Pri registraciji incidentov pri razvoju programske opreme gre za dve različni stvari, ki se pogosto prepletata: ranljivost ali napaka v programski opremi, ki jo gradite in dostavite, ter incident v vaši lastni razvojni infrastrukturi — okolju, v katerem to programsko opremo ustvarjate. Kaj dokumentirate, kdo mora biti obveščen in kateri naslednji korak je potreben, se razlikuje glede na vrsto. Tisti, ki te razlike ne naredijo, pogosto spregledajo incident, ki je najpomembnejši: okužbo v cevovodu gradnje, ki se prek kode širi vsem odjemalcem, ki jo uporabljajo.
Ranljivost v dostavljeni kodi neposredno vpliva na odjemalca: ta poganja programsko opremo, zato nosi tveganje. Incident v razvojni infrastrukturi — ukradeni dostopni ključ, kompromitiran račun za gradnjo, puščanje v skladišču izvorne kode — vas v prvi vrsti prizadene, vendar se lahko razširi na vsakega odjemalca, ki dela s to kodo. Za oboje velja, da varnostni vprašalnik ali revizor ne vprašata, ali se je kaj kdaj zalomilo, ampak ali lahko pokažete, kaj ste o tem dokumentirali in se naučili.
Kaj dokumentirate pri incidentu v kodi
Pri ranljivosti ali napaki v dostavljeni programski opremi gre za: kdaj je bila odkrita, kdo ali kaj jo je odkril (notranja preizkušnja, prijava odjemalca, pregled, zunanji raziskovalec), kateri del programske opreme jo prizadeva, kakšen je možen vpliv, katero dejanje je bilo sprejeto in na kateri dan, ter kdo je v vaši organizaciji odgovoren za sledenje. Dobra registracija tudi pokaže, ali je popravek razporejen vsem odjemalcem, ki uporabljajo dotično različico, ali le tistemu, ki jo je prijavil. To je prav tisto, kar se sprašuje uporabnik v vprašalniku: ne ali ste kdaj imeli ranljivost, ampak ali vaš proces zagotavlja, da jo sliši vsakdo, ki je njo prizadet.
Kaj dokumentirate pri incidentu v razvojni infrastrukturi
Incident v vaši lastni razvojni infrastrukturi — kompromitiran račun z dostopom do izvorne kode, strežnik za gradnjo, ki se drugače odziva kot pričakováno, odvisnost, ki se kasneje izkaže za zlonamerno — zahteva nekoliko drugačno registracijo. Tu gre za: kateri sistem ali račun je bil vključen, kdo je imel dostop v obdobju, ko se je dogajalo, ali obstajajo znaki, da je bila koda spremenjena ali si je ogledana, in kateri odjemalci morda uporabljajo programsko opremo, ki je bila v tem obdobju gradjena ali dostavljena. To je vrsta incidenta, ki neposredno vpliva na upravljanje dostopa v razvojni infrastrukturi: brez sodobnega pregleda tega, kdo ima dostop kam, je ta iskalna vprašanja pri incidentu znatno težja za odgovor.
Koga obvestite in koga ne
Ali sami spadate pod obveznosti cybervarnosti ali ne, določa, koga obvestite o incidentu. Subjekti, kot so sami označeni za ključne ali pomembne, imajo obvezo poročanja svojemu nadzornemu organu; kaj točno je treba in v kakšnem roku, je opisano v direktivi in nacionalnem zakonu ter se razlikuje glede na situacijo. Razvojno podjetje za programsko opremo, ki je zajeto prek verige — torej samo ni zavezano, vendar dobavlja odjemalcu, ki je — nima te obveze poročanja nadzornemu organu, vendar ima običajno pogodbenega dogovora, da odjemalca obvesti. To ne zmanjša pomena lastne registracije: odjemalec, ki vprašata ali ste kdaj imeli incident, želi videti konkreten odgovor, ne naknadno oceno.
Živ register, ne arhiv
Registracija varnostnih incidentov deluje najbolje kot živučeči dokument: seznam, v katerem je za vsak incident vidna stanja, dokaz in lastnik, namesto posebnega poročila, ki po razrešitvi izgine v mapi. To se ujema s tem, kako je strukturirana širša dolžnost skrbi, z desetimi ukrepi, ki vsi zahtevajo stanje in lastnika. Kdor želi videti, kako se registracija incidentov nanaša na ostalih devet ukrepov, najde ta pregled na strani s temami za vsako situacijo.
Ali vaša organizacija spada pod dolžnost skrbi, je dosežena preko verige nabave ali nobeno od tega, je razvidno iz nekaj vprašanj prek preverjanja skladnosti z NIS2, ki v nekaj vprašanjih poda nakazilo. Kdor natančno želi vedeti, od kje prihajajo podatki na secria.eu in kako se vodijo, to prebere na strani o tem, kako deluje. In kdor po branju želi vedeti, kaj naročnina doda k temu, kar je tukaj brezplačno, to jasno najde pri pregledu vključenega.
To besedilo je splošno pojasnjenje in ne pravno svetovanje o vaši posebni situaciji. Za mnenje o vašem specifičnem postopku obravnave incidentov ali dolžnosti prijave se lahko obrnete na pravnika ali na nadzorni organ, ki je pristojen za vašo dejavnost.