Jaké otázky obdrží softwarová společnost v seznamu otázek NIS2?
Pokud vyvíjíte software pro zadavatele, který sám podléhá směrnici NIS2 — nebo českému Zákonu o kybernetické bezpečnosti — téměř jistě obdržíte seznam bezpečnostních otázek. Otázky v něm se při vývoji softwaru vždy týkají dvou věcí: bezpečnosti toho, co dodáváte, a bezpečnosti prostředí, ve kterém to vytváříte. Druhý bod rozlišuje tyto seznamy od seznamů pro např. instalační firmu nebo poskytovatele facilitních služeb.
Jádro je vždy stejné: může někdo získat přístup k vašemu systému zadavatele prostřednictvím vašeho zdrojového kódu, vašeho vývojového prostředí nebo vašeho účtu u správce balíčků, a co děláte, abyste tomu zabránili nebo to rychle objevili. Kdo odpověděl na tyto dvě otázky, je už u velkého dílu seznamu hotov.
Proč je software samostatnou kategorií
U většiny dodavatelů se zadavatel dívá na to, co se děje uvnitř vaší společnosti: kdo má přístup k jakým systémům, jak testujete zálohu. U dodavatele softwaru přibývá vrstva toho, co posíláte z vaší společnosti do společnosti zadavatele. Může to být aktualizace, API připojení nebo kód, který běží přímo v jejich prostředí. Proto se zde zadavatel ptá hlouběji než u dodavatele, který používá pouze kancelářskou automatizaci.
Otázky o produktu: co dodáváte
Velká část seznamu se týká samotného softwaru. Používáte externí knihovny a komponenty a sledujete, které to jsou — často označováno jako přehled softwarových součástí. Jak postupujete, když se v takové součásti objeví zranitelnost, a v jaké lhůtě pak vydáte aktualizaci. Kód před živým nasazením přezkouší druhá osoba. Testujete na známé slabé místa před dodáním a kdo to dělá.
Pod tím se často skrývá otázka o hlášení: pokud někdo mimo vaši společnost objeví zranitelnost v našem softwaru, existuje způsob, jak to nahlásit a co se s takovým hlášením stane. Není to právní povinnost vyplývající přímo ze směrnice NIS2 pro vás jako dodavatele, ale zadavatelé se v praxi na to ptají, protože to musí moci zdůvodnit svému regulačnímu úřadu.
Otázky o vývojovém prostředí: jak stavíte
Druhý blok se týká prostředí, ve kterém software vzniká. Kdo má přístup ke zdrojovému kódu a je přístup osobní či sdílený. Je na prostředí, ve kterém se buduje a dodává, vícefaktorové ověření. Je změna automaticky testována dříve, než se dostane do produkce, a může ji někdo obejít. Kdo spravuje klíče a certifikáty, kterými se software podepisuje, a kde jsou uloženy.
Také poměrně často se opakuje: jak postupujete s notebooky a účty vývojářů, kteří s tímto prostředím pracují, zvláště pokud pracují na dálku. A: uchováváte protokoly o tom, kdo co měnil v kódu nebo v pipeline, a jak dlouho. To druhé se v širším smyslu označuje jako registrace incidentů, ale zaměřené na samotné vývojové prostředí.
Co smí a nesmí zadavatel ptát
Seznam se smí týkat bezpečnosti vašeho produktu a vašeho vývojového procesu, pokud to ovlivňuje riziko zadavatele. Otázky o vaší úplné interní organizaci, vaší personální politice mimo tento kontext nebo částech vaší společnosti, které nesouvisejí s dodávaným softwarem, jsou mimo rozsah. Kde přesně tato hranice probíhá, se liší podle smlouvy a odvětví, a je to něco, co si ujasníte v rozhovoru se zadavatelem, ne něco, co byste měli tiše přejít.
Jak to jednou postavit správně
Většina těchto otázek není momentálním snímkem, ale pevnou sadou, která se vrací u téměř každého zadavatele, jen s mírně odlišnou formulací. Kdo si jednou na každého opatření zaznamenává odpovědi — s důkazem a odpovědným pracovníkem — ten musí odpovědi v dalším dotazníku pouze zkopírovat a přizpůsobit. S několika málo otázkami, které ukazují, zda a jak jste zasaženi vidíte nejdřív, kde stojíte, a v přehledu per téma najdete rozpracování jednotlivých opatření, jako je řízení přístupu a registrace incidentů. Pokud si nejste jistí konkrétní otázkou v seznamu, který jste obdrželi, pak seznam často kladených otázek vám často již dá prvotní orientaci, a vysvětlení na téma, odkud naše informace pocházejí ukazuje, jak si vedeme zdroje.
Chcete-li nejdřív sami ověřit, zda a jak se vaše společnost nachází v této situaci, proveďte bezplatný rychlý test nebo procházejte vědomostní bázi. Oba lze konzultovat bez účtu a poskytují prvotní, faktickou indicii — ne posouzení vaší konkrétní situace, v níž vám v případě pochybností vždy pomohou právník nebo toezichthouder příslušný pro váš sektor.