyvos arba Nyderlandų Kibernetinio saugumo įstatymo taikymo sritį, jūs beveik garantuotai gausite saugumo klausimyną. Klausimyno dalys programinės įrangos kūrime visada skirtos dviem dalykams: to, ką jūs pristatote, saugumui ir aplinkos, kurioje tai kuriate, saugumui. Šis antrasis aspektas skiria šiuos klausimynus nuo tų, skirtų pavyzdžiui, montavimo įmonei arba bendrajai paslaugų įmonei.
Pagrindinė dalis visada ta pati: ar per jūsų šaltinio kodą, jūsų kūrimo aplinką arba jūsų paskyrą paketų tvarkytuve kažkas gali gauti prieigą prie jūsų užsakovo sistemos, ir ką darote, kad tai išvengtumėte arba greitai aptiktumėte. Kas gali atsakyti į šiuos du klausimus, yra paruoštas didžiajai daliai sąrašo.
Kodėl programinė įranga yra atskira kategorija
Dauguma tiekėjų atveju užsakovas žiūri, kas vyksta JŪSŲ įmonėje: kas turi prieigą prie kurių sistemų, kaip testuojate atsarginę kopiją. Programinės įrangos tiekėjo atveju prie to pridedamas sluoksnis, būtent tai, ką perduodate iš savo įmonės į užsakovo įmonę. Tai gali būti naujinimas, API sąsaja arba kodas, kuris tiesiogiai veikia jų aplinkoje. Todėl užsakovas čia glaudžiau klausia nei pas tiekėją, kuris naudoja tik biuro automatizavimą.
Klausimai apie produktą: ką jūs pristatote
Didelė klausimyno dalis yra apie pačią programinę įrangą. Ar naudojate išorines bibliotekas ir komponentus, ir ar sekate, kurie jie yra — dažnai vadinami programinės įrangos komponentų sąrašu. Kaip elgiatės su vulnerabilumu, kuris tokiame komponente randamas, ir per kiek laiko tada išleisiate naujinimą. Ar kodą peržiūri antrasis asmuo prieš jį naudojant. Ar testuojate žinomus silpnus taškus prieš pristatymo, ir kas tai daro.
Po tuo dažnai būna dar klausimas apie pranešimus: jei kažkas už jūsų įmonės ribų atranda vulnerabilumą jūsų programinėje įrangoje, ar yra būdas tai mums pranešti, ir kas atsitinka tokiam pranešimui. Tai nėra juridinis įpareigojimas, kuris tiesiogiai iš NIS2 tiekėjui išplaukia, tačiau praktikoje užsakovai apie tai klausia, nes jie tai turėtų būti galintys pagrįsti savo supervisoriui.
Klausimai apie plėtros liniją: kaip jūs kuriate
Antrasis blokas yra apie aplinką, kurioje programa atsiranda. Kas turi prieigą prie šaltinio kodo, ir ar ta prieiga yra asmens ar bendrinama. Ar daugialypė verifikacija naudojama aplinkoje, kurioje kuriama ir pristatoma. Ar pakeitimas automatiškai testuojamas prieš einant į produkciją, ir ar kažkas gali tą žingsnį praleisti. Kas valdo raktus ir sertifikatus, kuriais pasirašoma programinė įranga, ir kur jie saugomi.
Taip pat gana pastovus grįžtamasis: kaip elgiatės su plėtotojų nešiojamuosiomis kompiuteriais ir paskyromi, kurie naudoja šią aplinką, ypač kai dirba iš nuotolio. Ir: ar saugote žurnalus, kurie rodytų, kas ir kaip keite kodą arba plėtros liniją, ir kaip ilgai. Pastarasis susieja su tuo, kas plačiau vadinama incidento registracija, bet susikoncentruota pačios plėtros aplinkoje.
Ką užsakovas gali ir negali klausti
Sąrašas gali pasireikšti jūsų produkto saugumo ir jūsų plėtros proceso saugumo klausimu, kiek tai paliečia užsakovo riziką. Klausimai apie jūsų visą vidinę organizaciją, jūsų personalinę politiką šio konteksto ribose, arba jūsų įmonės dalys, kurios neturi nieko bendra su pristatyta programine įranga, yra už šių ribų. Kur lygiai toji riba yra, skiriasi pagal sutartį ir sektorių, ir tai yra kažkas, ką reikia sukonkreti pokalbių metu su užsakovu, ne kažkas, ką patys turėtumėte leisti praeiti.
Kaip tai tinkamai sukuriate iš pradžių
Dauguma šių klausimų nėra momentinis vaizdas, bet nuolatinis rinkinys, kuris pasirodo beveik kiekvienam užsakovui su šiek tiek kitaip suformuluota forma. Kas atsakymus kartą per priemonę fiksuoja — su įrodymu ir atsakingu asmeniu — jų nebereikia rašyti iš naujo kitoje klausimyne, tereikia nukopijuoti ir pritaikyti. su keliais klausimais, rodančiais, ar ir kaip jūs paveiktas matote, kur stovite, ir apžvalgoje pagal temą rasite atskirų priemonių, pavyzdžiui, prieigos kontrolės ir incidento registracijos, detalizavimą. Jei turite abejonių dėl konkretaus klausimo iš gauto sąrašo, tai dažnai užduodamų klausimų sąrašas dažnai jau suteikia pirmą nuorodą, ir informacijos šaltinių paaiškinimaš rodo, kaip mes laikome šaltinius.
Jei norite pirmiausia patys patikrinti, ar ir kaip jūsų įmonė tai atliekami, atlikite nemokamą greitą skeną arba peržiūrėkite žinių bazę. Abi galima peržiūrėti be paskyros ir suteikia pirmą, faktinę nuorodą — ne sprendimą apie jūsų konkrečią situaciją, dėl kurio jei turite abejonių, visada galite kreiptis į teisininką arba į jūsų sektoriui kompetentingą priežiūros instituciją.