Wat er verandert
Organisaties die onder de wet vallen, hebben een zorgplicht. De RDI noemt daarbij onder meer: maak je toeleveringsketen veilig, met duidelijke afspraken met leveranciers over cyberbeveiliging, beveilig je netwerk- en informatiesystemen, en weet hoe je met kwetsbaarheden omgaat. Een ernstig incident melden ze binnen 24 uur.
Daardoor krijgen hun leveranciers vragenlijsten. Bouw je software voor zulke klanten, of draait je eigen bedrijf op een klantportaal of planningstool, dan moet je kunnen laten zien hoe die software ontwikkeld en bijgehouden wordt.
Welke vragen je over je software krijgt
Over software die je zelf ontwikkelt, gaan de vragen vaak hierover:
- Hoe weten jullie dat er geen onderdelen met bekende kwetsbaarheden in zitten?
- Worden wijzigingen getest voordat ze live gaan, en kun je dat laten zien?
- Hoe voorkomen jullie dat wachtwoorden en sleutels in de code belanden?
- Welke onderdelen krijgen geen beveiligingsupdates meer?
- Is beschreven hoe je herstelt na een storing of een incident?
Hoe onze controles helpen
Onze controles kijken precies naar deze vragen: kwetsbare en verouderde onderdelen, geheimen in de code en de geschiedenis, bewijs uit je CI dat er getest is, en of de documentatie voor beveiliging en herstel er is. Elke bevinding met zijn bewijs.
Je overzicht kun je gebruiken als onderbouwing bij de vragenlijsten van je klanten. Met doorlopende controles blijft dat antwoord kloppen bij elke nieuwe versie.