Due diligence dodávateľa softvéru pre bezpečnosť a vlastníctvo

Pri kúpe alebo vývoji firemného softvéru nestačí zistiť cenu a zoznam funkcií. Kupujúci potrebuje vedieť, kto rozhoduje o dátach, kto má prístup do produkcie, čo sa stane pri výpadku integrácie a čo reálne prejde do jeho rúk pri odovzdaní. Táto príručka je pracovný zoznam otázok pre výber dodávateľa. Nie je právnym poradenstvom ani vyhlásením, že konkrétne opatrenie spĺňa zákon.

Krátka odpoveď

Od dodávateľa žiadajte dôkazy, nie všeobecné sľuby. Pred podpisom má byť jasný vlastník každého účtu, systému a rozhodnutia. Máte dostať mapu dát, zoznam integrácií, model prístupov, postup pri incidente, plán záloh a odovzdania. Ak dodávateľ nevie ukázať aktuálny dokument, ukážku konfigurácie alebo výsledok testu, zapíšte to ako otvorené riziko s vlastníkom a termínom.

Mapa dát a roly

Začnite jednou tabuľkou. Pre každý tok uveďte zdroj, účel, typ dát, príjemcu, úložisko, prístupové roly, dobu uchovávania a cestu pri exporte či výmaze. Rozlišujte zákaznícke dáta, prevádzkové logy, analytiku, zálohy a testovacie dáta. Pýtajte sa, kto schvaľuje zmenu účelu spracúvania a kto poskytuje údaje dotknutej osobe.

GDPR rozlišuje prevádzkovateľa a sprostredkovateľa. Článok 28 opisuje, že pri spracúvaní v mene prevádzkovateľa má zmluva upraviť predmet, trvanie, povahu, účel, typy údajov a práva a povinnosti. Pri vlastnom modeli si overte roly s právnikom a so zodpovednou osobou pre ochranu údajov. Vhodné otázky sú jednoduché. Kto určuje účel a prostriedky? Používa dodávateľ ďalších spracovateľov? Kde sa vedie ich zoznam a ako sa zmena oznamuje?

Ochrana osobných údajov Rise.sk popisuje náš verejný prístup k súkromiu. Neberte ju ako náhradu zmluvnej analýzy Vášho projektu.

Prístupy a auditná stopa

Vyžiadajte si zoznam prostredí a účtov. Dôležité sú administrátori cloudu, produkčná databáza, repozitár, CI, doména, e-mail, analytika a reklamné účty. Zistite, či každý človek používa vlastný účet, či sú citlivé roly chránené viacfaktorovým overením a ako sa prístupy odoberajú pri zmene roly alebo odchode.

Auditná stopa má umožniť zodpovedať kto vykonal citlivú operáciu, kedy, z akého účtu a s akým výsledkom. Pýtajte sa na prihlásenia administrátorov, zmeny oprávnení, exporty, zmeny konfigurácie a zásahy do produkcie. OWASP ASVS je použiteľný ako zmluvný základ pre overovanie aplikačných kontrol, nie ako nálepka na produkt. OWASP ASVS uvádza aj použitie pri obstarávaní.

Bezpečnosť Rise.sk vysvetľuje verejné bezpečnostné zásady. Pre konkrétny systém potrebujete presný rozsah a dôkazy.

Bezpečný vývoj, závislosti a prevádzka

Pýtajte sa, ako dodávateľ chráni zdrojový kód, kontroluje zmeny a rieši zraniteľné závislosti. Vyžiadajte si postup pre code review, skenovanie tajomstiev, aktualizácie knižníc, hodnotenie závažnosti a opravu kritickej chyby mimo bežného vydania. NIST SSDF odporúča integrovať praktiky bezpečného vývoja do životného cyklu. CISA pri Secure by Design pripomína, že bezpečnostné bremeno nemá zostať iba na zákazníkovi.

