Katera vprašanja dobi podjetje za razvoj programske opreme na seznamu vprašanj za NIS2?
Če razvijate programsko opremo za naročnika, ki sam spada pod Direktivo NIS2 — ali pod zakon o kibernetski varnosti na Nizozemskem — boste skoraj gotovo prejeli seznam vprašanj za varnost. Vprašanja v njem se pri razvoju programske opreme vedno nanašajo na dve stvari: varnost tega, kar dostavite, in varnost okolja, v katerem to ustvarjate. Ta drugi vidik te sezname razlikuje od seznamov za primer instalacijsko podjetje ali ponudnika storitev splošne porabe.
Jedro je vedno isto: ali se lahko nekdo prek vaše izvorne kode, vašega gradbenega okolja ali vašega računa pri upravitelju paketov dobi do sistema naročnika in kaj počnete, da to preprečite ali hitro odkrijete. Kdor lahko odgovori na ti dve vprašanji, je za večji del seznama že pripravljen.
Zakaj je programska oprema posebna kategorija
Pri večini dobaviteljev naročnik pogleda, kaj se dogaja v vašem podjetju: kdo ima dostop do katerih sistemov, kako testirate varnostno kopijo. Pri dobavitelju programske opreme je tu dodatna plast, in sicer kaj iz vašega podjetja prihaja v podjetje naročnika. To je lahko posodobitev, povezava preko API-ja ali koda, ki se neposredno izvaja v njihovem okolju. Zato naročnik tu postavlja globlja vprašanja kot pri dobavitelju, ki uporablja le pisarniško avtomatizacijo.
Vprašanja o proizvodu: kaj dostavite
Velik del seznama je namenjen sami programski opremi. Uporabljate zunanje knjižnice in komponente ter vodite evidenco, katere so to — pogosto imenovane pregled komponent programske opreme. Kako ravnate s šibkostjo, ki se odkije v takšni komponenti, in v katerem časovnem roku izdajate posodobitev. Se koda pregleda s strani druge osebe, preden je v živo. Testirate znane šibke točke pred izročitvijo in kdo to počne.
Pod to so pogosto še vprašanja o sporočanju: če nekdo izven vašega podjetja odkije šibkost v vaši programski opremi, ali obstaja način, da vas o tem obvesti, in kaj se z takim poročilom zgodi. To ni pravna obveznost, ki izhaja iz same direktive NIS2 za vas kot dobavitelja, vendar naročniki v praksi o tem povprašajo, ker morajo to podpreti pri svojem nadzorniku.
Vprašanja o razvojnem okolju: kako gradite
Drugi blok se nanaša na okolje, v katerem nastane programska oprema. Kdo ima dostop do izvorne kode in ali je dostop vezan na osebo ali deljen. Ali je večstopenjska preverjanja aktivna v okolju, v katerem se gradi in izdaja. Se sprememba samodejno testira, preden gre v proizvodnjo, in ali jo lahko nekdo preskoči. Kdo upravlja ključe in potrdila, s katerimi se programska oprema podpisuje, in kje so shranjena.
Prav tako pogosto se pojavljajočo: kako ravnate s prenosnimi računalniki in računi razvijalcev, ki delajo s tem okoljem, zlasti če delajo na daljavo. In: vodite dnevnike tega, kdo je kaj spreminjal v kodi ali v cevovodu, in kako dolgo. Slednje se navezuje na to, kar se v širšem smislu imenuje beleženje incidentov, vendar se osredotoča na samo razvojno okolje.
Kaj sme in kaj ne sme naročnik vprašati
Seznam se lahko nanaša na varnost vašega proizvoda in vašega razvojnega procesa, kolikor to vpliva na tveganje naročnika. Vprašanja o vaši celotni notranji organizaciji, vaši politiki zaposlovanja zunaj tega konteksta ali delih vašega podjetja, ki nimajo zveze z dostavljeno programsko opremo, spadajo izven tega okvira. Kjer je ta meja natančno, se razlikuje glede na pogodbeni dogovor in sektor ter je to nekaj, čemer se je treba v pogovoru z naročnikom lotiti jasno, ne pa nekaj, česar bi sami pustili brez pozornosti.
Kako to enkrat pravilno postavite
Večina teh vprašanj ni trenutni posnetek, temveč stalna nabor, ki se pojavlja pri skoraj vsakem naročniku, le z malo drugačno formulacijo. Kdor odgovore enkrat na mero zapiše — s preudobitkom in odgovornim osebjem — jih pri naslednjem vprašalniku le kopira in prilagodi. S nekaj vprašanj, ki pokažejo, ali in kako ste prizadeti vidite najprej, kje stojite, in v pregledu po temah najdete razdelavo posameznih ukrepov, kot so nadzor dostopa in beleženje incidentov. Če dvomite o določenem vprašanju na listi, ki ste jo prejeli, to seznam pogosto zastavljenih vprašanj pogosto že da prvo smer, in pojasnil o tem, od kod izvira naša informacija pokažeta, kako vodimo vire.
Če želite najprej sami preveriti, ali in kako vaše podjetje tu stoji, opravite brezplačno hitro skeniranje ali brskajte po bazi znanja. Obe sta dostopni brez računa in dajeta prvo, dejansko navedbo — ne presojo o vaši specifični situaciji, za katero se lahko v primeru dvoma vedno obrnete na pravnika ali na nadzorni organ, pristojni za vašo panogo.