Ca firmă de software, primiți din ce în ce mai des o listă de verificare a securității de la un client care se încadrează în legea de securitate cibernetică. Aceeași obligație de diligență care o obligă pe client să vă prezinte întrebări, vă obligă și pe dumneavoastră: să evaluați care dintre propriii dumneavoastră furnizori au impact asupra securității a ceea ce construiți și livrați. O politică a furnizorilor este modul de a face evaluarea aceasta repetabilă, în loc să regândiți de fiecare dată în care dumneavoastră de fapt aveți încredere.
Răspuns scurt: începeți cu o vedere de ansamblu asupra cine se află în linia dumneavoastră de dezvoltare și în software-ul pe care îl livrați, clasificați acei furnizori în funcție de riscul pe care îl reprezintă, și stabilit pe fiecare categorie ce cerințe aveți și cum o verificați. Acea vedere de ansamblu și acea clasificare formează împreună politica furnizorilor.
Două tipuri de furnizori, o orbire comună
La dezvoltarea de software, două lanțuri de aprovizionare se încrucișează, ceea ce face o politică a furnizorilor mai complicată decât la o companie care achiziționează doar bunuri fizice.
Primul lanț este linia dumneavoastră de dezvoltare: managerul codului sursă, conducta CI/CD, mediul cloud pe care construiți, instrumentele pentru testare și implementare. Un punct slab acolo afectează, în primul rând, propria dumneavoastră operațiune comercială.
Al doilea lanț este ceea ce ajunge în produsul dumneavoastră: biblioteci open source, interfețe de programare ale aplicației de terți, componente achiziționate. Un punct slab acolo nu vă afectează numai pe dumneavoastră, ci și fiecare client care folosește software-ul dumneavoastră. Exact această distincție este locul în care multa politică a furnizorilor cade în deficiență: atenția merge la primul lanț deoarece acela este vizibil în munca zilnică, în timp ce al doilea lanț devine adesea vizibil doar în momentul în care ceva nu merge bine.
Inventariere: începeți cu ceea ce rulează deja
O politică a furnizorilor nu începe cu un șablon, ci cu o listă. Pentru dezvoltarea de software, aceasta înseamnă minimum: ce furnizori de cloud utilizați, ce manageri de pachete și registre sunt accesați de procesul dumneavoastră de construire, ce interfețe de programare ale aplicației externe apelează produsul dumneavoastră, și care dintre aceste părți pot accesa cod, secrete sau date de producție.
Pentru fiecare furnizor, întrebarea nu este doar ce fac, ci ce se întâmplă dacă ei se defectează sau sunt compromiteni. Un manager de pachete din care sute de dependențe vin cântăresc diferit decât un pachet de facturare care funcționează separat de linia de dezvoltare.
Clasificare de risc: nu fiecare furnizor merită aceeași atenție
După inventariere urmează o clasificare, de obicei în două sau trei niveluri. Furnizori cu acces la cod sursă, secrete sau medii de producție au nevoie de cerințele cele mai stricte: autentificare puternică, jurnalizare, un punct de contact fix pentru incidente. Furnizori care colaborează doar indirect, cum ar fi un instrument de planificare a proiectelor, cer mai puțin.
Directiva și legea națională nu prescriu o clasificare fixă; autorităților de supraveghere le pasă dacă măsurile sunt proporționale cu riscul. Aceasta înseamnă că clasificarea pe care o alegeți trebuie să fie explicabilă: de ce acest furnizor cade în categoria strictă și celălalt nu.
Ce cereți, și ce răspundeți dumneavoastră deja
O politică a furnizorilor funcționează în două direcții. Spre exterior, o utilizați pentru a pune întrebări propriilor dumneavoastră furnizori: cum se ocupă ei de vulnerabilități, au ei un proces pentru verificare multiplă, cât de repede raportează un incident la dumneavoastră. Spre interior, formează baza pentru ceea ce răspundeți dumneavoastră pe liste de verificare ale clienților dumneavoastră, deoarece un client care vă evaluează adesea dorește să știe dacă aveți propriul lanț în vedere.
Cele două aspecte sunt interconectate: o politică de evaluare a furnizorilor pe care o elaborați doar pentru dumneavoastră însuși de obicei nu se aliniază cu întrebările pe care le primițidesai de la clienți. Cine elaborează politica de la început având în vedere ce solicită un cumpărător, nu trebuie să o rescrie mai târziu.
Documentare: de la politică la dovadă
O politică care există doar într-un document text este dificil de justificat în momentul în care un client sau o autoritate de reglementare o solicită. Mai practic este un registru dinamic: pentru fiecare furnizor categoria de risc, cea mai recentă evaluare, dovada documentară cum ar fi o declarație, un certificat sau un răspuns la propria dumneavoastră chestionare, și cine în cadrul organizației dumneavoastră monitorizează acel furnizor.
Un asemenea registru nu trebuie să fie voluminos pentru a fi util. Pentru o companie de software cu o mână de furnizori critici, o tabelă cu câteva coloane este de obicei suficientă, cu condiția să fie actualizată când un furnizor se schimbă sau un contract este reînnoit.
Doriți mai întâi să aflați dacă organizația dumneavoastră însuși cade sub obligația de diligență, sau doar dacă sunteți afectat prin clienții dumneavoastră? efectuați verificarea gratuită în câteva întrebări și citiți pe pagina cu toate temele cum evaluarea furnizorilor se leagă de alte obligații. Curioși de unde provin informațiile pe această platformă și cât de actuale sunt? Aceasta este explicat pe pagina despre cum funcționează. Cine dorește să transforme registrul furnizorilor într-un dosar cu dovezi și responsabili, găsește pe pagina de abonamente ce este necesar pentru aceasta.