Som mjukvaruföretag får ni alltmer ofta en säkerhetsfrågelista från en kund som omfattas av cybersäkerhetlagen. Samma ansvar som förpliktade er kund att vända sig till er förpliktade er själva på ett sätt: bedöma vilka av era egna leverantörer som påverkar säkerheten i det ni bygger och levererar. En leverantörsöversikt är sättet att göra denna bedömning återkommande, i stället för att varje gång på nytt fundera över vem ni egentligen litar på.
Kort svar: ni börjar med en sammanfattning av vem som finns i er utvecklingsmiljö och i er levererad mjukvara, ni klassificerar dessa leverantörer enligt risken de utgör, och ni fastställer per kategori vilka krav ni ställer och hur ni granskar det. Denna sammanfattning och klassificering tillsammans utgör leverantörsöversikten.
Två typer av leverantörer, ett blindspår
I mjukvaruutveckling löper två värdekedjor genom varandra, och det gör en leverantörsöversikt mer komplicerad än för ett företag som endast köper in fysiska varor.
Den första värdekedjor är er utvecklingsmiljö: källkodshanteringen, CI/CD-pipelinen, molnmiljön där ni bygger, verktygen för testning och distribution. En svag punkt där påverkar först och främst er egen affärsverksamhet.
Den andra värdekedjorna är vad som hamnar i er produkt: bibliotek med öppen källkod, tredjepartsapier, inköpta komponenter. En svag punkt där påverkar inte bara er, utan också varje kund som använder er mjukvara. Detta är exakt där många leverantörsöversikter kommer till kort: fokus ligger på den första värdekedjoran eftersom den syns i det dagliga arbetet, medan den andra värdekedjoran ofta först blir synlig när något går fel.
Inventering: börja med det som redan körs
En leverantörsöversikt börjar inte med en mall, utan med en lista. För mjukvaruutveckling betyder det minst: vilka molnleverantörer ni använder, vilka pakethanterare och register som era byggen hämtar från, vilka externa apier som er produkt anropar, och vilka av dessa aktörer som kan komma åt kod, hemligheter eller produktionsdata.
För varje leverantör är frågan inte bara vad de gör, utan vad som händer om de slutar fungera eller blir komprometterade. En pakethanterare som hundratals beroenden kommer från väger olika än ett faktureringsprogram som körs separat från utvecklingsmiljön.
Riskklassificering: inte varje leverantör förtjänar samma uppmärksamhet
Efter inventeringen följer en klassificering, vanligtvis i två eller tre nivåer. Leverantörer med tillgång till källkod, hemligheter eller produktionsmiljöer kräver de strängaste kraven: stark autentisering, loggning, en fast kontaktperson för incidenter. Leverantörer som bara indirekt medverkar, som ett verktyg för projektplanering, kräver mindre.
Direktivet och den nationella lagen föreskriver ingen fast klassificering; tillsynsmyndigheter bedömer om åtgärderna står i proportion till risken. Det innebär att klassificeringen ni väljer måste vara försvarbar: varför denna leverantör hamnar i den tunga kategorin och den andra inte.
Vad ni frågar, och vad ni själva redan svarar på
En leverantörsöversikt fungerar åt två håll. Utåt använder ni det för att ställa frågor till era egna leverantörer: hur hanterar de sårbarheter, har de en process för multipel verifiering, hur snabbt rapporterar de ett incident till er. Inåt bildar det grunden för vad ni själva svarar på frågelistor från era kunder, för en kund som bedömer er vill ofta veta om ni har er egen värdekedjora under kontroll.
De två sidorna är sammankopplade: en leverantörspolicy som du bara skriver för dig själv motsvarar vanligtvis inte de frågor du får från kunder. Den som utformar policyn från början med tanke på vad en köpare frågar behöver inte skriva om den senare.
Dokumentera: från policy till bevis
En policy som bara finns i ett textdokument är svår att motivera när en kund eller tillsynsmyndighet frågar om den. Mer praktiskt är en levande överblick: per leverantör kategorin för risker, den senaste bedömningen, bevisstycket såsom en förklaring, ett certifikat eller ett svar på er egen frågelista, och vem inom er organisation som övervakar den leverantören.
En sådan överblick behöver inte vara omfattande för att vara användbar. För ett mjukvaruföretag med ett fåtal kritiska leverantörer räcker ofta en tabell med några kolumner, förutsatt att den hålls aktuell när en leverantör byts eller ett avtal förnyas.
Vill du först veta om din organisation själv omfattas av omsorgsplikt, eller påverkas du bara genom dina kunder? gör den kostnadsfria kontrollen på några frågor och läs på sidan med alla ämnen hur leverantörsbedömning hänger ihop med övriga skyldigheter. Nyfiken på var informationen på denna plattform kommer ifrån och hur aktuell den är? Det förklaras på sidan om hur det fungerar. Den som vill omvandla leverantörsöverblicken till ett dossier med bevisstycken och ansvariga hittar på sidan med prenumerationer vad som krävs för det.