Kiszervezett fejlesztési szabályzat

A kiszervezett fejlesztési szabályzat (P28) átfogó keretrendszert hoz létre a külső beszállítók, vállalkozók vagy ügynökségek által végrehajtott szoftver- vagy rendszerfejlesztési projektek biztonságos kezelésére. Elsődleges célja, hogy a fejlesztési életciklus teljes egészében – a tervezéstől és szerződéses tárgyalástól a szállításon, monitorozáson és a bevonást követő tevékenységeken át – beágyazza a biztonsági kontrollokat és az irányítási mechanizmusokat. A beszállítói átvilágítás és a kockázatértékelés előírásától a kikényszerített biztonságos kódolás és szerződéses követelmények alkalmazásáig terjedő, egyértelműen meghatározott biztonsági kötelezettségek révén a szabályzat célja a szervezet által fejlesztett szoftverek bizalmasságának, sértetlenségének és rendelkezésre állásának védelme. A szabályzat hatóköre kiterjed minden olyan vállalati kezdeményezésre, amely harmadik fél általi fejlesztést foglal magában, beleértve a webes és mobilalkalmazásokat, beágyazott rendszereket, alkalmazásprogramozási interfészeket, belső és kereskedelmi platformokat, valamint automatizálási munkafolyamatokat. Különösen szabályozza továbbá minden olyan külső entitást, amely hozzáférést igényel a szervezet forráskódjához, tesztkörnyezetekhez vagy CI/CD pipeline-okhoz. A követelmények a beszállító működési helyétől és módjától függetlenül érvényesek, biztosítva, hogy a földrajzi vagy szerződéses különbségek ne hozzanak létre biztonsági réseket. A szabályzat célkitűzései a beszállítói lánc fenyegetéseinek, a jogszabályi meg nem felelésnek (például GDPR vagy DORA), a szellemi tulajdon eltulajdonításának, valamint a nem biztonságos fejlesztési gyakorlatoknak való kitettséget csökkentik, amelyek sérülékenységeket vagy szabályozási kockázatot okozhatnak. Ennek érdekében egyértelmű felelősségeket rendel a felső vezetés, a CISO, a beszerzés és a jogi és megfelelőségi terület, a projekt- és terméktulajdonosok, az információbiztonság, valamint a külső beszállítók számára. A megközelítés központi eleme a harmadik fél fejlesztési nyilvántartás, amely egységes nyilvántartásként szolgál minden beszállítói bevonásról, a beszállítói átvilágítás megállapításairól, a szabályzati kivételek naplójáról és a szerződéses státuszokról. Az irányítási követelmények magukban foglalják a beszállítói átvilágítás, a kockázatértékelés és a minimális szerződéses kontrollok készletét, például a biztonságos kódolás keretrendszerekhez való igazodást, a biztonsági tesztelést, az IP-tulajdonjogi specifikációkat, a titoktartási megállapodás megkötését, valamint az auditálási jog feltételeinek alkalmazását. A forráskód kizárólag vállalati kontroll alatt álló platformokon kezelhető, ágvédelemmel, társfelülvizsgálattal és szigorú kiléptetési protokollokkal, amelyek megakadályozzák a kódszivárgást vagy a jogosulatlan újrafelhasználást. Minden harmadik fél hozzáférése időkorlátozott hozzáférés és a legkisebb jogosultság elve szerinti hozzáférés-irányítás alatt kerül kiosztásra, auditnaplózás útján monitorozva, és a bevonás lezárásakor gyorsan visszavonva. A beszállítói tárolók vállalati biztonsági eszközökbe történő integrációja kódelemzéshez, CI/CD szabályzat-kikényszerítéshez és eltéréskezeléshez – ahol megvalósítható – kötelező. A kivételkérelmek kezelése formális kockázatkezelési és jóváhagyási folyamaton keresztül történik, amelyet a CISO vezet, beleértve az indoklás, a kockázatcsökkentő védelmi intézkedések és a korrekciós intézkedések határidőinek dokumentálását. Az információbiztonsági csapat folyamatos monitorozást és megfelelőségi auditokat végez; a szabálysértések azonnali hozzáférés-visszavonást, projektfelfüggesztést, jogi lépéseket vagy fegyelmi intézkedéseket vonhatnak maguk után, a helyzettől függően. A szabályzatot legalább évente, illetve a szabályozási környezet változását, az incidensreagálás megállapításait vagy a belső audit kimeneteit követően felül kell vizsgálni. Minden változtatás verziókezelő rendszerekben kerül nyilvántartásra, kommunikálásra és eljárásdokumentációban hivatkozásra. E mechanizmusok és a vezető nemzetközi szabványokhoz és jogi előírásokhoz való szoros illeszkedés révén a kiszervezett fejlesztési szabályzat biztosítja, hogy a harmadik fél általi szoftverszállítás biztonságos és megfelelő maradjon, megvédve a szervezetet a kiszervezett fejlesztés változó kockázataitól.