Bħala kumpanija tas-softwe, inti rċivut aktar u aktar ta' xi tal-ħin kundannazzjoni ta' sigurtà minn klijent li jaqa' taħt il-Liġi tal-Ċibersigurtà. Dik l-istess obbligi tal-kura li jikkonvinċi lill-klijent tiegħek lejk, jikkonvinċi ukoll inti stess li xi ħaġa: jikjemmlu liema wieħed mill-fornituri tiegħek stess għandu influwenza fuq is-sigurtà ta' dak li tibni u tittri. Politika tal-fornituri hija l-mod biex tagħmel din il-valutazzjoni ripetubli, minflok kull darba għal ġdid tippensa dwar min inti effettivament taffidaw.
Risposta qasira: tibda b'deskrizzjoni ta' min hemm fil-qasam tal-iżvilupp tiegħek u fis-softwe li tipprovdi, taqsam il-fornituri skond ir-riskju li jippreżentaw, u għal kull kategorija tistabbilixxi liema kundizzjonijiet tistgħu tagħmel u kif tiċċekkja dak. Din id-deskrizzjoni u din il-klassifikazzjoni flimkien jiffurmaw il-politika tal-fornituri.
Żewġ tipi ta' fornituri, waħda ċirta suwed
Fl-iżvilupp tas-softwe, żewġ ktajjen jduru permezz ta' xulxin, u dan jagħmel politika tal-fornituri aktar ikkumplikata minn kumpanija li tixtrieha biss oġġetti fiżiċi.
L-ewwel katina hija l-qasam tal-iżvilupp tiegħek: il-ġestjunaturi tal-kodiċi ta' sors, il-pipilina CI/CD, l-ambjent cloud fejn toħroż fuqu, l-għodda għat-test u d-displojaturi. Xogħol dgħajjef hemm jintgħaża l-ewwel post il-baċir tiegħek stess.
It-tieni katina hija dak li jidħol fil-prodott tiegħek: bibljoteki ta' sors miftuħa, APIs ta' parti terza, komponenti mixtrey. Xogħol dgħajjef hemm ma jintgħaża biss inti, iżda ukoll kull klijent li juża s-softwe tiegħek. Din id-distinzjoni hija eżattament fejn ħafna politika tal-fornituri jaqsru: l-attenzjoni tmur għal-ewwel katina għax din hija viżibbli fil-ħidma ta' kuljum, filwaqt li t-tieni katina ħafna drabi ssir viżibbli biss fil-mument li xi ħaġa tmur ħażin.
Inventarjar: ibda' b'dak li diġà qed itħaddem
Politika tal-fornituri ma tibdax b'mudell, iżda b'lista. Għall-iżviluppo tas-software, dan jfisser mill-inqas: liema fornituri tas-servizzi fil-cloud tuża, liema ġesturi ta' pakkett u reġistri jaqbżu l-proċess ta' binja' tiegħek, liema APIs esterni jissejjaħ il-prodott tiegħek, u liema minn dawn il-partijiet jistgħu jaċċedu għal kodiċi, sigrieti jew data tal-produzzjoni.
Għal kull fornitur, il-mistoqsija mhix biss x'jagħmlu, iżda x'jiġri jekk jkollhom ħadd jew jintgħaqdu. Ġestur ta' pakkett minn fejn ġejjin meja ta' dipendenzi jippeża differenti minn pakkett ta' fatturi li jaħdem separatament mill-linja ta' iżviluppo.
Klassifikazzjoni tar-riskju: mhux kull fornitur jistħoqqilhom l-istess attenzjoni
Wara l-inventarji ġej klassifikazzjoni, ħafna drabi f'żewġ jew tliet livelli. Fornituri li għandhom aċċess għal kodiċi tas-sorgent, sigrieti jew ambjenti tal-produzzjoni jitolbu l-aktar rekwiżiti severi: awtentikazzjoni qawwa, reġistrazzjoni, punt ta' kuntatt fiss għal inċidenti. Fornituri li jaħdmu biss indirettament, bħal għodda għall-ippjannar tal-proġetti, jitolbu inqas.
Id-Direttiva u l-liġi nazzjonali ma jippreskawtaw klassifikazzjoni fissa; l-awtoritajiet tal-kontroll iħarsu lejn jekk il-miżuri jkunu proporzjonati mar-riskju. Dan jfisser li l-klassifikazzjoni li tagħżel trid tkun spiegabbli: għaliex dan il-fornitur jaqa' fil-kategorija tqila u dak l-ieħor le.
Dak li tistaqsi, u dak li int nnifisk diġà twiegħed
Politika tal-fornituri taħdem f'żewġ direzzjonijiet. Lejn barra tuża biex tistaqsi lil fornituri tiegħek: kif jittrattaw il-vulnerabilità, għandhom proċess għall-verifikazzjoni multipla, kemm malajr jgħarrunux inċident lilħabib. Lejn ġewwa twaqqaf il-bażi għal dak li int nnifisk twiegħed lil lijsitlux fuq il-listi tal-mistoqsija tal-klijenti tiegħek, għax klijent li jqeyyimek irid spiss jaf jekk inti għandek il-katina tiegħek b'niew.
Iż-żewġ naħat huma magħqudin: politika ta' fornituri li tiktbha biss għalik innifsek, ħafna drabi ma tikkonformx mal-mistoqsiyyat li tiksibha mill-klijenti. Min jistabbilixxi l-politika mill-bidu bi l-għan ta' dak li jistaqsi l-qarrieq, m'għandux bżonn li jerġa' jiktibha aktar tard.
Dokumentazzjoni: mil-politika sal-prova
Politika li tqiegħed biss f'dokument ittestwali, hija diffiċli li titħaqqaq meta klijent jew awtorità ta' superviżjoni jistaqsiha. Iktar prattiku hu barkod ħaj: għal kull forniture l-kategorija ta' riskju, l-aħħar valutazzjoni, il-prova bħal dikjarazzjoni, ċertifikat jew risposta għall-mistoqsiyyat tiegħek stess, u min fil-qasam organizzattiv tiegħek imorr il-forniture.
Barkod bħal dan m'għandux bżonn li jkun kbir biex ikun utli. Għal kumpanija ta' softwer bi kumpless ta' fornitori kritiċi, tabella bi ftit kolonni ħaffa drabi hija biżżejjed, sakemm titħalla aġġornata meta fornitore iswibba jew kuntratt jiġi rinnovaw.
Trid tkun taf l-ewwel jekk l-organizzazzjoni tiegħek innifsek tappoġġa l-obbliguI ta' kunsiderazzjoni, jew biss permezz tal-klijenti tiegħek jkun milħuq? agħmel iċ-ċekk ta' xejn f'ftit mistoqsiyyat u aqra fuq il-paġna b'kollox suġġetti kif il-valutazzjoni tal-fornituri hija maqbula mal-obbligi oħra. Kuriuż dwar fejn tiġi l-informazzjoni fuq il-platform din u kemm hija aġġornata? Dan huwa spjegat fuq il-paġna dwar kif jaħdem. Min jrid jaqleb il-barkod tal-fornituri f'dossier b'provi u responsabbli, isib fuq il-paġna tal-abbonamenti x'hemm bżonn għaddik.