Ako softvérová spoločnosť dostávate čoraz častejšie bezpečnostný zoznam otázok od zákazníka, ktorý podlieha zákonu o kybernetickej bezpečnosti. Tá istá povinnosť starostlivosti, ktorá zaväzuje vášho zákazníka voči vám, zaväzuje aj vás: posúdiť, ktorí z vašich vlastných dodávateľov majú vplyv na bezpečnosť toho, čo budujete a dodávate. Politika dodávateľov je spôsob, ako urobiť toto posúdenie opakovateľným, namiesto toho aby ste sa zakaždým znova rozmýšľali, komu vlastne dôverujete.
Krátka odpoveď: začnete prehľadom toho, kto je vo vašej vývojovej linke a v dodávanom softvéri, tieto dodávateľov rozdelíte podľa rizika, ktoré predstavujú, a pre každú kategóriu si určíte, aké požiadavky kladiete a ako to kontrolujete. Tento prehľad a toto rozdelenie spolu tvoria politiku dodávateľov.
Dva druhy dodávateľov, jedna slepá chvíľa
Pri vývoji softvéru sa prelínajú dve reťazce a to činí politiku dodávateľov komplikovanejšou ako v prípade spoločnosti, ktorá nakupuje len fyzický tovar.
Prvý reťazec je vaša vývojová linka: správca zdrojového kódu, CI/CD pipeline, cloudové prostredie, na ktorom budujete, nástroje na testovanie a nasadzovanie. Slabé miesto tam v prvom rade ovplyvňuje vašu vlastnú prevádzku.
Druhý reťazec je to, čo sa dostane do vášho produktu: knižnice s otvoreným zdrojom, API tretích strán, zakúpené komponenty. Slabé miesto tam nie len vás postihuje, ale aj každého zákazníka, ktorý váš softvér používa. Práve na tomto rozlíšení mnoho politík dodávateľov zlyháva: pozornosť smeruje k prvému reťazcu, pretože je viditeľný v každodennej práci, zatiaľ čo druhý reťazec sa často stáva viditeľným len v okamihu, keď niečo nepôjde.
Inventarizácia: začnite s tým, čo už beží
Politika dodávateľov nezačína šablónou, ale zoznamom. Pre vývoj softvéru to znamená minimálne: ktoré poskytovateľov cloudu používate, ktoré správcov balíkov a registre váš build-proces používa, ktoré vonkajšie API váš produkt volá, a ktorí z týchto subjektov majú prístup k kódu, tajomstvám alebo údajom v produkcii.
U každého dodávateľa nie je otázka len na to, čo robia, ale na to, čo sa stane, ak výpadnú alebo budú kompromitovaní. Správca balíkov, odkiaľ pochádzajú stovky závislostí, sa váži inak ako fakturačný balík, ktorý funguje nezávisle od vývojovej linky.
Rozdelenie rizika: nie každý dodávateľ si zaslúži rovnakú pozornosť
Po inventarizácii nasleduje rozdelenie, zvyčajne na dve alebo tri úrovne. Dodávatelia s prístupom k zdrojovému kódu, tajomstvám alebo produkčným prostrediam si vyžadujú najprísnejšie požiadavky: silnú autentifikáciu, protokolovanie, pevný kontaktný bod pre incidenty. Dodávatelia, ktorí pracujú len nepriamo, ako nástroj na plánovanie projektov, si vyžadujú menej.
Smernica a národný zákon nevyžadujú pevné rozdelenie; regulačné orgány pri tom posudzujú, či sú opatrenia v pomere k riziku. To znamená, že rozdelenie, ktoré si vyberiete, musí byť vysvetliteľné: prečo tento dodávateľ patrí do ťažkej kategórie a ten iný nie.
Čo od nich požadujete a čo vy sami už odpovídáte
Politika dodávateľov funguje dvoma smermi. Navonok ju používate na kladenie otázok svojim vlastným dodávateľom: ako zaobchádzajú s chybami, majú proces pre viacnásobnú overenie, ako rýchlo vám hlasia incident. Dovnútra tvorí základ pre to, čo sami odpovídáte na zoznamy otázok vašich zákazníkov, pretože zákazník, ktorý vás hodnotí, často chce vedieť, či máte svoju dodávateľskú reťaz na zreteli.
Tieto dve stránky spolu súvisia: dodávateľská politika, ktorú napíšete len pre seba, zvyčajne nezodpovedá otázkam, ktoré dostávate od zákazníkov. Kto si politiku od začiatku nastaví s ohľadom na to, čo si vyžaduje odberateľ, nemusí ju neskôr prepisovať.
Zaznamenávanie: od politiky k dôkazu
Politika, ktorá existuje len v textovom dokumente, sa ťažko dokazuje v momente, keď sa vás na ňu pýta zákazník alebo dohľadný orgán. Praktickejšie je živý prehľad: pre každého dodávateľa kategória rizika, posledné posúdenie, dôkazný materiál ako napríklad vyhlásenie, certifikát alebo odpoveď na vašu vlastnú otázku, a kto v rámci vašej organizácie tohto dodávateľa sleduje.
Takýto prehľad nemusí byť veľký, aby bol užitočný. Pre softvérové podnikanie s niekoľkými kritickými dodávateľmi je tabuľka s niekoľkými stĺpcami často postačujúca, pokiaľ sa aktualizuje, keď sa dodávateľ zmení alebo sa zmluva obnoví.
Chcete si najskôr zistiť, či vaša organizácia sama podlieha povinnosti starostlivosti, alebo ste zasiahnutí len prostredníctvom svojich zákazníkov? vykonajte bezplatný test v niekoľkých otázkach a čítajte ďalej stránka so všetkými témami ako súvisí posúdenie dodávateľov s ďalšími povinnosťami. Zaujíma vás, odkiaľ pochádzajú informácie na tejto platforme a ako aktuálne sú? To je vysvetlené na stránke o tom, ako to fungujestránka s predplatným čo je na to potrebné. Softvérové spoločnosti dostávajú samy bezpečnostné dotazníky, ale musia posúďovať aj svojich vlastných dodávateľov. Tento článok vám ukazuje, ako to budujete, s…