Due diligence dodávateľa softvéru pre bezpečnosť a vlastníctvo

Pred výberom dodávateľa určte, kto rozhoduje o dátach, spravuje produkčné prístupy a preberá systém po skončení spolupráce. Tento pracovný zoznam pomáha pripraviť overiteľné otázky. Nenahrádza právne posúdenie ani nepotvrdzuje, že konkrétne opatrenie spĺňa zákon.

Krátka odpoveď

Od dodávateľa žiadajte dôkazy, nie sľuby. Pred podpisom má mať každý účet, systém aj rozhodnutie menovitého vlastníka.

Na stôl patrí:

• mapa dát
• zoznam integrácií
• model prístupov
• postup pri incidente
• plán záloh a odovzdania

Ak dodávateľ nevie ukázať aktuálny dokument, ukážku konfigurácie alebo výsledok testu, zapíšte to ako otvorené riziko. Doplňte meno vlastníka a dátum.

Mapa dát a roly

Začnite jednou tabuľkou. Pre každý tok dát uveďte zdroj, účel, typ dát, príjemcu, úložisko, prístupové roly, dobu uchovávania aj cestu pri exporte či výmaze. Zákaznícke dáta, prevádzkové logy, analytika, zálohy a testovacie dáta patria do samostatných riadkov, pretože každý z nich má inú dobu uchovávania a iný okruh ľudí, ktorí sa k nemu dostanú. Potom sa pýtajte, kto schvaľuje zmenu účelu spracúvania. A kto vybaví žiadosť dotknutej osoby.

GDPR rozlišuje prevádzkovateľa a sprostredkovateľa. Podľa článku 28 má zmluva o spracúvaní v mene prevádzkovateľa upraviť predmet, trvanie, povahu, účel, typy údajov, práva aj povinnosti. Pri vlastnom modeli si roly overte s právnikom a so zodpovednou osobou pre ochranu údajov, lebo od tohto pomenovania sa odvíja zvyšok zmluvy. Otázky sú pritom jednoduché. Kto určuje účel a prostriedky? Používa dodávateľ ďalších spracovateľov? Kde sa vedie ich zoznam a ako sa zmena oznamuje?

Ochrana osobných údajov Rise.sk popisuje náš verejný prístup k súkromiu. Neberte ju ako náhradu zmluvnej analýzy Vášho projektu.

Prístupy a auditná stopa

Vyžiadajte si zoznam prostredí a účtov. Patria doň administrátori cloudu, produkčná databáza, repozitár, CI, doména, e-mail, analytika aj reklamné účty. Zistite, či každý človek používa vlastný účet. Citlivé roly majú byť chránené viacfaktorovým overením. Najdôležitejšia je však otázka, ako sa prístup odoberá pri zmene roly alebo pri odchode, pretože práve tam vzniká účet, na ktorý si po roku nikto nespomenie.

Auditná stopa má povedať, kto vykonal citlivú operáciu, kedy, z akého účtu, s akým výsledkom, a má to povedať aj o pol roka, keď sa na to pýta niekto iný. Pýtajte sa na prihlásenia administrátorov, zmeny oprávnení, exporty, zmeny konfigurácie aj zásahy do produkcie. OWASP ASVS je použiteľný ako zmluvný základ pre overovanie aplikačných kontrol, nie ako nálepka na prezentácii. OWASP ASVS uvádza aj použitie pri obstarávaní.

Bezpečnosť Rise.sk vysvetľuje verejné bezpečnostné zásady. Pre konkrétny systém potrebujete presný rozsah a dôkazy.

Bezpečný vývoj, závislosti a prevádzka

Ako dodávateľ chráni zdrojový kód? Ako kontroluje zmeny? A čo robí, keď sa v závislosti objaví zraniteľnosť?

Vyžiadajte si písomný postup pre:

• code review
• skenovanie tajomstiev
• aktualizácie knižníc
• hodnotenie závažnosti
• opravu kritickej chyby mimo bežného vydania

NIST SSDF odporúča integrovať praktiky bezpečného vývoja do životného cyklu. CISA pri Secure by Design pripomína, že bezpečnostné bremeno nemá zostať iba na zákazníkovi.

