Kot podjetje za razvoj programske opreme vse pogosteje prejemete vprašalnik o varnosti od stranke, ki spada pod Zakon o kibernetski varnosti. Ista dolžnost skrbnosti, ki vašo stranko obvezuje do vas, vas obvezuje tudi sami: oceniti, kateri od vaših lastnih dobaviteljev vplivajo na varnost tega, kar gradite in dostavljate. Politika dobaviteljev je način, kako to oceno naredite ponovljivo, namesto da bi vsakič znova premišljevali, komu zaupate.
Kratek odgovor: začnete s pregledom tega, kdo je v vaši razvojni liniji in v dostavljeni programski opremi, dobavitelje razdelite glede na tveganje, ki ga predstavljajo, in za vsako kategorijo določite, katere zahteve postavljate in kako to nadzoruete. Ta pregled in ta delitev skupaj tvorita politiko dobaviteljev.
Dve vrsti dobaviteljev, ena slepna pega
Pri razvoju programske opreme se dve verigi prepletata, kar naredi politiko dobaviteljev bolj zapleteno kot pri podjetju, ki samo kupuje fizične dobrine.
Prva veriga je vaša razvojna linija: upravljalec izvorne kode, oglodavek CI/CD, oblačno okolje, v katerem gradite, orodja za preizkušanje in uvajanje. Šibka točka tam v prvi vrsti prizadene vašo poslovanje.
Druga veriga je tisto, kar se znajde v vašem izdelku: knjižnice odprtega koda, programski vmesniki tretjih oseb, kupljene komponente. Šibka točka tam ne prizadene samo vas, temveč tudi vsako stranko, ki uporablja vašo programsko opremo. To razlikovanje je ravno tisto, kjer številne politike dobaviteljev niso dovolj: pozornost se usmerja na prvo verigo, ker je vidna v vsakdanjem delu, medtem ko je druga veriga pogosto vidna šele, ko se kaj zgodi.
Popis: začnite s tistim, kar že deluje
Politika dobaviteljev se ne začne s predlogo, temveč s seznamom. Za razvoj programske opreme to pomeni najmanj: katere ponudnike oblačnih storitev uporabljate, katere upravnike paketov in registre vaš proces gradnje uporablja, katere zunanje programske vmesnike vaš izdelek kliče, in kateri od teh subjektov imajo dostop do kode, skrivnosti ali proizvodnih podatkov.
Za vsakega dobavitelja vprašanje ni samo, kaj počne, temveč kaj se zgodi, če prenehajo ali so ogroženi. Upravnik paketov, od katerega izhaja stotine odvisnosti, tehta drugače kot računovodski paket, ki deluje ločeno od razvojne linije.
Razdelitev tveganja: ne vsak dobavitelj si zasluži isto pozornost
Za inventarizacijo sledi razdelitev, običajno v dve ali tri ravni. Dobavitelji z dostopom do izvorne kode, skrivnosti ali proizvodnih okolij zahtevajo najtežje zahteve: močna avtentifikacija, beleženje, stalen stik pri incidentih. Dobavitelji, ki delujejo samo posredno, na primer orodje za načrtovanje projektov, zahtevajo manj.
Direktiva in nacionalni zakon ne predpisujeta fiksne razdelitve; nadzorniki pri tem gledajo, ali so ukrepi sorazmerni tveganju. To pomeni, da mora biti razdelitev, ki jo izberete, razložljiva: zakaj ta dobavitelj spada v težko kategorijo in tisti drugi ne.
Kaj zahtevate in kaj sami že odgovorite
Politika dobaviteljev deluje v dve smeri. Navzven jo uporabljate za postavljanje vprašanj svojim dobaviteljem: kako ravnajo z ranljivostmi, imajo postopek za večkratno preverjanje, kako hitro vam sporočijo incident. Navznoter je temelj za to, kar sami odgovorite na vprašalnike svojih strank, ker stranka, ki vas ocenjuje, pogosto želi vedeti, ali imate svojo verigo v pogledu.
Obe strani sta povezani: dobaviteljska politika, ki jo napišete samo zase, se običajno ne ujema z vprašanji, ki jih dobite od strank. Kdor politiko od začetka oblikuje ob upoštevanju tega, kar zahteva kupec, je kasneje ne mora переписovati.
Dokumentiranje: od politike do dokazila
Politika, ki obstaja samo v tekstovnem dokumentu, je težko braniti v trenutku, ko jo zahtevajo stranke ali nadzorni organ. Bolj praktično je živečo preglednico: za vsakega dobavitelja kategorijo tveganja, zadnjo oceno, dokazilo, kot je izjava, certifikat ali odgovor na vašo lastno vprašalnico, in osebo v vaši organizaciji, ki nadzira tega dobavitelja.
Takšna preglednica ne mora biti velika, da bi bila koristna. Za programsko podjetje s skladom ključnih dobaviteljev je tabela s pari stolpcev pogosto dovolj, če jo posodabljate, ko se dobavitelj zamenja ali pogodba obnovljena.
Želite najprej vedeti, ali vaša organizacija sama spada pod zahtevo za upravljanje tveganja, ali vas dosegajo le prek vaših strank? opravite brezplačno preverjanje v nekaj vprašanjih in preberite na stran s vsemi temami kako je ocena dobaviteljev povezana z drugimi obveznostmi. Zanima vas, od kje izvirajo informacije na tej platformi in kako aktualne so? To je razloženo na strani o tem, kako delujeKdor želi preglednico dobaviteljev pretvoriti v dossier z dokazila in lastniki, najde na stran s prejemami na obroke kaj je za to potrebno.