Politika dwar l-Iżvilupp Esternalizzat

Il-Politika dwar l-Iżvilupp Esternalizzat (P28) tistabbilixxi qafas komprensiv għall-ġestjoni sigura ta’ proġetti ta’ żvilupp ta’ softwer jew sistemi mwettqa minn fornituri esterni, kuntratturi, jew aġenziji. L-iskop primarju tagħha huwa li tintegra kontrolli tas-sigurtà u mekkaniżmi ta’ governanza tul iċ-ċiklu kollu tal-iżvilupp, mill-ippjanar u n-negozjar tal-kuntratt sat-twassil, monitoraġġ, u attivitajiet ta’ wara l-involviment. Billi tobbliga sett definit b’mod ċar ta’ obbligi ta’ sigurtà, li jvarjaw minn verifiki tal-passat u valutazzjonijiet tar-riskju sa standards ta’ kodifikazzjoni infurzati u rekwiżiti kuntrattwali, il-politika għandha l-għan li tissalvagwardja l-kunfidenzjalità, l-integrità u d-disponibbiltà tas-softwer kollu żviluppat mill-organizzazzjoni. Il-kamp ta’ applikazzjoni tal-politika jestendi għal kwalunkwe inizjattiva tal-kumpanija li tinvolvi żvilupp minn partijiet terzi, inklużi applikazzjonijiet tal-web u mobbli, sistemi inkorporati, interfaċċi tal-ipprogrammar tal-applikazzjonijiet, pjattaformi interni u kummerċjali, u flussi tax-xogħol tal-awtomazzjoni. B’mod partikolari, tiggverna wkoll kwalunkwe entità esterna li teħtieġ aċċess għall-kodiċi sors tal-organizzazzjoni, ambjenti ta’ test, jew pipelines ta’ CI/CD. Ir-rekwiżiti japplikaw irrispettivament minn fejn jew kif jopera l-fornitur, u jiżguraw li distinzjonijiet ġeografiċi jew kuntrattwali ma joħolqux lakuni ta’ sigurtà. L-objettivi tal-politika huma msejsa fuq it-tnaqqis tal-espożizzjoni għat-theddid tal-katina tal-provvista, nuqqas ta’ konformità legali (bħal mal-GDPR jew DORA), serq ta’ proprjetà intellettwali, u prattiki ta’ kodifikazzjoni sigura mhux adegwati li jistgħu jintroduċu vulnerabbiltajiet jew riskju regolatorju. Biex jintlaħaq dan, tassenja responsabbiltajiet espliċiti lit-Tmexxija Għolja, lill-Uffiċjal Kap tas-Sigurtà tal-Informazzjoni (CISO), lill-Akkwist u lil-Legali u Konformità, lis-Sidien tal-Proġetti u tal-Prodott, lis-Sigurtà tal-Informazzjoni u Ġestjoni tar-Riskji, u lill-fornituri esterni. Ċentrali għal dan l-approċċ hemm ir-Reġistru tal-Iżvilupp minn Partijiet Terzi, sors uniku ta’ verità għall-involvimenti kollha tal-fornituri, is-sejbiet tad-diliġenza dovuta, reġistri ta’ eċċezzjonijiet tal-politiki, u l-istatus tal-kuntratti. Ir-rekwiżiti ta’ governanza jinkludu diliġenza dovuta tal-fornitur, valutazzjoni tar-riskju tas-sigurtà, u sett ta’ kontrolli kuntrattwali minimi, bħall-aderenza ma’ qafas ta’ kodifikazzjoni sigura, ittestjar tas-sigurtà, speċifikazzjonijiet tas-sjieda tal-IP, eżekuzzjoni ta’ ftehim ta’ nuqqas ta’ żvelar, u termini tad-dritt għall-awditjar. Il-kodiċi sors jiġi mmaniġġjat esklussivament permezz ta’ pjattaformi kkontrollati mill-intrapriża, b’protezzjoni tal-fergħat, reviżjoni bejn il-pari, u protokolli stretti ta’ proċedura ta’ tluq li jipprevjenu tnixxija tal-kodiċi jew użu mill-ġdid mhux awtorizzat. Kull aċċess minn partijiet terzi jiġi pprovdut taħt governanza ta’ aċċess limitat fiż-żmien u l-prinċipju tal-inqas privileġġ, immonitorjat permezz ta’ logs tal-awditjar, u revokat malajr mal-għeluq tal-involviment. L-integrazzjoni tar-repożitorji tal-fornitur fl-għodod tas-sigurtà tal-intrapriża għall-analiżi tal-kodiċi, infurzar tal-politika ta’ CI/CD, u ġestjoni tal-eċċezzjonijiet hija meħtieġa kull meta jkun fattibbli. It-talbiet għal eċċezzjoni jiġu mmaniġġjati permezz ta’ proċess formali ta’ trattament tar-riskju u approvazzjoni mmexxi mill-Uffiċjal Kap tas-Sigurtà tal-Informazzjoni (CISO), inkluża d-dokumentazzjoni tal-ġustifikazzjoni, miżuri ta’ mitigazzjoni, u skadenzi ta’ rimedjazzjoni. It-Tim tas-Sigurtà tal-Informazzjoni jwettaq monitoraġġ kontinwu u awditi tas-sigurtà, b’ksur li jwassal għal revoka immedjata tal-aċċess, sospensjoni tal-proġett, azzjoni legali, jew miżuri dixxiplinari kif xieraq. Din il-politika tiġi riveduta mill-inqas kull sena jew wara bidliet fil-pajsaġġ regolatorju, sejba ta’ rispons għall-inċidenti, jew outputs ta’ awditjar intern. Il-bidliet kollha huma kkontrollati bil-verżjoni, ikkomunikati, u referenzjati fid-dokumentazzjoni proċedurali. Permezz ta’ dawn il-mekkaniżmi u l-immappjar mill-qrib tagħha ma’ standards internazzjonali ewlenin u mandati legali, il-Politika dwar l-Iżvilupp Esternalizzat tiżgura li t-twassil tas-softwer minn partijiet terzi jibqa’ sigur u konformi, u tipproteġi lill-organizzazzjoni mir-riskji li qed jevolvu tal-iżvilupp esternalizzat.