Quais perguntas recebe uma empresa de software numa lista de verificação NIS2?
Se constrói software para um cliente que se enquadra na Diretiva NIS2 — ou na Lei de Segurança Cibernética nos Países Baixos — quase certamente receberá um questionário de segurança. As perguntas nele contidas incidem sempre sobre dois aspetos no desenvolvimento de software: a segurança do que entrega e a segurança do ambiente em que o produz. Este segundo ponto distingue estes questionários dos dirigidos, por exemplo, a uma empresa de instalação ou a um prestador de serviços gerais.
O essencial é sempre o mesmo: pode alguém aceder ao sistema do seu cliente através do seu código-fonte, do seu ambiente de construção ou da sua conta num gestor de pacotes, e o que faz para o evitar ou detetar rapidamente. Quem conseguir responder a estas duas perguntas já está pronto para a maior parte da lista.
Porque o software é uma categoria separada
Com a maioria dos fornecedores, um cliente observa o que acontece *dentro* da sua empresa: quem tem acesso a que sistemas, como testa uma cópia de segurança. Com um fornecedor de software surge uma camada adicional, ou seja, o que deixa sair da sua empresa para a do cliente. Pode ser uma atualização, uma ligação API ou código que funciona diretamente no ambiente dele. Por isso um cliente faz perguntas mais aprofundadas aqui do que a um fornecedor que apenas utiliza aplicações de escritório.
Perguntas sobre o produto: o que entrega
Uma grande parte do questionário incide sobre o próprio software. Utiliza bibliotecas e componentes externos, e mantém registo de quais são — frequentemente designados como inventário de componentes de software. Como lida com uma vulnerabilidade descoberta num desses componentes e em que prazo lança uma atualização. O código é revisto por uma segunda pessoa antes de ser implementado. Testa vulnerabilidades conhecidas antes de entregar e quem o faz.
Sob este aspeto muitas vezes surge ainda uma pergunta sobre relatos: se alguém fora da sua empresa descobrir uma vulnerabilidade no seu software, existe uma forma de o comunicar, e o que acontece com tal relato. Esta não é uma obrigação jurídica decorrente da própria NIS2 para si enquanto fornecedor, mas na prática os clientes colocam-na porque precisam de poder demonstrá-la junto do seu próprio regulador.
Perguntas sobre a cadeia de desenvolvimento: como constrói
O segundo bloco aborda o ambiente em que o software é criado. Quem tem acesso ao código-fonte e esse acesso é individual ou partilhado. Existe verificação em múltiplos fatores no ambiente em que se constrói e se entrega. Uma alteração é testada automaticamente antes de ir para produção e alguém consegue contornar este passo. Quem gere as chaves e certificados com que o software é assinado e onde estão armazenados.
Também recorrente com alguma frequência: como lida com os computadores portáteis e contas dos programadores que trabalham neste ambiente, especialmente se trabalham remotamente. E: mantém registos de quem alterou o quê no código ou na cadeia de construção e por quanto tempo. Este último ponto conecta-se com o que em termos mais amplos se chama registo de incidentes, mas aplicado ao próprio ambiente de desenvolvimento.
O que um cliente pode e não pode perguntar
A lista pode abordar a segurança do seu produto e do seu processo de desenvolvimento na medida em que afetem o risco do cliente. Perguntas sobre toda a sua organização interna, a sua política de pessoal desligada deste contexto ou partes da sua empresa que nada têm a ver com o software entregue caem fora do âmbito. O ponto exato em que esta linha se situa varia consoante o contrato e o setor, e é algo a esclarecer na discussão com o cliente, não algo a deixar passar em silêncio.
Como organizar isto uma vez, corretamente
A maioria dessas perguntas não é uma foto do momento, mas um conjunto fixo que retorna com praticamente cada cliente, apenas com uma formulação ligeiramente diferente. Quem registra as respostas uma vez por medida — com um comprovante e um responsável — apenas precisa copiá-las e adaptá-las na próxima lista de perguntas. algumas perguntas que mostram se e como você é afetado você vê primeiro onde está e em a visão geral por tópico encontra o desenvolvimento de medidas individuais, como controle de acesso e registro de incidentes. Se tiver dúvidas sobre uma pergunta específica em uma lista que recebeu, o a lista de perguntas frequentes muitas vezes já oferece uma primeira orientação, e uma explicação sobre a origem de nossas informações mostra como mantemos as fontes.
Se desejar primeiro verificar por sua conta se e como sua empresa se insere aqui, faça a varredura rápida gratuita ou navegue pelo banco de conhecimentos. Ambos podem ser consultados sem conta e fornecem uma primeira indicação factual — não um julgamento sobre sua situação específica, para o qual você pode sempre procurar um advogado ou a autoridade reguladora competente para seu setor.