Ce întrebări primește o companie de software într-o listă de verificare NIS2?
Dacă compilați software pentru un client care se încadrează el însuși în Directiva NIS2 — sau sub Legea de securitate cibernetică din Olanda — aproape sigur că veți primi o listă de verificare de securitate. Întrebările din aceasta privind dezvoltarea de software merg întotdeauna asupra a două lucruri: securitatea a ceea ce livrați și securitatea mediului în care o faceți. Acest al doilea punct diferențiază aceste liste de cele pentru, de exemplu, o companie de instalare sau un furnizor de servicii auxiliare.
Esența este întotdeauna aceeași: poate cineva prin codul dvs. sursă, mediul dvs. de compilare sau contul dvs. la un manager de pachete să obțină acces la sistemul clientului dvs., și ce faceți pentru a preveni sau detecta rapid aceasta. Cine poate răspunde la aceste două întrebări este deja gata cu cea mai mare parte din listă.
De ce software este o categorie separată
La majoritatea furnizorilor, un client se uită la ceea ce se întâmplă ÎN compania dvs.: cine are acces la ce sisteme, cum testați o copie de siguranță. La un furnizor de software se adaugă un nivel, și anume ceea ce lăsați SĂ MEARGĂ din compania dvs. în cea a clientului. Aceasta poate fi o actualizare, o cuplare API, sau cod care rulează direct în mediul lor. De aceea un client pune întrebări mai aprofundate aici decât la un furnizor care folosește doar automatizare de birou.
Întrebări despre produs: ceea ce livrați
O mare parte din lista de verificare se referă la software-ul în sine. Utilizați biblioteci și componente externe și țineți evidența ce sunt acestea — adesea numite o prezentare generală a componentelor software. Cum vă ocupați de o vulnerabilitate descoperită într-o astfel de componentă și în ce laps de timp lansați o actualizare. Codul este revizuit de o altă persoană înainte de a merge în direct. Testați pentru puncte slabe cunoscute înainte de a livra și cine face asta.
Sub aceasta se află adesea o întrebare despre rapoarte: dacă cineva din afara companiei dvs. descoperă o vulnerabilitate în software-ul dvs., există o modalitate de a o raporta la dvs. și ce se întâmplă cu un astfel de raport. Aceasta nu este o obligație juridică care decurge din NIS2 însuși pentru dvs. ca furnizor, dar clienții întreabă în practică despre aceasta deoarece trebuie să o poată susține la propriul lor organul de supraveghere.
Întrebări despre linia de producție de dezvoltare: cum compilați
Al doilea bloc se referă la mediul în care se creează software-ul. Cine are acces la codul sursă și dacă acel acces este legat de persoană sau partajat. Există verificare cu mai mulți factori pe mediul în care se compilează și se livrează. Modificarea este testată automat înainte de a merge în producție și poate cineva să ocolească acel pas. Cine administrează cheile și certificatele cu care este semnat software-ul și unde sunt stocate.
De asemenea destul de des recurent: cum vă ocupați de laptopurile și conturile dezvoltatorilor care lucrează cu acest mediu, mai ales dacă funcționează de la distanță. Și: păstrați jurnale cu cine ce a modificat în cod sau în linia de producție și cât timp. Acesta din urmă se conectează la ceea ce în sens mai larg se numește înregistrare de incidente, dar apoi îngustată la mediul de dezvoltare în sine.
Ce poate și nu poate cere un client
Lista poate merge pe securitatea produsului dvs. și a procesului dvs. de dezvoltare în măsura în care aceasta afectează riscul clientului. Întrebări despre întreaga organizație internă a dvs., politica de personal separată de acest context, sau părți ale companiei dvs. care nu au nicio legătură cu software-ul livrat cad în afara acestui domeniu. Locul exact al acestei limite diferă în funcție de contract și sector, și aceasta este ceva care trebuie clarificat în conversația cu clientul, nu ceva de trecut cu vederea în taină.
Cum o construiți corect o dată
Majoritatea acestor întrebări nu sunt o fotografie a unui moment, ci un set fix care revine cu aproape fiecare client, doar cu o formulare ușor diferită. Cine înregistrează răspunsurile o dată per măsură — cu o dovadă și un proprietar — trebuie doar să le copieze și să le adapteze la următoarea listă de întrebări. Cu câteva întrebări care arată dacă și cum sunteți afectat vedeți mai întâi unde vă aflați, iar în panorama per subiect găsiți detalierea măsurilor individuale, cum ar fi controlul accesului și înregistrarea incidentelor. Dacă aveți dubii cu privire la o întrebare specifică dintr-o listă pe care ați primit-o, atunci lista cu întrebări frecvente oferă adesea deja o primă direcție, iar o explicație cu privire la proveniența informațiilor noastre arată cum păstrăm urmele surselor.
Dacă doriți să verificați mai întâi pe cont propriu dacă și cum se poziționează compania dumneavoastră în acest context, efectuați scanarea rapidă gratuită sau răsfoiți banca de cunoștințe. Ambele pot fi consultate fără cont și oferă o primă indicație faptică — nu o evaluare a situației dumneavoastră specifice, pentru care, în caz de îndoială, vă puteți adresa întotdeauna unui jurist sau autorității de supraveghere competentă pentru sectorul dumneavoastră.