ENISA opublikowała 30 lipca Secure by Design and Default Playbook dla MŚP. Według opisu publikacji praktyczne działania mają obejmować cykl życia produktu i wpisywać się w istniejące procesy inżynierii, pracy nad produktem oraz wydawania wersji. Dla polskich firm tworzących i integrujących produkty cyfrowe proponujemy następujący punkt wyjścia: każdej zasadzie projektowej przypisać czynność, do której zespół wróci przy kolejnych zmianach.

Czy uznalibyśmy zasadę bezpieczeństwa za wdrożoną, gdyby nikt nie potrafił wskazać jej miejsca w pracy nad najbliższą wersją produktu? Przy lekturze publikacji ENISA postawmy to pytanie osobom odpowiedzialnym za produkt, inżynierię i wydanie. Poprośmy o prześledzenie tej samej zasady od decyzji projektowej do czynności wykonywanej przed udostępnieniem wersji. Nie zakładajmy, że w firmie czegoś brakuje. Sprawdźmy dostępny opis pracy i porównajmy go z wykonaniem. Jeśli odpowiedź kończy się na deklaracji, zapiszmy pytanie wymagające wyjaśnienia. Poniższy przegląd jest propozycją redakcji, wynikającą z zapowiedzianego zakresu przewodnika. Nie opisuje wdrożenia w konkretnej firmie i nie przypisuje ENISA szczegółowych praktyk.

Zasadę projektową wpisz w pracę nad wersją

Jak podaje ENISA, przewodnik przekłada zasady na powtarzalne działania możliwe do zastosowania w istniejących procesach. Proponujemy zacząć od wybranego produktu i zasady, którą zespół już deklaruje. Odszukajmy miejsce, w którym zespół podejmuje dotyczącą jej decyzję, a następnie opiszmy czynność, która tę decyzję wykonuje. Zachowajmy ten sam zakres produktu podczas całego przeglądu.

Osobę odpowiedzialną za produkt poprośmy o określenie oczekiwanego rezultatu. Z inżynierią ustalmy, jaka praca ma do niego doprowadzić. Przy przygotowaniu wydania wskażmy, gdzie można sprawdzić wynik. Jeśli odpowiedzi opisują różne oczekiwania, uzgodnijmy wspólny zapis przed wpisaniem zadania do planu. Nie pozostawiajmy rozstrzygnięcia wyłącznie osobie, która będzie wykonywać ostatnią czynność.

Do opisu dodajmy moment ponownego sprawdzenia zasady przy zmianie produktu. Zapytajmy, kto ma wrócić do wcześniejszej decyzji i gdzie odnotuje wynik. Powtarzalność potraktujmy jako wymaganie wobec organizacji pracy: kolejny przegląd powinien mieć określone miejsce w procesie wydania.

Zasadę projektową połączmy z czynnością, odpowiedzialnością i momentem ponownego sprawdzenia.

Opis procesu porównaj z ostatnim wykonaniem

Zapowiedź ENISA dotycząca istniejących procesów wykorzystajmy do przeglądu materiałów, które firma już ma. Wybierzmy zakończone wydanie i poprośmy zespół o pokazanie, jak zastosował wybraną zasadę bezpieczeństwa. Obok opisu oczekiwanego działania umieśćmy zapis dotyczący jego wykonania. Sprawdźmy, czy oba odnoszą się do tej samej wersji i tego samego zakresu pracy.

Jeżeli nie znajdziemy potwierdzenia, pozostawmy wynik otwarty i wskażmy osobę, która pomoże go ustalić. Braku zapisu nie traktujmy automatycznie jako dowodu niewykonania czynności. Samą deklarację również pozostawmy do sprawdzenia. W rozmowie odróżnijmy pytanie o to, co przewiduje procedura, od pytania o to, co zrobiono przy wybranym wydaniu.

Gdy ustalimy rozbieżność, zaproponujmy poprawę w miejscu, którego ona dotyczy. Może to być doprecyzowanie oczekiwania, przypisanie zadania albo ustalenie sposobu sprawdzenia rezultatu. Wybierzmy zmianę dopiero po zebraniu odpowiedzi. Przy następnym wydaniu wróćmy do tego samego pytania i porównajmy dostępne potwierdzenia.

