Aké otázky dostane softvérová spoločnosť v zozname otázok NIS2?
Ak vytvárate softvér pre klienta, ktorý sám podlieha Smernici (EU) 2022/2555 — alebo zákonu o kybernetickej bezpečnosti v Holandsku — takmer určite dostanete zoznam kontroly bezpečnosti. Otázky v ňom sa pri vývoji softvéru vždy týkajú dvoch vecí: bezpečnosti toho, čo dodávate, a bezpečnosti prostredia, v ktorom to vytvárate. Tento druhý bod odlišuje tieto zoznamy od zoznamov napríklad pre inštalačnú spoločnosť alebo poskytovateľa služieb v oblasti facilities.
Jadrom je vždy to isté: môže sa niekto prostredníctvom vášho zdrojového kódu, vášho vývojového prostredia alebo vášho konta u poskytovateľa balíkov dostať do systému vášho klienta, a čo robíte, aby ste tomu zabránili alebo to rýchlo objavili. Kto vie odpovedať na tieto dve otázky, je už na veľkej časti zoznamu pripravený.
Prečo je softvér samostatnou kategóriou
U väčšiny dodávateľov sa klient pozrie na to, čo sa deje v rámci vašej spoločnosti: kto má prístup ku ktorým systémom, ako testujete zálohu. U softvérového dodávateľa sa k tomu pridáva vrstva — konkrétne to, čo pustíte zo svojej spoločnosti do spoločnosti klienta. Môže to byť aktualizácia, prepojenie cez API alebo kód, ktorý priamo beží v ich prostredí. Preto sa klient tu pýta hlbšie ako u dodávateľa, ktorý používa len kancelársku automatizáciu.
Otázky o produkte: čo dodávate
Veľká časť zoznamu sa týka samotného softvéru. Používate externé knižnice a komponenty a sledujete, ktoré to sú — často označované ako zoznam komponentov softvéru. Ako postupujete, keď sa v takomto komponente zistí zraniteľnosť, a v akom časovom rámci potom vydáte aktualizáciu. Kontroluje code second person predtým, ako prejde do prevádzky. Testujete známe bezpečnostné nedostatky pred dodaním a kto to robí.
Nižšie sa často nachádza otázka o hláseniach: ak niekto mimo vašej spoločnosti zistí zraniteľnosť vo vašom softvéri, existuje spôsob, ako to u vás nahlásiť, a čo sa s takýmto hlásením stane. Toto nie je právna povinnosť vyplývajúca z Smernice (EU) 2022/2555 pre vás ako dodávateľa, ale v praxi na to klienti pýtajú, pretože to musia byť schopní zdôvodniť svojmu orgánu dohľadu.
Otázky o vývojovom procese: ako vytvárate
Druhý blok sa týka prostredia, v ktorom softvér vzniká. Kto má prístup k zdrojovému kódu a či je prístup viazaný na konkrétnu osobu alebo je zdieľaný. Je viacfaktorové overovanie zapnuté v prostredí, v ktorom sa vytvára a dodáva. Sú zmeny automaticky testované pred tým, ako sa dostanú do prevádzky, a môže ich niekto preskočiť. Kto spravuje kľúče a certifikáty, ktorými sa softvér podepisuje, a kde sú uskladnené.
Tiež pomerne často sa vyskytuje: ako postupujete pri notebookoch a kontách vývojárov, ktorí s týmto prostredím pracujú, najmä ak pracujú na diaľku. A: uchováte si záznamy o tom, kto čo zmenil v kóde alebo v pipeline, a na ako dlho. Toto sa napája na to, čo sa v širšom zmysle nazýva registrácia bezpečnostných incidentov, ale zamerané na samotné vývojové prostredie.
Čo smie a čo nesmie klient pýtať
Zoznam sa môže vzťahovať na bezpečnosť vášho produktu a vášho vývojového procesu, pokiaľ to ovplyvňuje riziko klienta. Otázky o vašej úplnej vnútornej organizácii, vašej personálnej politike v oddelení od tohto kontextu alebo časti vašej spoločnosti, ktoré nemajú nič spoločného s dodávaným softvérom, sú mimo tohto rozsahu. Miesto, kde presne táto hranica leží, sa líši podľa zmluvy a podľa sektora, a to je niečo, čo si treba ujasniť v rozhovore s klientom, nie niečo, čo by ste mali nechať tak bez povšimnutia.
Ako to nastaviť správne jedenkrát
Väčšina týchto otázok nie je okamihom, ale pevná sada, ktorá sa vracia s takmer každým objednávateľom, len s trochu inou formuláciou. Kto si raz odpovede na jednotlivé opatrenia zaznamená — s dôkazným materiálom a zodpovednou osobou — nemusí ich pri ďalšom zozname otázok kopírovať a len prispôsobovať. S niekoľkými otázkami, ktoré ukážu, či a ako ste dotknutí vidíte najskôr, kde stojíte, a v prehľade podľa témy nájdete rozpracovanie jednotlivých opatrení, ako je riadenie prístupu a registrácia incidentov. Ak pochybujete o konkrétnej otázke zo zoznamu, ktorý ste dostali, potom pomôže zoznam často kladených otázok často už prvý smer, a vysvetlenie toho, odkiaľ pochádzajú naše informácie ukazuje, ako spravujeme zdroje.
Ak si chcete najskôr sami overiť, či a ako sa vaša spoločnosť na tom nachádza, vykonajte bezplatný rýchly test alebo si prelistujte knižnicu poznatkov. Obe možnosti sú dostupné bez účtu a poskytujú prvý faktický prehľad — nie však posúdenie vašej konkrétnej situácie, v ktorej by ste v prípade pochybností vždy mali konzultovať právnika alebo regulačný orgán príslušný pre vašu oblasť.