Kdo sme dostopati do izvorne kode, cevovoda in proizvodnega okolja?
Nadzor dostopa pri razvoju programske opreme obravnava vprašanje, kdo sme izvesti katerega dejanja na katerem delu vašega razvojnega potoka: kdo sme brati kodo, kdo sme spreminjati in združevati kodo, kdo sme zagnati gradnjo in kdo sme sprostiti različico v produkcijo. To je specifičnejše vprašanje kot nadzor dostopa za organizacijo v splošnem, ker razvojni tim sočasno dela z več sistemi: skladiščem izvorne kode, gradnjo in testnim okoljem ter običajno ločenim proizvodnim okoljem, kjer programska oprema dejansko teče.
Razlog, da se ta tema ponovno pojavljuje v vprašalnikih o varnosti in v ukrepih za skrb, ki jih predpisuje Direktiva NIS2, je ta, da se napaka pri dostopu do vašega razvojnega potoka neposredno odraža na vsakogar, ki uporablja vašo programsko opremo. Kdor lahko neopazno spremeni kodo, ki se nato razširi, ne prizadene le vaše organizacije, temveč tudi vaše stranke. Zato tako nadzorni organ kot nabavitelj, ki je sam predmet dolžnosti skrbi, sprašuje, kako ste to uredili.
Zakaj se to posebej nanaša na izvorno kodo in cevovod
Razvojni tim ima običajno več članov s širšimi pravicami, kot je strogo potrebno, preprosto ker je to praktično: vsi lahko dostopajo povsod, nihče ne mora na nobeče čakati. Z vidika dolžnosti skrbi je to točno to, na kar se vprašuje bolj poglobljeno. Ne zato, ker bi bilo zaupanje napačno, temveč ker je dokazljivost nekaj drugega kot zaupanje: nadzorni organ ali nabavitelj želi vedeti, ali lahko pokažete, kdo ima dostop, ne le ali to zaupate.
Vprašanja, ki se pri tem pojavljajo, se običajno nanašajo na tri sloje. Prvi je samo skladišče izvorne kode: kdo lahko bere, kdo lahko spreminja in ali obstaja obvezna kontrola, preden se sprememba združi z glavno različico. Drugi je gradnja in testno okolje: kdo lahko zagne gradnjo in ali ima to okolje dostop do podatkov ali sistemov, ki niso namenjeni testiranju. Tretji je proizvodno okolje: kdo lahko dejansko razširi različico in ali je to druga skupina ljudi kot tisti, ki pišejo kodo.
Ločitev med pisanjem in razširjanjem
Ponavljajoče se razlikovanje v vprašalnikih je, ali je oseba, ki piše kodo, tudi tista, ki sprosti različico v produkcijo. Kadar je to ista oseba brez vmesnega koraka druge osebe, nastane situacija, v kateri se napaka ali zlonamerna sprememba neopazno konča v produkciji. Mnoge organizacije to rešujejo z obveznim drugim pregledom, preden se koda združi, in s posebno vlogo ali posebnimi pravicami za dejansko razširjanje. Kako to v praksi izgleda, se zelo razlikuje glede na tim in obseg; sama direktiva ne predpisuje posebne delovne metode, vendar nadzorni organi in nabavitelji gledalec na temeljno vprašanje: ali ena oseba brez nadzora vpelje spremembe, ki vplivajo na stranke.
Skrivnosti in ključi ločeni od kode
Druga točka, na katero se vprašalniki pogosto sprašujejo, je, kje se shranjujejo gesla, ključi API in druga skrivnosti. Skrivnosti, ki so v sami izvorni kodi, so vidne vsakomur z dostopom do branja te kode, kar je lahko veliko večja skupina kot tisti, ki bi dejansko morali delati s tem ključem. Ločena shramba za skrivnosti, s svojimi dostopnimi pravicami, ločenimi od skladišča kode, je pogost način za ločitev tega. Ali in kako to uredite, je tehnična odločitev; za dosje je predvsem relevantno, ali lahko razložite, zakaj je izbrani pristop ustrezen glede na obseg in tveganja tega, kar razvijate.
Kaj dokumentirate, ne le, kaj nastavljate
Tehnična nastavitev dostopnih pravic je ena stvar; dokazljivost je druga, in to drugo se v praksi pogosteje pozabi. Seznam, kdo ima dostop do katerega sistema, kdaj je bil dodeljen in na podlagi česa, je natanko dokaz, ki ga vprašalnik ali nadzorni organ zahteva. Brez tega seznama morate na vsako vprašanje poiskati odgovor znova; z živim registrom ob vsakem ukrepu je odgovor že pripravljen. preberi razlago za vsak ukrep daje vpogled, kako se upravljanje dostopa navezuje na devet ostalih ukrepov iz dolžnosti skrbnosti.
Ali vaša organizacija sama sodi pod dolžnost skrbnosti, ali ste to vprašanje dobili zato, ker to velja za vašega naročnika, je mogoče ugotoviti s nekaj vprašanji. Za tiste, ki se sprašujejo, kako stroga so zahteve za upravljanje dostopa natanko takrat, ko vas stranka prosi, da pokažete, kaj je dogovorjeno, je razlaga o zaščiti podatkov in varnosti širša slika, od koder takšne zahteve izhajajo.
Za vašo lastno situacijo, na primer ali je specifična ureditev vaše razvojne linije zadostna za dolžnost skrbnosti, ki bremeni vas ali vašega naročnika, je pravnik ali pristojni nadzorni organ pravo mesto; secria.eu pripravi zapis, vendar ne daje izjave o posamezni skladnosti.
Želite videti, kako se upravljanje dostopa ujema z ostalim delom vašega spisa, ali imate še vprašanja o tem, kaj natanko pomeni ta ukrep? preberi pogosto zastavljena vprašanja podaja odgovore na številne od teh vprašanj že v kratki obliki, in brezplačni hiter pregled pokaže v nekaj minutah, kako je vaša organizacija na tem področju postavljena.