Min għandu aċċess għal-kodiċi tas-sors, il-pipeline u l-ambjent tal-produzzjoni?
Il-kontroll tal-aċċess fl-iżvilupp tas-software jittratta l-kwistjoni: min għandu drittijiet li jwettaq azzjoni partikulari fuq liema parti tal-linja tal-iżvilupp tiegħek: min għandu jaqa' jaqra l-kodiċi, min għandu jaqa' jbiddel u jgħaqqad il-kodiċi, min għandu jaqa' jibda' bini, u min għandu jaqa' jaħall verżjoni għall-produzzjoni. Din hija kwistjoni aktar spesifika mill-kontroll tal-aċċess għal organisazzjoni b'mod ġenerali, għaliex tim ta' iżvilupp jaħdem ma' sistemi multipli fl-istess ħin: depos tal-kodiċi tas-sors, ambjent tal-bini u l-ittestjar, u ħafna drabi ambjent separatur tal-produzzjoni fejn is-software jaċċettaw jaħdem.
Ir-raġuni li biss dan is-suġġett jirritorna fil-listi tal-mistoqsija tas-security u fil-miżuri tal-obbligi tal-ħtieġa tal-Direttiva NIS2, hija li żball fil-aċċess lejn il-linja tal-iżvilupp tiegħek jaħdem direttament ma' kulħadd li juża s-software tiegħek. Min jista' jbiddel il-kodiċi mingħajr ma jkun osservat u mbagħad jinqalagħ, ma jaffettwa biss l-organisazzjoni tiegħek imma wkoll il-klijenti tiegħek. Għalhekk, kemm awtorità ta' sorveljanza kif ukoll bejjiegħ li jkun innifsu taħt l-obbligi tal-ħtieġa, jolqtu kif inti strettamente rranġat dan.
Għaliex dan speċifikament il-kodiċi tas-sors u l-pipeline
Tim ta' iżvilupp ġeneralment għandu aktar nies b'drittijiet aktar wiesgħa milli direttament meħtieġ, sempliċement għaliex jaħdem b'mod prattiku: kulħadd jista' jaqa' kulħadd, ħadd ma għandu jintesa jistenna. Taħt l-obbligi tal-ħtieġa, dan huwa eżattament il-punt fejn issir aktar investigazzjoni. Mhux għaliex it-telfien kien mhux korrett, iżda għaliex il-pruvabilità hija differenti mit-telfien: awtorità ta' sorveljanza jew bejjiegħ jrid jaf jekk inti tista' turi min għandu aċċess, mhux biss jekk inti taħseb li jista'.
Il-mistoqsija li jiġu normalment fuq hawn jiġu fuq tliet saffi. L-ewwel hija l-depos tal-kodiċi tas-sors innifsu: min għandu jaqa' jaqra, min għandu jaqa' jbiddel, u hemm verifika obligatorja qabel ma jinqalagħ il-bidla mal-verżjoni prinċipali. It-tieni hija l-ambjent tal-bini u l-ittestjar: min għandu jaqa' jibda' bini, u għaddi l-ambjent għandu aċċess għal data jew sistemi li mhux maħsuba għall-iskopji tal-ittestjar. It-tielet hija l-ambjent tal-produzzjoni: min għandu jaqa' jwaqqagħ verżjoni attwali, u jekk dan huwa grupp differenti ta' nies milli li jikteb il-kodiċi.
Separazzjoni bejn il-kitba u l-ħatt tal-verżjoni
Distinzjoni rikorrenti fil-listi tal-mistoqsija hija jekk il-persuna li jikteb il-kodiċi hija wkoll l-ewwel li jwaqqagħ il-verżjoni għall-produzzjoni. Fejn dan huwa l-istess persuna, mingħajr pass intermedju ta' ħadd ieħor, jaqgħa' sitwazzjoni fejn żball jew bidla kwadarata tinqalagħ mingħajr osservazzjoni. Ħafna organizzazzjonijiet isolvu dan bi verifikazzjoni mandatorja t-tieni qabel ma jinqalagħ il-kodiċi, u birol separatur jew drittijiet separati għall-ħatt tal-verżjoni attwali. Kif dan jidher fil-prattika, ivarja ħafna skont tim u skont skala; ir-Regolament innifsu ma jikteb mod ta' xogħol speċifiku, iżda awtoritajiet u bejjiegħ jħarsu lejn il-kwistjoni sottostanti: jista' persuna waħda tintroduċi bidlat mingħajr kontroll li jaffettwaw il-klijenti.
