Kto má prístup k zdrojovému kódu, vývojovej línii a produkčnému prostrediu?
Správa prístupu vo vývoji softvéru sa zaoberá otázkou, kto má oprávnenie vykonať ktorú činnosť na ktorej časti vašej vývojovej línie: kto môže čítať kód, kto môže kód zmeniť a zlúčiť, kto môže spustiť zostávanie a kto môže vyradiť verziu do produkcie. Toto je špecifickejšia otázka ako správa prístupu v organizácii všeobecne, pretože vývojový tím pracuje s viacerými systémami súčasne: úložiskom zdrojového kódu, prostredím pre zostávanie a testovanie a väčšinou oddelením produkčným prostredím, kde softvér skutočne beží.
Dôvod, prečo sa toto špecifické téma opakuje v bezpečnostných dotazníkoch a v opatreniach starostlivosti podľa Smernice NIS2, spočíva v tom, že chyba v prístupe k vašej vývojovej línii sa priamo prenesie na všetkých, ktorí vašu softvér používajú. Kto môže nepozorovaný zmeniť kód, ktorý sa následne nasadí, ovplyvní nielen vašu vlastnú organizáciu, ale aj vašich zákazníkov. Preto ako dohľadný orgán, tak aj poskytovateľ, ktorý je sám viazaný povinnosťou starostlivosti, sa pýta, ako ste to usporiadali.
Prečo práve zdrojový kód a vývojová lína
Vývojový tím má zvyčajne viac ľudí s širšími právami, ako je striktne potrebné, jednoducho preto, že to funguje prakticky: každý má prístup všade, nikto sa nemusí čakať. Z hľadiska povinnosti starostlivosti je to presne bod, v ktorom sa ďalej pýtajú. Nie preto, že by dôvera bola nesprávna, ale preto, že preukázateľnosť je niečo iné ako dôvera: dohľadný orgán alebo poskytovateľ chce vedieť, či môžete ukázať, kto má prístup, nielen či tomu dôverujete.
Otázky, ktoré sa tu opakujú, sa zvyčajne týkajú troch vrstiev. Prvá je samotné úložisko zdrojového kódu: kto môže čítať, kto môže meniť a existuje povinná kontrola pred zlúčením zmeny s hlavnou verziou. Druhá je prostredie pre zostávanie a testovanie: kto môže spustiť zostávanie a má toto prostredie prístup k údajom alebo systémom, ktoré nie sú určené na testovanie. Tretia je produkčné prostredie: kto môže skutočne nasadiť verziu a ide o inú skupinu ľudí, ako sú tí, ktorí napísali kód.
Oddelenie medzi písaním a nasadením
Opakujúca sa distinká v dotazníkoch je, či osoba, ktorá napíše kód, je tiež osoba, ktorá nasadí verziu do produkcie. Ak ide o tú istú osobu bez medziľahlého kroku inej osoby, vzniká situácia, v ktorej chyba alebo zlomyslná zmena nepozorovaný skončí v produkcii. Mnohé organizácie to riešia povinným druhým posúdením pred zlúčením kódu a osobitnou úlohou alebo osobitným právami na skutočné nasadenie. Ako to v praxi vyzerá, sa veľmi líši v závislosti od tímu a rozsahu; samotná smernica nepredpisuje špecifický postup, ale dohľadní činitelia a poskytovatelia sa pozerajú na základnú otázku: či jeden človek môže nekontrolovaný zaviesť zmeny, ktoré majú vplyv na zákazníkov.
Tajomstvá a kľúče oddelené od kódu
Druhý bod, na ktorý sa dotazníky pravidelne pýtajú, je miesto, kde sa uchovávajú heslá, kľúče API a ďalšie tajomstvá. Tajomstvá, ktoré sú v samotnom zdrojovom kóde, sú viditeľné pre všetkých s prístupom na čítanie k tomuto kódu, čo môže byť oveľa väčšia skupina, ako je tá, ktorá by mala skutočne s týmto kľúčom pracovať. Osobitný trezor na tajomstvá, s vlastnými prístupovými právami oddelene od úložiska kódu, je bežný spôsob, ako to oddeliť. To, či a ako to usporiadajte, je technická voľba; relevantné pre spis je najmä to, či môžete vysvetliť, prečo je zvolený prístup vhodný pre rozsah a riziká toho, čo budujete.
Čo dokumentujete, nie len čo nastavujete
Technické nastavenie prístupových práv je jedna vec; preukázateľnosť toho je druhá, a v praxi sa tá druhá často zabúda. Zoznam toho, kto má prístup k ktorému systému, kedy bol pridelený a na akom základe, je presne ten dôkaz, ktorý si vyžaduje dotazník alebo dohľadný orgán. Bez tohto zoznamu musíte pri každej otázke znova zisťovať; s živým registrom vedľa každého opatrenia je odpoveď už pripravená. prejsť si podľa každého opatrenia vysvetlenie dáva obraz o tom, ako sa správa prístupové riadenie v pomere k ostatným deviatim opatreniam zo starostlivostnej povinnosti.
Či vaša organizácia sama podlieha starostlivostnej povinnosti, alebo či dostávate túto otázku preto, že ju má váš klient, je možné určiť pomocou niekoľkých otázok. Komu sa pýta, aké prísne sú požiadavky na prístupové riadenie, keď klient žiada preukázať, čo bolo dohodnuté, poskytuje vysvetlenie o ochrane údajov a bezpečnosti širší pohľad na to, odkiaľ pochádzajú takéto požiadavky.
Pre vašu konkrétnu situáciu, napríklad či je špecifická konfigurácia vášho vývojového riadku dostatočná pre starostlivostnú povinnosť, ktorá váži na vás alebo na vášho klienta, je právnik alebo príslušný dohľadný orgán tým správnym miestom; secria.eu pripravuje zaznamenanie, ale nevydáva rozhodnutie o jednotlivom dodržiavaní.
Chcete vidieť, ako sa prístupové riadenie hodí do zvyšku vášho spisu, alebo máte ešte otázky o tom, čo sa presne rozumie pod týmto opatrením? prečítajte si časté otázky poskytuje už krátku odpoveď na mnohé z týchto bodov a bezplatný rýchly prehlad ukáže za niekoľko minút, na akom mieste sa vaša organizácia v tomto tématu nachádza.