8.30 Wytwarzanie zlecone na zewnątrz
W skrócie: gdy oprogramowanie pisze dostawca, organizacja nadal odpowiada za jego bezpieczeństwo — określa wymagania, nadzoruje pracę i sprawdza wynik.
Cel: zapewnienie, że środki bezpieczeństwa wymagane przez organizację są wdrożone w wytwarzaniu zleconym na zewnątrz.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne), #Detective (wykrywające) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja), #Protect (ochrona), #Detect (wykrywanie) |
| Zdolności operacyjne | #System_and_network_security (bezpieczeństwo systemów i sieci), #Application_security (bezpieczeństwo aplikacji), #Supplier_relationships_security (bezpieczeństwo relacji z dostawcami) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Gdy wytwarzanie jest zlecone, organizacja przekazuje wymagania i oczekiwania dostawcy i stale monitoruje i przegląda jego pracę.
- Uwzględnia się w całym łańcuchu dostaw: umowy licencyjne, własność kodu i prawa własności intelektualnej (5.32), wymagania umowne dotyczące bezpiecznego projektowania, kodowania i testów (8.25–8.29), dostarczenie modelu zagrożeń, testy akceptacyjne jakości i dokładności rezultatów, dowody, że osiągnięto minimalny poziom bezpieczeństwa i prywatności, dowody testów wykrywających złośliwą zawartość, dowody testów chroniących przed znanymi podatnościami.
- Zapewnia się depozyt kodu źródłowego (escrow), np. na wypadek upadłości dostawcy.
- Organizacja ma umowne prawo do audytu procesów i zabezpieczeń wytwarzania.
- Uwzględnia się wymagania bezpieczeństwa środowiska wytwórczego dostawcy i obowiązujące przepisy (np. ochrona danych osobowych).
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Wymóg dostarczenia SBOM i raportów SAST oraz SCA przy każdym wydaniu.
- Własny test penetracyjny lub przegląd kodu przed odbiorem — niezależnie od testów dostawcy.
- Repozytorium kodu po stronie zamawiającego, do którego dostawca wysyła zmiany — organizacja zawsze ma aktualny kod.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.8.30 — wykaz zabezpieczeń technologicznych.
- Pokrewne zabezpieczenia: 5.19 Bezpieczeństwo informacji w relacjach z dostawcami, 5.20 Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami, 5.21 Zarządzanie bezpieczeństwem informacji w łańcuchu dostaw ICT, 8.25 Bezpieczny cykl życia wytwarzania, 8.29 Testy bezpieczeństwa w wytwarzaniu i odbiorze.
- ISO/IEC 27002:2013: 14.2.7.