Ja esat programmatūras uzņēmums, paši arvien biežāk saņemat drošības jautājumu sarakstu no klienta, kurš ietilpst Kibernētikas drošības likuma darbības jomā. Tā pati pienākuma obligācija, kas jūsu klientu obligē jūs, obligē arī jūs pašus ko nodarboties: novērtēt, kuri no jūsu paša piegādes līdzekļiem ietekmē tā, ko jūs izveidojat un piegādājat, drošību. Piegādes līdzekļa politika ir veids, kā to novērtējumu padarīt atkārtojamu, nevis katru reizi no jauna domāt, kam jūs faktiski uzticaties.
Īss atbildes: jūs sākat ar pārskatu par to, kas ir jūsu izstrādes līnijā un jūsu piegādātajā programmatūrā, jūs klasificējat šos piegādes līdzekļus pēc viņu radītā riska, un jūs katrai kategorijai nosaka, kādas prasības jūs izvirzāt un kā jūs to kontrolējat. Šis pārskats un klasifikācija kopā veido piegādes līdzekļa politiku.
Divi piegādes līdzekļu veidi, viens neredzams jautājums
Programmatūras izstrādē divas ķēdes vijas viena caur otru, un tas padara piegādes līdzekļa politiku sarežģītāku nekā uzņēmumam, kas tikai pirka fiziskās preces.
Pirmā ķēde ir jūsu izstrādes līnija: avota koda pārvaldnieks, CI/CD konveijers, mākoņ vide, kurā jūs veidojat, rīki testēšanai un izvietošanai. Vāja vieta tur pirmkārt ietekmē jūsu paša uzņēmuma darbību.
Otrā ķēde ir tas, kas nonāk jūsu produktā: atvērtā koda bibliotēkas, trešo pušu API, nopirktie komponenti. Vāja vieta tur ietekmē ne tikai jūs, bet arī katru klientu, kurš izmanto jūsu programmatūru. Šis atšķirums ir precīzi tas, kurā trūkst daudz piegādes līdzekļa politikas: uzmanība pagriezta uz pirmo ķēdi, jo tā ir redzama ikdienas darbā, savukārt otrā ķēde bieži kļūst redzama tikai brīdī, kad kaut kas noiet greizi.
Dokumentēšana: sāciet ar to, kas jau darbojas
Piegādes līdzekļa politika nesākas ar veidni, bet ar sarakstu. Programmatūras izstrādei tas nozīmē minimums: kuras mākoņ pakalpojumu sniedzējus jūs izmantojat, kurus pakotņu pārvaldniekus un reģistrus jūsu būvējuma process izmanto, kuras ārējās API jūsu produkts izsauc, un kuri no šiem subjektiem var piekļūt kodam, noslēpumiem vai ražošanas datiem.
Katram piegādes līdzeklim jautājums nav tikai tas, kas viņi dara, bet kas notiek, ja viņi beigtu sniegt pakalpojumus vai tiktu komprometēti. Pakotņu pārvaldnieks, no kura nāk simti atkarību, sver atšķirīgi nekā rēķinu pakete, kas darbojas neatkarīgi no izstrādes līnijas.
Riska klasifikācija: ne katrs piegādes līdzeklis nopelnītu vienādu uzmanību
Pēc dokumentēšanas seko klasifikācija, parasti divos vai trīs līmeņos. Piegādes līdzekļi ar piekļuvi avota kodam, noslēpumiem vai ražošanas videi prasa smagākās prasības: spēcīgu autentifikāciju, žurnalēšanu, noteiktu kontaktpunktu incidentu gadījumā. Piegādes līdzekļi, kuri netieši piedalās, piemēram, rīks projekta plānošanai, prasa mazāk.
Direktīva un nacionālais likums nepieprasa noteiktu klasifikāciju; inspektori pārskatā, vai pasākumi ir proporcionāli riskam. Tas nozīmē, ka jūsu izvēlētā klasifikācija jābūt pamatojamair: kāpēc šis piegādes līdzeklis ietilpst smagajā kategorijā un tas cits ne.
Ko jūs jautājat un ko jūs paši jau atbildējat
Piegādes līdzekļa politika darbojas abos virzienos. Uz ārpusi jūs to izmantojat, lai jautātu saviem piegādes līdzekļiem: kā viņi rīkojas ar ievainojamībām, vai viņiem ir process daudzkārtējai verifikācijai, cik ātri viņi incidentu paziņo jums. Uz iekšpusi tas veido bāzi tam, ko jūs paši atbildat uz jūsu klientu jautājumu sarakstidem, jo klients, kurš jūs novērtē, bieži vēlas zināt, vai jums ir redzama jūsu paša ķēde.
Abas divi puses ir savstarpēji saistītas: piegādes ķēdes politika, ko jūs rakstāt tikai sev, parasti neatbilst jautājumiem, ko saņemat no klientiem. Ja politiku izveido kopš paša sākuma, ņemot vērā to, ko prasa pircējs, vēlāk to nav jāpārraksta.
Dokumentēšana: no politikas uz pierādījumiem
Politika, kas pastāv tikai tekstdokumentā, ir grūti pamatot brīdī, kad to prasa klients vai uzraugs. Praktiskāk ir aktuāls pārskats: par katru piegādātāju – riska kategorija, pēdējā novērtēšana, pierādījums, piemēram, deklarācija, sertifikāts vai atbilde uz jūsu pašu jautājumiem, un tas, kurš jūsu organizācijā uzrauga šo piegādātāju.
Tāds pārskats nevar būt liels, lai būtu noderīgs. Programmatūras uzņēmumam ar dažiem kritiski svarīgiem piegādātājiem parasti pietiek tabula ar dažām kolonnām, ja vien tā tiek uzturēta aktuāla, mainoties piegādātājam vai atkārtojot līgumu.
Vēlaties vispirms uzzināt, vai jūsu organizācija pati ietilpst aprūpes pienākumā, vai tiek skarta tikai caur saviem klientiem? veiciet bezmaksas pārbaudi ar dažiem jautājumiem un lasiet uz lappuse ar visiem pariasiem virsrakstiem kā piegādātāju novērtēšana ir saistīta ar citiem pienākumiem. Vai jūs interesē, no kurienes šīs platformas informācija nāk un cik aktuāla tā ir? To var atrast sadaļā lapas par to, kā tas darbojasKurš vēlas pārveidot piegādātāju pārskatu dossijē ar pierādījumiem un atbildīgajiem, atradīsiet sadaļā lappuse ar abonementu iespējām kas tam nepieciešams.