Pasūtītājs, kurš ir pakļauts NIS2 aprūpes pienākumam, ir jāspēj pierādīt, ka viņš zina riskus savā piegādes ķēdē. Programmatūra, kuru jūs izstrādājat šim pasūtītājam, ir daļa no šīs ķēdes. Praksē tas nozīmē līguma prasības, kas ietekmē divus aspektus vienlaicīgi: produktu, ko jūs piegādājat, un paņēmienu, kā jūs to produktu izveidojat. Abi aspekti ir atspoguļoti līguma tekstā, bieži kā pielikums pirkuma līgumam.
Pamatideja ir vienkārša: pasūtītājs ne tikai jautā, vai programmatūra darbojas, bet arī vai jūs varat parādīt, kā tā paliek draudzīga, kurš tam var piekļūt un kas notiek, ja kaut kas noiet greizi. Tas ir maiņa salīdzinājumā ar iepriekšējo praksi, kad funkcionalitāte un piegādes termiņš bija gandrīz vienīgie diskusijas jautājumi.
Prasības produktam, ko jūs piegādājat
Visbiežāk sastopamā līguma prasība attiecas uz pašas programmatūras struktūru. Pasūtītāji arvien biežāk pieprasa pārskatāmo izmantoto bibliotēku un atvērtā koda komponentu sarakstu, tā saukto programmatūras komponentu deklarāciju. Iemesls ir tas, ka ievainojamība pamatā esošajā komponentā ir tikpat liels risks kā kļūda jūsu pašu kodā, un pasūtītājs vēlas spēt šos riskus novērtēt bez pašu avota koda lasīšanas.
Turklāt līgumos parādās prasības par to, kā tiek atklātas un novērstas ievainojamības programmatūrā un kāds ir termiņš. Tas var ietvert automatizētus skenēšanas pašreizējiem zināmiem vājiem punktiem, stabilu procedūru drošinājuma atjauninājumiem jeb jautājumu par to, kurš var ziņot par ievainojamību un kur tas tiek sūtīts. Esošai programmatūrai dažkārt jautā arī par atbalsta termiņu: cik ilgi versijai tiek nodrošināti drošinājuma atjauninājumi.
Prasības jūsu personīgajam izstrādes procesam
Otrā prasību grupa nav vērsta uz produktu, bet uz procesu, ar kuru tas tiek radīts: izstrādes procesu. Domājiet par to, kurš piekļūst avota kodam un videi, kurā notiek izstrāde un testēšana, kā tiek pārbaudītas izmaiņas pirms to ieviešanas, un vai pastāv atdalījums starp testa, pieņemšanas un ražošanas vidi. Arī vairāku faktoru autentifikācija izstrādes darbinieki, kuriem ir piekļuve avota kodam vai izstrādes sistēmām, parādās līgumos, kā arī jautājums par to, kurš pārvalda atslēgas un piekļuves datus, kas saistīti ar programmatūras izvietošanu.
Daži pasūtītāji jautā arī par programmatūras, ko jūs paši izmantojat konstruēšanai, izcelsmi: par kompilētāju, izstrādes rīkiem, pakotņiem, kas tiek iegūtas izstrādes laikā. Tas atspoguļo plašāku izpratni, ka uzbrukums var notikt ne tikai caur galaproduktā, bet arī caur ražošanas iekārtu, kurā tas tiek izgatavots.
Kāpēc šīs prasības ir formulētas tieši tā
Aprūpes pienākums, kas ir šī visu pamats, pieprasa uzraudzītai organizācijai novērtēt un pārvaldīt riskus savā piegādes ķēdē. Tas, kā tieši tas tiek realizēts, atšķiras atkarībā no valsts nacionālā likuma, kas ir balstīts uz Eiropas direktīvu, un atkarībā no sektora, kurā darbojas pasūtītājs. Tas, kas ir stingra prasība vienā kontraktā, citā kontraktā var būt brīvprātīgs jautājums. Ja vēlaties zināt, kā šis pienākums ir strukturēts tā pamatā, lūdzu lasiet paskaidrojums par katru pienākumu mūsu zināšanu bankā.
Svarīgi atcerēties: šīs prasības ir noteiktas pasūtītāja, jo viņš pats ir uzraudzības priekšmetā, nevis tāpēc, ka programmatūras uzņēmumi kā tādi ir pakļauti direktīvai. Tas, vai un cik strikti tas tiek piemērots jūsu gadījumā, ir atkarīgs no konkrētā pasūtītāja sektora un lieluma. Jūsu paša situācijai nacionālā likuma teksts vai jurista konsultācija ir pareizais sākumpunkts, nevis vispārējs novērtējums.
Ko tas nozīmē jūsu sagatavošanai
Lielākā daļa no šīm prasībām ar iepriekšējo sagatavošanu ir labi atbildamas, un atbildi, ko jūs vienreiz sastādīt, varat atkārtoti izmantot nākamajam uzdevumdevējam. Komponentu saraksts, īss jūsu piekļuves kontroles apraksts un fiksēta krāpļu labošanas procedūra nav dokumenti, kurus jums jāmeklē no jauna katram kontraktam.
Vai vēlaties vispirms redzēt, vai un kā tas skar jūsu uzņēmumu, tad jums sniedz pārbaude, kas dažos jautājumos nosaka jūsu pozīciju ķēdē pirmais virziens, bez tam, ka jums tam būtu nepieciešams konts. Jautājumiem, kurus uzdevumdevēji konkrēti uzdod, un veidam, kā mēs pie tam palīdzam, lasiet vairāk par lapā ar bieži uzdotajiem jautājumiem vai skatieties kā mēs pamatojam informāciju platformā.
Bezmaksas zināšanu bāze un pārbaude dod jums pirmskats bez saistībām. Vai jūs tad vēlaties kontrakteisas faktiski pārvērst par notiekošu dosē ar pierādījumiem un pabeigtas atbildes uz jautājumiem, tad tas ir laiks, kad jāskatās, ko abonements tam pievieno.