Zálohy neriešte jednou otázkou. Kde sú uložené, ako sú chránené, ako dlho sa držia, kto ich môže obnoviť a kedy sa obnova naposledy skúšala? Dohodnite cieľ obnovy dát a služby, oznamovací kanál pri incidente, zodpovednú osobu, čas prvého statusu a spôsob zachovania dôkazov. ENISA vo svojich materiáloch venuje pozornosť hrozbám, odolnosti a dodávateľským vzťahom. Nezamieňajte plán s preukázaným nácvikom.

Integrácie a API

Každé API je prevádzkový aj vlastnícky záväzok. Spíšte vlastníka API, účel, zmluvný základ, autentifikáciu, limity, verziu, náklady, osobné údaje a postup pri zlyhaní. Potrebujete vedieť, čo aplikácia spraví pri vypršaní tokenu, pomalej odpovedi, duplicitnej správe, nekompatibilnej zmene a výpadku tretej strany. Určite aj to, kto komunikuje s poskytovateľom API a kto môže zmeniť fakturačný plán.

Pripravte si scenár manuálneho pokračovania pre kritický proces. Integrácia účtovníctva môže zlyhať, no faktúry a schválenia nesmú zmiznúť v neviditeľnej fronte. Pracovný postup vývoja, rozhodovania a akceptácie si porovnajte s procesom Rise.sk.

Vlastníctvo, licencie a podpora

Zmluva a prílohy majú samostatne pomenovať zdrojový kód, repozitáre, domény, cloudové účty, databázy, DNS, e-mail, analytiku, reklamné účty, dizajnové súbory, dokumentáciu, heslá a obnovovacie kódy. Pri každej položke uveďte právne oprávnenie, administrátora, fakturačný kontakt, miesto uloženia a odovzdávací krok. Klientsky účet by nemal byť závislý od osobného e-mailu dodávateľa.

Overte licencie vlastného kódu, open-source balíkov, šablón, fontov, fotografií, API a platených služieb. Pýtajte sa na licenčné limity, automatické obnovy, minimálnu dobu, export a následky neuhradenia. SLA má rozlišovať pracovný čas podpory, prioritu, reakčný čas, cieľ obnovy, plánovanú údržbu a výnimky. Žiadna cieľová lehota nie je zárukou výsledku, pokiaľ zmluva neurčuje rozsah a meranie.

Odovzdanie, dôkazy a spoločné rozhodnutie

Exit plán overte ešte pred začiatkom. Má obsahovať export dát v popísanom formáte, repozitár s históriou, zoznam účtov a integrácií, infraštruktúrnu dokumentáciu, postup nasadenia, evidenciu tajomstiev odovzdanú bezpečným kanálom a obdobie asistencie pri prechode. Vyskúšajte aspoň malý export a prihlásenie klienta do vlastného účtu. Až tak zistíte, či odovzdanie funguje.

Dôkazový balík môže obsahovať mapu dát, register prístupov, posledný test obnovy, zoznam závislostí, bezpečnostné zistenia a stav opráv, zoznam spracovateľov, rozpis účtov, API katalóg, SLA a akceptačné kritériá. Do zmluvnej prílohy dajte rozsah systému, vlastníctvo, roly pri dátach, bezpečnostné opatrenia, oznamovanie incidentu, zálohy, integrácie, licencie, podporu, export a odovzdanie. Právnik potom posúdi jazyk podľa Vášho prípadu.

Zvolajte vlastníka biznisu, IT, financie, marketing a osobu zodpovednú za súkromie. Každý otvorený bod potrebuje rozhodnutie, vlastníka a dátum. Služby Rise.sk môžu pomôcť pri technickom posúdení. Ďalšie rozhodovacie materiály nájdete v blogu. Pred podpisom si prečítajte aj obchodné podmienky.

Zdroje

• GDPR na EUR-Lex
• OWASP ASVS
• NIST SP 800-218 SSDF
• CISA Secure by Design
• ENISA Threat Landscape 2024