Polityka rozwoju oprogramowania w outsourcingu

Polityka rozwoju oprogramowania w outsourcingu (P28) ustanawia kompleksowe ramy bezpiecznego zarządzania projektami rozwoju oprogramowania lub systemów realizowanymi przez zewnętrznych dostawców, wykonawców lub agencje. Jej głównym celem jest osadzenie środków kontrolnych bezpieczeństwa i mechanizmów zarządzania w całym cyklu życia rozwoju, od planowania i negocjacji umów po dostarczenie, monitorowanie oraz działania po zakończeniu współpracy. Poprzez wymaganie jasno zdefiniowanego zestawu obowiązków bezpieczeństwa — od due diligence dostawców i ocen ryzyka po wymuszone normy kodowania i wymogi umowne — polityka ma na celu ochronę poufności, integralności i dostępności wszystkich rozwiązań rozwijanych dla organizacji. Zakres polityki obejmuje każdą inicjatywę firmy, która wiąże się z rozwojem realizowanym przez strony trzecie, w tym aplikacje webowe i mobilne, systemy wbudowane, interfejsy API, platformy wewnętrzne i komercyjne oraz przepływy pracy automatyzacji. W szczególności reguluje również każdy podmiot zewnętrzny wymagający dostępu do kodu źródłowego organizacji, środowisk testowych lub potoków CI/CD. Wymagania obowiązują niezależnie od tego, gdzie i w jaki sposób działa dostawca, zapewniając, że różnice geograficzne lub umowne nie tworzą luk bezpieczeństwa. Cele polityki wynikają z minimalizacji ekspozycji na zagrożenia łańcucha dostaw, niezgodności regulacyjnej (np. GDPR lub DORA), kradzieży własności intelektualnej oraz niezabezpieczonych protokołów bezpiecznego kodowania, które mogłyby wprowadzać podatności lub ryzyko regulacyjne. Aby to osiągnąć, polityka przypisuje jednoznaczne obowiązki kierownictwu wykonawczemu, Dyrektorowi ds. bezpieczeństwa informacji (CISO), zakupom oraz prawu i zgodności, właścicielom projektów i produktów, zespołowi ds. bezpieczeństwa informacji oraz zewnętrznym dostawcom. Centralnym elementem podejścia jest Rejestr rozwoju przez strony trzecie jako jedno źródło prawdy dla wszystkich współprac z dostawcami, ustaleń due diligence, rejestru odstępstw od polityki oraz statusów umów. Wymagania zarządzania obejmują due diligence dostawców, ocenę ryzyka bezpieczeństwa oraz zestaw minimalnych środków kontrolnych umownych, takich jak przestrzeganie praktyk bezpiecznego kodowania, testy bezpieczeństwa, specyfikacje własności IP, realizacja umowy o zachowaniu poufności oraz postanowienia dotyczące prawa do audytu. Kod źródłowy jest zarządzany wyłącznie poprzez platformy kontrolowane przez przedsiębiorstwo, z ochroną gałęzi, oceną wzajemną oraz ścisłymi protokołami offboardingu zapobiegającymi wyciekowi kodu lub nieuprawnionemu ponownemu użyciu. Cały dostęp stron trzecich jest nadawany w ramach dostępu ograniczonego czasowo i zasady najmniejszych uprawnień, monitorowany poprzez rejestrowanie audytowe oraz szybko wycofywany po zakończeniu współpracy. Integracja repozytoriów dostawców z narzędziami ochrony punktów końcowych i narzędziami bezpieczeństwa przedsiębiorstwa do analizy kodu, wymuszenia polityk potoków CI/CD oraz zarządzania odstępstwami jest wymagana, gdy jest to wykonalne. Wnioski o odstępstwo są obsługiwane poprzez formalny proces postępowania z ryzykiem i zatwierdzania prowadzony przez Dyrektora ds. bezpieczeństwa informacji (CISO), w tym dokumentowanie uzasadnienia, ograniczanie ryzyka oraz terminów działań naprawczych. Zespół ds. bezpieczeństwa informacji prowadzi bieżące monitorowanie i audyty zgodności, a naruszenia skutkują natychmiastowym cofnięciem dostępu, zawieszeniem projektu, działaniami prawnymi lub środkami dyscyplinarnymi, stosownie do sytuacji. Polityka jest przeglądana co najmniej raz w roku lub po zmianach w otoczeniu regulacyjnym, ustaleniach z reagowania na incydenty lub wynikach audytu wewnętrznego. Wszystkie zmiany są objęte systemami kontroli wersji, komunikowane i przywoływane w dokumentacji proceduralnej. Dzięki tym mechanizmom oraz ścisłemu mapowaniu do wiodących norm międzynarodowych i wymogów prawnych Polityka rozwoju oprogramowania w outsourcingu zapewnia, że dostarczanie oprogramowania przez strony trzecie pozostaje bezpieczne i zgodne, chroniąc organizację przed zmieniającymi się ryzykami rozwoju w outsourcingu.