X'inhu dak li għandu jkun minn qabel fil-politika ta' sigurtà tal-informazzjoni għall-iżvilupp tal-softwer?
Politika ta' sigurtà tal-informazzjoni għall-iżvilupp tas-softwar hija d-dokument fejn inti tistabbilixxi kif l-organizzazzjoni tiegħek timmaniġġja s-sigurtà tal-informazzjoni, is-sistemi u l-kodiċi. Għal kumpanija ta' softwar, dan ikun dwar żewġ affarijiet simultanjament: is-sigurtà ta' dak li qed tibni, u s-sigurtà tal-ambjent fejn qed tibniha. Iż-żewġ aspetti għandhom jkunu fl-istess dokument, anke jekk ma jkunux differenti minn perspettiva ta' kontenut.
Konkretament, dan ifisser li l-politika normalment tkopri l-iskop (liema sistemi u liema proġetti ta' żvilupp huma inklużi), ir-responsabbiltajiet (min jiddeċiedi, min jimmaniġġja, min jikkontrolla), il-mod kif l-aċċess għal-kodiċi tas-sors u l-ambjenti ta' żvilupp huwa rregolat, kif il-vulnerabilità fil-kodiċi tiegħek hija skoperta u ssoluta, kif huma trattati l-ambjenti ta' test versus ambjenti ta' produzzjoni, kif l-inċidenti huma regisitrati u kif il-politika nnifisha hija mirfuda u reviżata. Lista tal-mistoqsija minn ħamsa ta' akkwirent spiss titlob eżattament dan it-tip ta' dokumenti bħala prova, mhux deskrizzjoni teknika tal-kodiċi tas-sors tiegħek.
Żewġ saffi: il-prodott u s-setting ta' żvilupp
Is-sabqa l-ewwla hija dwar il-prodott: is-softwar li inti tipprovdi lill-ħamsa. Din tinkludi deskrizzjoni ta' kif inti timmaniġġja l-vulnerabilità li hija skoperta wara l-ipprovdiment, kif l-updates u l-patches irriedu lill-ħamsa, u min fl-organizzazzjoni huwa responsabbli għat-taħriġ ta' notifiki dwar il-problemi ta' sigurtà fil-prodott.
Is-sabqa t-tanja hija dwar is-setting ta' żvilupp: l-ambjent fejn il-team tiegħek jaħdem. Dan huwa l-ambjent tal-ġestjoni tal-versjoni, il-pipeline ta' bini u test, u s-separazzjoni bejn l-ambjenti ta' test u ta' produzzjoni. Hawn issa l-mistoqsija hija min għandu l-permess għal-kodiċi tas-sors, kif il-modifiki huma kkontrollati qabel ma jmorru live, u kif l-aċċess huwa rittirat meta ħadd jilħaq il-team. Iż-żewġ saffi jistgħu jkunu fl-istess dokument, imma spiss huma deskritti separatement minħabba li r-riskji u l-proprietajiet tagħhom huma differenti.
Għaliex ħamsa ta' akkwirent titlob dan
Organizzazzjonijiet li nfushom huma soggetti għal-obbligu ta' ġestjoni tar-riskji, huma obbligati biex jevalwaw ir-riskji mal-fornituri tagħhom. Kumpanija ta' softwar li qed taħdem għal tali organizzazzjoni, tireċievi għalhekk mistoqsijiet li ma joriġinawhom minn obbligu tagħhom stess, iżda minn it-tuża tal-katina tal-fornituri. Politika ta' sigurtà tal-informazzjoni hija allura spiss l-ewwl biċċa li hija mitluba, minħabba li f'dokument wieħed tispjega kif strutturali hija ġiet indirizzata s-sigurtà. Jekk din hija nieqsa, allura inti trid tispjega dak fl-lista tal-mistoqsija per mistoqsija separata, li jieħu aktar ħin u jaħdemx konvinċenti kemm dokument eżistenti.
Jekk l-organizzazzjoni tiegħek nnifisha hija soggetta għall-obbligu ta' ġestjoni tar-riskji, soggetta għat-tuża tal-katina tal-fornituri, jew xejn mill-itnin, ma jkunx evidenti fl-ewwel ħarsa. f'ftit mistoqsija tara fejn għandha tagħqaf l-organizzazzjoni tiegħek jagħti indikazzjoni inizjali hemm, b'spjegazzjoni għaliex.
Kif din il-politika hija relatata mal-miżuri separati
Politika ta' sigurtà tal-informazzjoni mhix waħda waħda. Din tiddeskrivi fuq il-linji prinċipali kif inti timmaniġġja s-sigurtà, filwaqt li l-miżuri separati — ġestjoni tal-aċċess, back-ups, reġistrazzjoni tal-inċidenti, evaluazzjoni tal-fornituri — huma l-implimentazzjoni konkreta tagħhom. Min jikteb il-politika bla l-miżuri sottostanti li jkunu f'ordni, għandu dokument li ma jaqbilx mal-prattika. Bil-kuntrast, huwa diffiċli wkoll: miżuri separati bla politika li tkopri l-baqija jaraw inqas koerenti lil min jitlob. id-deskrizzjoni ta' l-aspetti kollha għal kull sitwazzjoni turi kif dawn il-komponenti huma konnessi ma' xulxin.
X'li spiss jgħodd nieqes fil-prattika
F'ħafna verżjonijiet inizjali ta' politika bħal din, hemm nuqqas ta' proprjetà ċara għal kull komponent: min hu responsabbli biex iġorr l-ippolitika ta' aċċess aġġornata, min għall-ippolitika ta' patches. Ħafta drabi hemm nuqqas ukoll ta' data ta' evalwazzjoni stabbilita, u għalhekk politika minn sentejn ilu għadha tiġi pprezentata bħala attwali filwaqt li l-qasam ta' żvilupp inbidel għalissa. U punt it-tielet li ħafta jkun nieqes: konnessjoni espliċita bejn il-politika u l-evidenza li turi li din tapplika effettivament, bħall-logs tal-drittijiet ta' aċċess jew ħlasf tal-patches implimentati.
Evalwa s-sitwazzjoni tiegħek stess
Liema komponenti eżatt li jkunu mistennija jiddipendi mir-rwol tal-organizzazzjoni tiegħek fil-katina tal-provvista u dak li jistaqsi tfittieħ speċifiku. Dan l-artikolu jiddeskrivi l-istruttura komuni, mhux mudell obbligatorju, u t-test tal-liġi nnifsu ma jiddeskrivi ebda tqassim fiss. Biex toħroġ ġudizzju dwar is-sitwazzjoni speċifika tiegħek, l-qorti jew l-awtorità kompetenti ta' sorveglianza huma l-partiti l-aktar tajba; il-mistoqsijiet frekwenti dwar dokumenti bħal dawn tagħti tfittieħ addizzjonali ta' dak li ħafta jkun mitlub.
Trid tara kif politika bħal din, flimkien mal-misjuri sottostanti u l-evidenza, tiġi miżmuma f'dossier għal kollox minflok bħala dokumentu separata? kif secria.eu tibni u miżmuma l-informazzjoni turi dan. Jew ibda b'NIS2-check b'xejn, jew dur mill-bank tal-għarfien biex tara liema suġġetti huma rilevanti għall-organizzazzjoni tiegħek.