Kaj spada v politiko varnosti informacij za razvoj programske opreme?
Politika informacijske varnosti za razvoj programske opreme je dokument, v katerem navedete, kako vaša organizacija ravna z varnostjo informacij, sistemov in kode. Za podjetje, ki se ukvarja z razvojem programske opreme, gre za dve stvari hkrati: varnost tega, kar gradite, in varnost okolja, v katerem ga gradite. Oboje sodi v isti dokument, čeprav sta vsebinsko različni temi.
Konkretno to pomeni, da politika običajno zajema obseg (kateri sistemi in kateri razvojni projekti so vključeni), odgovornosti (kdo odloča, kdo upravlja, kdo nadzira), način ureditve dostopa do izvorne kode in razvojnih okolij, kako se odkrivajo in odpravляют ranljivosti v lastni kodi, kako se ravna s testnimi in produkcijskimi okolji, kako se zabeležijo incidenti ter kako se politika sama vzdržuje in revidira. Vprašalnik kupca pogosto zahteva prav tovrstne dokumente kot dokazilo, ne tehnični opis vaše izvorne kode.
Dve plasti: izdelek in razvojna infrastruktura
Prva plast se nanaša na izdelek: programsko opremo, ki jo dobavljate strankam. Pri tem sodi opis, kako ravnate z ranljivostmi, ki se odkrijejo po dobavi, kako se posodobitve in popravki dostavi do strank, in kdo je v organizaciji odgovoren za spremljanje prijav varnostnih težav v izdelku.
Druga plast se nanaša na razvojno infrastrukturo: okolje, v katerem deluje vaš tim. To je okolje upravljanja različic, razvojna in testna cevovoda ter ločitev med testnimi in produkcijskimi okolji. Tu gre za vprašanja, kot so kdo ima dostop do izvorne kode, kako se spremembe nadzorujejo, preden se spravijo v produkcijo, in kako se dostop prekine, ko nekdo zapusti ekipo. Obe plasti lahko staneta v istem dokumentu, a sta pogosto opisani ločeno, ker sta tveganja in lastniki le-teh drugačni.
Zakaj to vprašuje kupec
Organizacije, ki same sodijo pod obveznost skrbnosti, morajo oceniti tveganja pri svojih dobaviteljih. Podjetje za razvoj programske opreme, ki dela za takšno organizacijo, zato prejme vprašanja, ki ne izhajajo iz lastne obveznosti, temveč iz verige dobave. Politika informacijske varnosti je pogosto prvi kos, ki ga zahtevajo, ker v enem dokumentu prikaže, kako strukturirano je pristopljeno k varnosti. Če manjka, jo morate v vprašalniku razlagati vprašanje za vprašanjem, kar traja dlje in je manj prepričljivo kot obstoječi dokument.
Ali vaša organizacija sama sodi pod obveznost skrbnosti, ali sodi v verigo dobave, ali pa ne sodi pod nobeno od tega, ni videti na prvi pogled. v nekaj vprašanjih vidite, kje je vaša organizacija tu daje prvi napotek s pojasnitvijo zakaj.
Kako se ta politika nanaša na posamezne ukrepe
Politika informacijske varnosti ne obstoji sama zase. Opisuje na široko, kako ravnate z varnostjo, medtem ko posamezni ukrepi — nadzor dostopa, varnostne kopije, registracija incidentov, ocena dobaviteljev — predstavljajo njeno konkretno izvajanje. Kdor napiše politiko brez da bi imela vse podlage na mestu, ima dokument, ki se ne ujema s prakso. Obratno je tudi težko: posamezni ukrepi brez celovite politike tistim, ki to vidijo, delujejo razdrobljeno. pregled vseh tem po situaciji kaže, kako se ti elementi med seboj povezujejo.
Kaj v praksi pogosto manjka
V številnih prvih različicah takšne politike manjka jasen lastnik za vsak del: kdo je odgovoren za vzdrževanje politike dostopa, kdo za politiko popravkov. Pogosto manjka tudi fiksni datum vrednotenja, zato se politika od pred dvema letoma še vedno predstavlja kot aktualna, čeprav se razvojna pot medtem spremenila. In tretja stvar, ki jo pogosto pogrešamo: eksplicitna povezava med politiko in dokazi, ki dokazujejo, da se tudi izvršuje, kot so dnevniki pravic dostopa ali pregled izvedenih popravkov.
Ocenite svojo lastno situacijo
Kateri deli se pričakujejo, je odvisno od vloge vaše organizacije v verigi in od tega, kaj zahteva posamezen kupec. Ta članek opisuje običajno strukturo, ne obvezne predloge, in besedilo zakona samo po sebi ne predpisuje fiksne razdelitve. Za presojo vaše specifične situacije sta pravi izbir odvetnik ali pristojni nadzorni organ; pogosto postavljena vprašanja o takšnih dokumentih daje dodatni pregled tega, kaj se pogosto sprašuje.
Ali želite videti, kako se takšna politika skupaj z osnovnimi ukrepi in dokazi vodi v tekoči mapi namesto kot samostojen dokument? kako secria.eu gradi in vzdržuje informacije to kaže. Drugače začnite s prostim preverjanjem NIS2 ali preglejte bazo znanja, da vidite, katera področja so za vašo organizacijo pomembna.