Objednávateľ, ktorý podlieha povinnosti starostlivosti podľa NIS2, musí byť schopný preukázať, že pozná riziká vo svojom vlastnom reťazci. Softvér, ktorý pre tohto objednávateľa vyvíjate, je súčasťou tohto reťazca. V praxi sa to prekladá na zmluvné požiadavky, ktoré sa zaoberajú dvoma vecami súčasne: produktom, ktorý dodávate, a spôsobom, akým ho vyrábate. Obe sa objavujú v texte zmluvy, často ako príloha k zmluve o nákupe.
Podstata je jednoduchá na zapamätanie: objednávateľ sa nepýta len na to, či softvér funguje, ale aj na to, či viete preukázať, ako zostáva bezpečný, kto má k nemu prístup a čo sa stane, ak niečo zlyhá. Toto je posun v porovnaní s minulosťou, keď bola funkcionalita a čas dodania často jedinými diskusijnými bodmi.
Požiadavky na dodaný produkt
Najčastejšia zmluvná požiadavka sa týka samotného zloženia softvéru. Objednávatelia čoraz častejšie požadujú prehľad používaných knižníc a komponentov s otvoreným zdrojovým kódom, takzvaný zoznam softvérových komponentov. Dôvod je taký, že zraniteľnosť v základnej komponente je rovnako veľkým rizikom ako chyba vo vašom vlastnom kóde, a objednávateľ chce vedieť, aké sú tieto riziká, bez toho aby musel sám čítať zdrojový kód.
Okrem toho sa objavujú požiadavky na spôsob, akým sú zraniteľnosti v softvéri odhalené a odstránené, a v akej lehote. Môže to zahŕňať automatizované skeny známych slabých miest, pevný postup pre opravy alebo otázku, kto môže zraniteľnosť nahlásiť a kam potom smeruje. V prípade existujúceho softvéru sa niekedy pýtajú aj na dobu podpory: ako dlho zostáva verzia vybavená aktualizáciami bezpečnosti.
Požiadavky na vašu vlastnú vývojársku infraštruktúru
Druhá skupina požiadaviek sa nezameriava na produkt, ale na proces, ktorým sa vyrába: vývojársku infraštruktúru. Myslite na to, kto má prístup k zdrojovému kódu a prostrrediu, v ktorom sa buduje a testuje, ako sa zmeny kontrolujú skôr, ako sa nasadia, a či existuje oddelenie medzi testovacím, akceptačným a produkčným prostredím. Použitie viacfaktorovej autentizácie pre vývojárov, ktorí majú prístup k zdrojovému kódu alebo systémom na zostavovanie, sa v zmluvách objavuje, rovnako ako otázka, kto spravuje kľúče a prístupové údaje patriace k nasadzovaniu softvéru.
Niektorí objednávatelia sa pýtajú aj na pôvod softvéru, ktorý sami používate na vývoj: kompilátor, nástroje na zostavovanie, balíčky, ktoré sa sťahujú počas zostavovania. To sa zhoduje s širším chápením, že útok nemusí prichádzať len cez koncový produkt, ale aj cez továreň, v ktorej sa vyrába.
Prečo sú tieto požiadavky sformulované presne takto
Povinnosť starostlivosti, ktorá je základom všetkého, zavodzuje povinnú organizáciu na to, aby zhodnotila a riadila riziká vo svojom vlastnom reťazci. To, ako presne sa to uvedie do praxe, sa líši podľa krajiny v národnom zákone založenom na európskej smernici a podľa sektora, v ktorom objednávateľ pôsobí. To, čo je v jednej zmluve pevná požiadavka, je v inej zmluve stále dobrovoľná otázka. Ak chcete vedieť, ako je táto povinnosť v jej podstate konštruovaná, čítajte vysvetlenie podľa povinnosti v našej znalostnej základni.
Je dôležité pamätať na to: objednávateľ stanovuje tieto požiadavky preto, lebo on sám je predmetom dohľadu, nie preto, že softvérové spoločnosti ako také podliehajú smernici. To, či a ako prísne sa to v konkrétnom prípade uplatňuje, závisí od sektora a veľkosti tohto konkrétneho objednávateľa. Pre vašu vlastnú situáciu je text národného zákona alebo porada právnika vhodným východiskom, nie všeobecný odhad.
Čo to znamená pre vašu prípravu
Väčšina týchto požiadaviek je s určitou prípravou dobre zodpovedateľná a odpoveď, ktorú si jedného dňa pripravíte, si môžete opakovane použiť pri ďalšom zákazníkovi. Zoznam použitých komponentov, stručný popis vašej kontroly prístupu a stály postup na aktualizácie nie sú dokumenty, ktoré si musíte vymýšľať znova pre každú zmluvu.
Chcete si najskôr pozrieť, či a ako vás to zasiahne, potom vám pomôže kontrola, ktorá v niekoľkých otázkach určuje vašu pozíciu v dodávateľskom reťazci prvý smer bez toho, aby ste na to potrebovali účet. Viac informácií o otázkach, ktoré konkrétne položia zákazníci, a o spôsobe, akým vám v tom pomáhame, si prečítajte na stránke s často kladanými otázkami alebo si pozrite ako podopierame informácie na platforme.
Bezplatná knižnica vedomostí a kontrola vám poskytnú prvotný obraz bez záväzkov. Ak chcete následne zmluvy skutočne transformovať na prebiehajúci register s dôkazmi a hotovými odpoveďami na dotazníky, je to ten správny čas, kedy sa pozrite na to, čo vám pridá predplatné.