Zarządowi przedstaw zadanie i zakres decyzji

Publikację ENISA proponujemy wykorzystać w rozmowie zarządczej o odpowiedzialności za pracę nad produktem. Dla wybranej zasady wskażmy osobę uzgadniającą oczekiwanie, wykonawcę działania i osobę sprawdzającą rezultat przed wydaniem. Nie zakładajmy określonej struktury zespołu; przypiszmy odpowiedzialności do osób faktycznie uczestniczących w procesie.

Jeśli przegląd prowadzi do nowego zadania, poprośmy zespół o oszacowanie potrzebnej pracy i wskazanie miejsca w planie. Nie obiecujmy oszczędności ani określonego spadku ryzyka na podstawie samej publikacji przewodnika. Koszt wdrożenia w konkretnej firmie pozostawmy jako nieustalony, dopóki zespół nie oceni zakresu zmiany. W materiale do decyzji pokażmy, jakie ustalenie jest potrzebne do rozpoczęcia pracy.

Przy odbiorze zadania wróćmy do uzgodnionego rezultatu. Poprośmy o wskazanie, co zmieniono w procesie produktu, inżynierii lub wydań oraz kto sprawdzi działanie przy kolejnej wersji. Jeśli odpowiedzialność pozostaje nieuzgodniona, zapiszmy ją jako sprawę do rozstrzygnięcia, z wyznaczonym odbiorcą pytania.

Zarządowi przedstawmy zmianę w sposobie pracy nad produktem wraz z odpowiedzialnością za jej utrzymanie.

W polskim MŚP określ zakres tworzenia i integracji

ENISA kieruje publikację do MŚP; polskim twórcom i integratorom proponujemy rozpoczęcie przeglądu od granic własnej pracy. Wybierzmy produkt, którego rozwój lub integrację możemy omówić na podstawie dostępnych materiałów. Zapiszmy, które czynności wykonujemy sami, a w których potrzebujemy informacji od drugiej strony. Nie przypisujmy partnerowi zadań bez potwierdzenia ich zakresu.

W rozmowie między twórcą produktu a integratorem prześledźmy wybraną zasadę przez przekazanie pracy. Ustalmy, jakiej informacji potrzebuje odbiorca, aby sprawdzić oczekiwany rezultat w swoim zakresie. Jeśli strony inaczej rozumieją tę samą zasadę, doprecyzujmy opis czynności i sposób przekazania wyniku. Nie zastępujmy odpowiedzi ogólną deklaracją stosowania bezpiecznego projektowania.

Nie oceniajmy praktyk polskich MŚP na podstawie samego ukazania się przewodnika. Własny wniosek oprzyjmy na przeglądzie konkretnego produktu. Przy niepełnych informacjach oznaczmy, czego jeszcze nie sprawdzono, i przygotujmy pytanie do właściwej osoby. Do kolejnego wydania zachowajmy zapis uzgodnionego podziału pracy.

Co z tym zrobić w poniedziałek

  1. W 30 minut wybierz produkt i deklarowaną zasadę bezpieczeństwa. W planie najbliższego wydania wskaż dotyczące jej działanie oraz osobę odpowiedzialną. Jeśli nie potrafisz ich znaleźć, zapisz konkretne pytanie do zespołu. Potraktuj zakres wskazany przez ENISA jako punkt wyjścia do rozmowy.
  2. Przeznacz 30 minut na porównanie opisu tego działania z dostępnym zapisem wykonania przy ostatniej wersji. Odnotuj zgodność, rozbieżność albo brak informacji. Przy niejasności wskaż osobę, od której potrzebujesz wyjaśnienia.
  3. W 30 minut przygotuj propozycję poprawy wynikającej z przeglądu: czynność, odpowiedzialność i moment sprawdzenia przy kolejnym wydaniu. Jeśli sprawa dotyczy integracji, dopisz informację potrzebną od partnera. Przekaż propozycję do uzgodnienia w istniejącym planie pracy.

Od bezpiecznego projektowania wymagajmy widocznego miejsca w decyzjach o produkcie i jego wydaniu. Każdą przyjętą zasadę połączmy z pracą, którą potrafimy wskazać i ponownie sprawdzić. Do oceny postępu wybierzmy wykonanie uzgodnionego działania przy kolejnej wersji produktu.

Źródła

  1. ENISA, „ENISA Secure by Design and Default Playbook”, 30 lipca 2026

Redakcja cyberinsight.pl.