Kādus jautājumus programmatūras uzņēmums saņem NIS2 jautājumu sarakstā?
Ja jūs veidojat programmatūru pasūtītājam, kurš pats ietilpst NIS2 direktīvā — vai arī Nīderlandē spēkā esošajā Kiberdroša kā likumā — jūs gandrīz noteikti saņemsit drošības jautājumjosku. Jautājumi tajā programmatūras izstrādes gadījumā vienmēr attiecas uz diviem aspektiem: tā, ko jūs piegādājat, drošību, un vidi, kurā jūs to veidojat, drošību. Otrais aspekts šīs jautājumjoslās atšķir no tām, kas paredzētas, piemēram, montāžas uzņēmumiem vai loģistikas pakalpojumu sniedzējiem.
Kodols vienmēr ir vienāds: vai kāds var caur jūsu pirmkodu, jūsu veidošanas vidi vai jūsu kontu paketpārvaldniekā iegūt piekļuvi jūsu pasūtītāja sistēmai, un ko jūs darāt, lai to novērstu vai ātri atklātu. Kurš var atbildēt uz šiem diviem jautājumiem, lielākai daļai saraksta jau ir gatavs.
Kāpēc programmatūra ir atsevišķa kategorija
Lielākajā daļā piegādātāju pasūtītājs analizē, kas notiek jūsu uzņēmumā: kam ir piekļuve kādām sistēmām, kā jūs pārbaudāt rezerves kopiju. Programmatūras piegādātāja gadījumā pievienojas papildu slānis: ko jūs no savas vietas nosūtāt uz pasūtītāja vietu. Tas var būt atjauninājums, API savienojums vai kods, kas tieši darbojas viņu vidē. Tāpēc šeit pasūtītājs var uzdot jautājumus padziļinātāk nekā piegādātājam, kurš izmanto tikai biroja automatizāciju.
Jautājumi par produktu: ko jūs piegādājat
Liela daļa jautājumjoslas attiecas uz pašu programmatūru. Vai jūs izmantojat ārējās bibliotēkas un komponentus, un vai jūs sekojat līdzi, kuri tie ir — bieži apzīmēti kā programmatūras komponentu pārskats. Kā jūs rīkojaties ar kļūdu, kas tiek atklāta šādā komponentā, un kādā laika posmā jūs pēc tam laižat klajā atjauninājumu. Vai kodu pārskata otrā persona pirms tam, kad tas nonāk dzīvē. Vai jūs pārbaudāt zināmās vājās vietas pirms piegādes, un kurš to dara.
Zem tam bieži vēl ir jautājums par paziņojumiem: ja kāds ārpus jūsu uzņēmuma atklāj kļūdu jūsu programmatūrā, vai ir iespēja to jums paziņot, un kas notiek ar šādu paziņojumu. Tas nav juridisks pienākums, kas izriet no pašas NIS2 direktīvas jums kā piegādātājam, bet praksē pasūtītāji par to jautā, jo viņi to saviem regulatoriem ir jāspēj pamatot.
Jautājumi par izstrādes vidi: kā jūs veidojat
Otrais bloks attiecas uz vidi, kurā programmatūra tiek izveidota. Kam ir piekļuve pirmkodnam, un vai tā piekļuve ir personīga vai kopīga. Vai vairākkārtīga autentifikācija ir iestatīta vidē, kurā tiek veidots un piegādāts. Vai izmaiņa tiek automātiski pārbaudīta pirms tam, kad tā iet uz ražošanu, un vai kāds var izlaist šo darbību. Kas pārvaldo atslēgas un sertifikātus, ar kuriem tiek parakstīta programmatūra, un kur tie tiek glabāti.
Arī diezgan bieži parādās: kā jūs rīkojaties ar izstrādātāju klēpjdatoriem un kontiem, kas darbojas ar šo vidi, it īpaši, ja viņi darbojas no attāluma. Un: vai jūs joprojām glabājat žurnālus par to, kurš ir mainījis kodu vai cauruļvadu, un cik ilgu laiku. Pēdējais saskan ar plašāku jēdzienu, ko sauc par notikumu reģistrāciju, bet pēc tam fokusēts uz pašu izstrādes vidi.
Ko pasūtītājs šeit drīkst un nedrīkst jautāt
Saraksts var attiekties uz jūsu produkta drošību un jūsu izstrādes procesu, ciktāl tas skar pasūtītāja risku. Jautājumi par jūsu pilnu iekšējo organizāciju, jūsu personāla politiku ārpus šī konteksta vai jūsu uzņēmuma daļas, kam nav nekāda sakara ar piegādāto programmatūru, ir ārpus šīs robežas. Kur precīzi ir šī robeža, atšķiras atkarībā no līguma un nozares, un tas ir jautājums, ko ar pasūtītāju diskusijā ir jāuzklausa skaidri, nevis jautājums, kas ir jāizlaiž klusi.
Kā jūs to vienreiz labi uzbūvējat
Lielākā daļa šo jautājumu nav brīduma atspoguļojums, bet gan fiksēta kopējā kopa, kas gandrīz pie katra pasūtītāja atgriežas ar nedaudz citu formulējumu. Ja atbildes vienu reizi noformulē pa pasākumam — ar pierādījuma dokumentu un atbildīgo personu — tad nākamajā jautājumu sarakstā tās jāpārkopē un jāpielāgo. ar dažiem jautājumiem, kas norāda, vai un kā jūs tiekat skarts redzat sīkstāvokli un pēc tam pārskats pēc temata atrodat atsevišķu pasākumu, piemēram, piekļuves kontroles un incidentu reģistrēšanas, detalizētu izklāstu. Ja šaubāties par konkrētu jautājumu sarakstā, ko saņēmāt, tad bieži uzdoto jautājumu saraksts bieži jau sniedz pirmās norādes, un paskaidrojums par to, no kur mūsu informācija nāk parāda, kā mēs informācijas avotus apkopojam.
Ja vēlaties vispirms pats pārbaudīt, vai un kā jūsu uzņēmums šajā aspektā atrodas, veiciet bezmaksas ātro skenēšanu vai pārlūkojiet zināšanu bāzi. Abas var konsultēt bez konta, un tās sniedz pirmo, faktisko norādi — nevis vērtējumu par jūsu konkrēto situāciju, par kuru neskaidrību gadījumā vienmēr varat griezties pie juriста vai pie jūsu sektora kompetentās pārraudzības institūcijas.