Ulkoistetun kehityksen politiikka

Ulkoistetun kehityksen politiikka (P28) luo kattavan viitekehyksen ohjelmisto- tai järjestelmäkehitysprojektien turvalliseen hallintaan, kun toteuttajina ovat ulkoiset toimittajat, urakoitsijat tai toimistot. Sen ensisijainen tarkoitus on sisällyttää tietoturvakontrollit ja hallintomekanismit koko kehityksen elinkaaren ajaksi suunnittelusta ja sopimusneuvotteluista toimitukseen, seurantaan ja toimeksiannon jälkeisiin toimiin. Edellyttämällä selkeästi määritellyt tietoturvavelvoitteet – toimittajahuolellisuusarvioinnista ja riskien arvioinnista aina pakotettuihin koodausstandardeihin ja sopimusvaatimukset-ehtoihin – politiikan tavoitteena on suojata organisaation kehittämän ohjelmiston luottamuksellisuus, eheys ja saatavuus. Politiikan soveltamisala kattaa kaikki yrityksen aloitteet, joihin sisältyy kolmannen osapuolen kehitystä, mukaan lukien verkko- ja mobiilisovellukset, sulautetut järjestelmät, ohjelmointirajapinnat, sisäiset ja kaupalliset alustat sekä automaatiotyönkulut. Lisäksi se hallinnoi kaikkia ulkoisia tahoja, jotka tarvitsevat pääsyn organisaation lähdekoodiin, testiympäristöihin tai CI/CD-putkiympäristöihin. Vaatimukset ovat voimassa riippumatta siitä, missä tai miten toimittaja toimii, jotta maantieteelliset tai sopimukselliset erot eivät synnytä tietoturva-aukkoja. Politiikan tavoitteet perustuvat toimitusketju-uhkien altistumisen minimointiin, vaatimustenvastaisuuden (esimerkiksi GDPR:n tai DORA:n osalta) vähentämiseen, immateriaalioikeuksien varkauden ehkäisyyn sekä turvattomien ohjelmointikäytäntöjen torjuntaan, jotka voisivat aiheuttaa haavoittuvuuksia tai sääntelyriskiä. Tämän saavuttamiseksi politiikka määrittää nimenomaiset vastuut johdolle, tietoturvajohtajalle (CISO), hankinnalle ja laki- ja vaatimustenmukaisuustoiminnoille, projekti- ja tuoteomistajille, tietoturvatiimille sekä ulkoisille toimittajille. Keskeinen osa lähestymistapaa on kolmannen osapuolen kehitysrekisteri, joka toimii ainoana totuuden lähteenä kaikille toimittajatoimeksiannoille, toimittajahuolellisuusarvioinnin havainnoille, poikkeuslokeille ja sopimusten tiloille. Hallintotapavaatimuksiin sisältyvät toimittajahuolellisuusarviointi, tietoturvariskien arviointi sekä vähimmäistasoiset sopimukselliset hallintakeinot, kuten turvallisen ohjelmoinnin viitekehysten noudattaminen, tietoturvatestaus, IP-omistajuuden määrittelyt, salassapitosopimuksen (NDA) allekirjoitukset sekä auditointioikeusehdot. Lähdekoodia hallitaan yksinomaan yrityksen hallinnoimilla alustoilla, joissa haarasuojaukset, vertaisarviointi ja tiukat poistumismenettelyt ehkäisevät koodin vuotamista tai luvatonta uudelleenkäyttöä. Kaikki kolmansien osapuolten pääsy myönnetään aikarajoitetun käyttöoikeuden ja vähimmän etuoikeuden periaatteen mukaisesti, sitä seurataan tarkastuslokitustietojen avulla ja se perutaan nopeasti toimeksiannon päättyessä. Toimittajarepositorioiden integrointi yrityksen tietoturvatyökaluihin koodianalyysiä, CI/CD-politiikan täytäntöönpanoa ja poikkeamien hallintaa varten on vaadittua aina, kun se on toteutettavissa. Poikkeuspyynnöt käsitellään muodollisen riskien käsittely- ja hyväksyntäprosessin kautta, jota johtaa tietoturvajohtaja (CISO), mukaan lukien perustelujen, riskien lieventämisen ja korjaavien toimenpiteiden aikataulujen dokumentointi. Tietoturvatiimi suorittaa jatkuvaa seurantaa ja vaatimustenmukaisuusauditointeja; rikkomukset voivat johtaa pääsyoikeuksien välittömään peruuttamiseen, projektin keskeyttämiseen, oikeudellisiin toimiin tai kurinpitotoimenpiteisiin tilanteen mukaan. Tämä politiikka katselmoidaan vähintään vuosittain tai sääntely-ympäristön muutosten, tietoturvapoikkeamiin reagoinnin havaintojen tai sisäisen tarkastuksen tulosten jälkeen. Kaikki muutokset ovat versionhallittuja, viestittyjä ja viitattuja menettelydokumentaatiossa. Näiden mekanismien sekä keskeisiin kansainvälisiin standardeihin ja oikeudellisiin velvoitteisiin tehdyn kartoituksen kautta ulkoistetun kehityksen politiikka varmistaa, että kolmannen osapuolen ohjelmistotoimitus pysyy turvallisena ja vaatimustenmukaisena ja suojaa organisaatiota ulkoistetun kehityksen kehittyviltä riskeiltä.