Pri registrácii incidentov pri vývoji softvéru ide o dve rôzne veci, ktoré sa často miešajú: zraniteľnosť alebo porucha v softvéri, ktorý vyvíjate a dodávate, a incident vo vašej vlastnej vývojovej línii — v prostredí, v ktorom vytvárate tento softvér. Čo si zaznamenávate, kto o tom musí vedieť a aký je nasledujúci krok, sa líši v závislosti od typu. Kto tento rozdiel neurobí, často stratí incident, ktorý je najdôležitejší: kontamináciu v build-pipeline, ktorá sa prostredníctvom kódu šíri na všetkých zákazníkov, ktorí ho používajú.
Zraniteľnosť v dodanom kóde priamo ovplyvňuje zákazníka: ten softvér spúšťa, takže znáša riziko. Incident vo vývojovej línii — ukradnutý prístupový kľúč, kompromitovaný build-účet, únik v úložisku zdrojového kódu — vás v prvom rade dotkne, ale môže sa premeniť na dopad na každého zákazníka, ktorý s tým kódom pracuje. Pre obe situácie platí, že bezpečnostný dotazník alebo audítor sa nepýta, či sa niekedy niečo pokazilo, ale či môžete ukázať, čo ste si z toho zaznamenali a čo ste sa naučili.
Čo si zaznamenávate pri incidente v kóde
Zraniteľnosť alebo porucha v dodanom softvéri zahŕňa: kedy bola objavená, kto alebo čo ju objavilo (interný test, hlásenie zákazníka, skener, externý výskumný pracovník), ktorá časť softvéru ju ovplyvňuje, aký je možný dopad, aké opatrenia boli prijané a v aký dátum, a kto vo vašej organizácii je zodpovedný za jej riešenie. Dobrá registrácia tiež ukáže, či bola oprava distribuovaná všetkým zákazníkom, ktorí používajú danú verziu, alebo iba tým, ktorí ju nahlásili. To druhé je presne to, po čom sa pýta používateľ v dotazníku: nie či ste niekedy mali zraniteľnosť, ale či váš proces zaručuje, že všetci, ktorých sa týka, sa o tom dozvedia.
Čo si zaznamenávate pri incidente vo vývojovej línii
Incident vo vašom vlastnom vývojovom prostredí — kompromitovaný účet s prístupom k zdrojovému kódu, build-server, ktorý reaguje inak, ako sa očakáva, závislosť, ktorá sa neskôr ukáže ako škodlivá — si vyžaduje o niečo inú registráciu. Tu ide o: ktorý systém alebo účet bol dotknutý, kto mal v danom čase prístup, či existujú stopy toho, že bol kód zmenený alebo skúmaný, a ktorí zákazníci môžu používať softvér, ktorý bol v tom čase vytvorený alebo dodaný. Toto je typ incidentu, na ktorý má priamy vplyv správa prístupu vo vývojovej línii: bez aktuálneho prehľadu o tom, kto má kde povolenie, je táto skúmaná otázka pri incidente oveľa zložitejšia.
Koho informujete a koho nie
To, či ste sami podľa požiadaviek na bezpečnú prevádzku určení ako základný alebo dôležitý subjekt, určuje, koho o incidente informujete. Subjekty, ktoré boli sami označené ako základný alebo dôležitý subjekt, majú povinnosť nahlásenia svojmu dohľadnému orgánu; čo presne musí byť hlásené a v akej lehote, je uvedené v smernici a národnom zákone a líši sa v závislosti od situácie. Softvérová spoločnosť, ktorá je dotknutá v dodávateľskom reťazci — teda nie je sama povinná, ale dodáva zákazníkovi, ktorý je — nemá túto povinnosť hlásenia dohľadnému orgánu, ale zvyčajne má zmluvnú dohodu o informovaní zákazníka. To nezmenšuje dôležitosť vlastnej registrácie: zákazník, ktorý sa pýta, či ste niekedy mali incident, chce vidieť konkrétnu odpoveď, nie odhad retrospektívne.
Živý register, nie archív
Registrácia incidentov funguje najlepšie ako živý dokument: zoznam, v ktorom sa na každý incident dá nájsť stav, dôkazný materiál a zodpovedný vlastník, namiesto samostatnej správy, ktorá sa po vyriešení stratí v zložke. To sa zhoduje s tým, ako je koncipovaná širšia povinnosť starostlivosti, s desiatimi opatreniami, z ktorých každé si vyžaduje stav a zodpovedného vlastníka. Kto chce vidieť, ako sa registrácia incidentov vzťahuje k ostatným deviatim opatreniam, nájde tento prehľad na stránke so všetkými témami podľa situácie.
To, či vaša organizácia sama podlieha povinnosti starostlivosti, je ovplyvňovaná prostredníctvom dodávateľského reťazca alebo ani jedno z toho, sa dá zistiť na základe niekoľkých otázok prostredníctvom NIS2-kontroly, ktorá na základe niekoľkých otázok dáva indikáciu. Kto presne chce vedieť, odkiaľ pochádzajú informácie na secria.eu a ako sa vedú, prečíta si to na stránke o tom, ako to funguje. A kto po prečítaní chce vedieť, čo pridáva predplatné k tomu, čo je tu zadarmo, nájde to prehľadne na prehľade toho, čo je zahrnuté.
Tento text je všeobecným vysvetlením a nie je právnym poradenstvom týkajúcim sa vašej vlastnej situácie. Ak chcete posúdenie vášho špecifického procesu spracovania incidentov alebo povinnosti ohlásiť, môžete sa obrátiť na právnika alebo na dozorný orgán, ktorý je príslušný pre vašu oblasť.