Programmatūras izstrādes incidenta reģistrācijā runa ir par divām dažādām lietām, kas bieži tiek sajauktas: ievainojamību vai kļūdu programmatūrā, ko jūs veidojat un piegādājat, un incidentu jūsu paša izstrādes vidē — vidē, kurā jūs šo programmatūru veidojat. To, ko jūs dokumentējat, kam tas jāzina un kādi turpmākie soļi ir nepieciešami, atšķiras atkarībā no veida. Tas, kurš neveic šo atšķirību, bieži nokavē incidentu, kas ir visnozīmīgākais: piesārņojums izveidošanas kanāla vidē, kas izplatās caur kodu visiem klientiem, kuri to izmanto.
Ievainojamība piegādātajā kodā tieši skar klientu: viņš darbina programmatūru, tāpēc viņš ir pakļauts riskam. Incidents jūsu izstrādes vidē — nozagta piekļuves atslēga, kompromitēts izstrādes konts, noplūde avota koda repozitorijā — sākotnēji skar jūs, bet var izplatīties uz katru klientu, kurš ar šo kodu strādā. Abiem gadījumiem ir spēkā tas, ka drošības jautājumu saraksts vai revisor neprasīs, vai kaut reiz ir kaut kas noticis, bet vai jūs varat parādīt, ko esat par to dokumentējuši un iemācījušies.
Ko jūs dokumentējat, ja kodā notiek incidents
Ievainojamības vai kļūdas gadījumā piegādātajā programmatūrā runa ir par: kad to atklāja, kas vai kas to atklāja (iekšējais tests, klienta paziņojums, skenēšana, ārējais pētnieks), kura koda daļa ir skarta, kāds ir iespējamais efekts, kāds pasākums ir veikts un kurā datumā, un kurš jūsu organizācijā ir atbildīgs par turpināšanu. Labam reģistram jāparāda arī tas, vai labojums ir izkļūts visiem klientiem, kuri izmanto attiecīgo versiju, vai tikai tam, kurš to paziņoja. Pēdējais ir tieši tas, ko patērētājs jautājumu sarakstos pārbauda: ne tas, vai jums reiz bija ievainojamība, bet vai jūsu process garantē, ka ikviens, kurš ir skarts, par to uzzina.
Ko jūs dokumentējat, ja jūsu izstrādes vidē notiek incidents
Incidents jūsu paša izstrādes vidē — kompromitēts konts ar piekļuvi avota kodam, izstrādes serveris, kas atšķirīgi reaģē nekā gaidīts, atkarība, kas vēlāk izrādās ļaunprātīga — prasa nedaudz atšķirīgu reģistrāciju. Šeit runa ir par: kurš sistēma vai konts bija iesaistīts, kam bija piekļuve periodā, kad tas notika, vai ir pierādījumi, ka kods ir mainīts vai apskatīts, un kuri klients iespējams izmanto programmatūru, kas šajā periodā tika izstrādāta vai piegādāta. Šis ir incidenta veids, kurā izstrādes vides piekļuves vadība tieši iesaistīta: bez aktuāla pārskata par to, kam pie kā ir ļauts, šo izmeklēšanas jautājumu atbildēšana incidents laikā ir ievērojami sarežģītāka.
Kam jūs paziņojat, un kam nē
Jūsu paša juridiskā pozīcija saskaņā ar Kibervērtības likuma pienākumiem, nosaka, kam jūs paziņojat par incidentu. Entitātes, kas pašas ir apzīmētas kā būtiskas vai svarīgas, ir saistoši paziņošanas pienākumi pret to sektora uzraudzības iestādi; tas, kas šajā sakarā jāveic un kādu laika termiņu, ir aprakstīts direktīvā un nacionālajā likumā, un atšķiras atkarībā no situācijas. Programmatūras uzņēmums, kas caur piegādes ķēdi ir skarts — tā to pašu nav saistoši, bet piegādā klientam, kurš ir — šādu paziņošanas pienākumu pret sektora uzraudzības iestādi nav, bet parasti ir līgumiski noteikti nosacījumi, lai informētu klientu. Tas nepadara savu reģistrāciju mazāk svarīgu: klients, kurš pārbauda, vai jums kaut reiz bija incidents, vēlas redzēt konkrētu atbildi, nevis pēcapskates novērtējumu.
Dzīvs register, nevis arhīvs
Incidenta reģistrācija darbojas vislabāk kā dzīvs dokuments: saraksts, kurā par katru incidentu var atrast statusu, pierādījuma dokumentu un atbildīgo personu, nevis atsevišķs pārskats, kas pēc neskaidrības nonāk mapē un tiek aizmirsts. Tas atbilst tam, kā veidota plašākā piesardzības saistība ar desmit pasākumiem, kas katrs pēc kārtas prasa statusu un atbildīgo personu. Kas vēlas redzēt, kā incidenta reģistrācija attiecas uz pārējiem deviņiem pasākumiem, atradīs šo pārskatu uz lapas ar visiem tematiem pēc situācijas.
To, vai jūsu organizācija pati ir pakļauta piesardzības saistībai, tiek skarta caur piegādes ķēdi vai ne vienam no tiem, var noskaidrot ar dažiem jautājumiem, izmantojot NIS2 pārbaudi, kas dažu jautājumu dēļ sniedz norādiKas vēlas precīzi zināt, no kur secria.eu informācija nāk un kā tā tiek uzturēta, to lasa uz lapas par to, kā tas darbojasUn kas pēc lasīšanas vēlas zināt, ko abonements pievieno tam, kas šeit ir brīvi pieejams, to pārskaitli atradīs pie tā, kas ir iekļauts pārskatā.
Šis teksts ir vispārējs skaidrojums un nav juridisks padoms par jūsu konkrēto situāciju. Lai saņemtu padomu par jūsu konkrēto incidentu procesu vai ziņošanas pienākumu, varat vērsties pie jurista vai sektora regulējošajam iestādes.