Zálohy neriešte jednou otázkou. Kde sú uložené, ako sú chránené, ako dlho sa držia, kto ich môže obnoviť, kedy sa obnova naposledy skúšala? Dohodnite cieľ obnovy dát aj služby, oznamovací kanál pri incidente, zodpovednú osobu, čas prvého statusu, spôsob zachovania dôkazov, a všetko to napíšte skôr, než sa niečo stane. ENISA vo svojich materiáloch venuje pozornosť hrozbám, odolnosti aj dodávateľským vzťahom. Nezamieňajte plán s preukázaným nácvikom.

Integrácie a API

Každé API je prevádzkový aj vlastnícky záväzok. Do katalógu zapíšte vlastníka API, účel, zmluvný základ, autentifikáciu, limity, verziu, náklady, osobné údaje, postup pri zlyhaní.

Potom si prejdite, čo aplikácia spraví, keď sa niečo pokazí:

• vyprší token
• odpoveď príde pomaly
• tá istá správa dorazí dvakrát
• poskytovateľ vydá nekompatibilnú zmenu
• tretia strana vypadne

Určite aj to, kto komunikuje s poskytovateľom API. A kto môže zmeniť fakturačný plán.

Integrácia účtovníctva môže zlyhať a faktúry so schváleniami nesmú zmiznúť v neviditeľnej fronte, takže pre každý proces, ktorý nesmie zastať, pripravte scenár manuálneho pokračovania. Stačí tabuľka a jeden zodpovedný človek. Svoj postup vývoja, rozhodovania aj akceptácie si porovnajte s procesom Rise.sk.

Vlastníctvo, licencie a podpora

Zmluva a prílohy majú pomenovať každú položku zvlášť:

• zdrojový kód a repozitáre
• domény a DNS
• cloudové účty a databázy
• e-mail, analytika, reklamné účty
• dizajnové súbory a dokumentácia
• heslá a obnovovacie kódy

Pri každej položke uveďte právne oprávnenie, administrátora, fakturačný kontakt, miesto uloženia, odovzdávací krok. Klientsky účet nemá visieť na osobnom e-maile človeka, ktorý u dodávateľa pracuje dnes, ale zajtra už nemusí.

Overte licencie vlastného kódu, open-source balíkov, šablón, fontov, fotografií, API aj platených služieb. Pýtajte sa na licenčné limity, automatické obnovy, minimálnu dobu, export, následky neuhradenia, a rovno aj na to, čo sa stane s dátami, keď licencia skončí uprostred roka. SLA má rozlišovať pracovný čas podpory, prioritu, reakčný čas, cieľ obnovy, plánovanú údržbu, výnimky. Cieľová lehota sama o sebe nie je zárukou výsledku. Zárukou je až rozsah a spôsob merania, ktoré stoja v zmluve.

Odovzdanie, dôkazy a spoločné rozhodnutie

Exit plán overte ešte pred začiatkom. Má obsahovať:

• export dát v popísanom formáte
• repozitár s históriou
• zoznam účtov a integrácií
• infraštruktúrnu dokumentáciu a postup nasadenia
• evidenciu tajomstiev odovzdanú bezpečným kanálom
• obdobie asistencie pri prechode

Potom skúste aspoň malý export a prihlásenie klienta do vlastného účtu, pretože plán odovzdania nikdy nezlyhá na papieri a prvý raz sa ukáže až vtedy, keď ho niekto skutočne použije. Papier vydrží všetko.

Dôkazový balík môže obsahovať mapu dát, register prístupov, posledný test obnovy, zoznam závislostí, bezpečnostné zistenia a stav opráv, zoznam spracovateľov, rozpis účtov, API katalóg, SLA aj akceptačné kritériá. Do zmluvnej prílohy dajte rozsah systému, vlastníctvo, roly pri dátach, bezpečnostné opatrenia, oznamovanie incidentu, zálohy, integrácie, licencie, podporu, export aj odovzdanie. Právnik potom posúdi jazyk podľa Vášho prípadu.

Zvolajte vlastníka biznisu, IT, financie, marketing aj osobu zodpovednú za súkromie. Každý otvorený bod potrebuje rozhodnutie, meno vlastníka a dátum, do ktorého to má byť hotové, inak sa na prvom stretnutí po podpise zistí, že sa tým medzitým nikto nezaoberal. Služby Rise.sk môžu pomôcť pri technickom posúdení. Ďalšie rozhodovacie materiály nájdete v blogu. Pred podpisom si prečítajte aj obchodné podmienky.

Zdroje

• GDPR na EUR-Lex
• OWASP ASVS
• NIST SP 800-218 SSDF
• CISA Secure by Design
• ENISA Threat Landscape 2024