Sécurité de la chaîne d'approvisionnement NIS2 et CI

La directive (UE) 2022/2555 — NIS2 — étend les obligations de l'UE en matière de cybersécurité à un ensemble de secteurs beaucoup plus large que son prédécesseur et accorde une importance explicite à la sécurité de la chaîne d'approvisionnement et à la sécurité des relations avec les fournisseurs directs.

Si vous êtes une entité essentielle ou importante, la plate-forme qui exécute votre code de build avec accès à votre source et à vos informations d'identification de déploiement est carrément un fournisseur direct qui mérite d'être évalué.

Ce qui est habituellement demandé

• Modèle d'isolement : le travail d'un locataire peut-il affecter celui d'un autre
• Contrôle d'accès et identité – SSO, SCIM et qui en interne peut atteindre quoi
• Piste d'audit : un enregistrement immuable des modifications de configuration et d'accès
• Conditions et délais de notification des incidents
• Contrôle de sortie : ce qu'une étape de construction compromise peut atteindre
• Chaîne de sous-traitance propre au fournisseur

Ce que runnerhut propose

• Un travail, une microVM avec son propre noyau ; détruit et essuyé en fin de chantier
• SAML/OIDC SSO avec provisionnement SCIM et connexion forcée
• Journal d'audit en annexe uniquement avec exportation SIEM et conservation de 13 mois
• Politique de sortie de refus par défaut avec liste blanche et journalisation par destination
• Rapport SOC 2 Type 2 et résumé annuel des tests d'intrusion, sous NDA
• Liste des sous-traitants publiés et versionnés

Sources

• Directive (UE) 2022/2555 (NIS2) — https://eur-lex.europa.eu/eli/dir/2022/2555/oj