Sigrieti u ċwievet separati mill-kodiċi
Tieni punt fejn il-listi tal-mistoqsija regolarment jiskieħu aktar, hija fejn jinżammu passwords, ċwievet ta' API, u sigrieti oħra. Is-sigrieti li jkunu fil-kodiċi tas-sors innifsu, huma viżibbli għal kulħadd b'aċċess tal-qari għal dan il-kodiċi, li tista' tkun grupp ħafna akbar milli min verament għandu jaħdem ma' dan il-ċwievet. Vault separata għas-sigrieti, b'drittijiet tal-aċċess proprji barra mid-depos tal-kodiċi, hija mod komuni biex tisepara. Jekk u kif inti tistabilixxi dan hija għażla teknika; rilevanti għad-dossier hija speċjalment jekk inti tista' tispjega għaliex l-approċċ magħżul huwa adatto għall-iskala u l-riskji ta' dak li inti tbni.
Dak li inti tdokumenta, mhux biss dak li inti tistabilixxi
It-setup tekniċi tal-jeddijiet ta' aċċess hija ħaġa waħda; li tipprovaha b'mod evidenti hija tieni, u dak it-tieni ħafna drabi tinsa fil-prattika. Lista ta' min għandu aċċess għal liema sistema, meta ntgħata, u fuq liema bażi, hija eżattament il-prova li lista ta' mistoqsija jew awtorità ta' sorveljanza tittolbu. Mingħajr dik il-lista, trid issib il-risposta mill-ġdid għal kull mistoqsija; b'reġistru li jgħaddi ħdejn kull miżura, ir-risposta hi diġà hemm. għad-deskrizzjoni għal kull miżura tagħti stampa ta' kif il-ġestjoni tal-aċċess tirrelata mal-dieħ miżuri oħra tal-obbliju ta' kura.
Jekk l-organizzazzjoni tiegħek tiegħu stess taqa' taħt l-obbliju ta' kura, jew li trid tirċievi l-mistoqsija għaliex dawk li jo jitgħallmu awtoritarji għaxda hawnhekk jien daħal li, ba' mistoqsija pjuttost jista' jiġi determinat. Għal min jistaqsi kemm eħħ ħalli jkun l-ispeċifikazzjoniet tal-kontroll tal-aċċess meta klijent jitlob li jippruvaw x'ġie rregolat, id-deskrizzjoni dwar il-protezzjoni u l-ġestjoni tad-data tagħti stampa aktar wiesgħa ta' fejn atiċ tat-talba kollha.
Għall-isem tiegħek stess, pereż jekk arranju speċifiku tal-inklinaasyon tal-iżvilupp tiegħek jam-miżura ta' kura li qajgħ fuqek jew fuq il-klijent tiegħek, huwa avukat jew l-awtorità ta' sorveljanza kompetenti l-post xieraq; secria.eu tippreparax-xlarem iżda ma tagħmel ebda stqarrija dwar l-adegwatezza individuali.
Trid tara kif il-ġestjoni tal-aċċess tidħol fil-bqija ta' tiegħek tal-file, jew għandek xi mistoqsiji aktar dwar x'eżattament qed tfisser din il-miżura? aqra l-mistoqsiji l-aktar Mastednos jħalli risposta qasira fuq ħafna minn dawk il-punti, u l-mħassa mħassara ta' quik-mħassara turi f'xi minuti biex taqa' l-organizzazzjoni tiegħek għal dan is-suġġett.