Decyzja w sprawie DAS: oprogramowanie i bezpieczeństwo mają równie duże znaczenie jak sprzęt
Nowoczesną infrastrukturę DAS definiują zarówno oprogramowanie, jak i sprzęt. Nabywcy powinni zrozumieć, w jaki sposób zapewniana jest konserwacja oprogramowania, jak kontrolowany jest dostęp do systemu oraz jak zarządzane jest bezpieczeństwo przez cały okres eksploatacji sieci.
System anten rozproszonych (DAS) jest bardzo widoczną infrastrukturą fizyczną. Jednostki zdalne, sprzęt stacji czołowej, połączenia światłowodowe i anteny odgrywają kluczową rolę w zapewnianiu zasięgu i przepustowości sieci komórkowej. Jednak poza tym sprzętem coraz większy wpływ na sposób konfiguracji, monitorowania, konserwacji i rozwoju systemu ma oprogramowanie.
Oznacza to, że zarządzanie oprogramowaniem i cyberbezpieczeństwo powinny od samego początku stanowić część procesu zamówień publicznych w ramach DAS. Nie należy ich traktować jako odrębnych kwestii dopiero po zainstalowaniu sprzętu.
Dowiedz się, kto jest za to odpowiedzialny
Przed wyborem platformy DAS nabywcy powinni ustalić, która organizacja jest odpowiedzialna za oprogramowanie tej platformy oraz w jaki sposób odpowiedzialność ta będzie utrzymywana przez cały cykl życia produktu.
Najważniejsze nie jest to, czy każdy element został opracowany we własnym zakresie. Dostawcy technologii mogą współpracować z wyspecjalizowanymi partnerami lub wykorzystywać w swoich systemach komponenty innych firm. Liczy się to, czy istnieje jasny podział odpowiedzialności.
Kupujący powinni ustalić:
Kto odpowiada za utrzymanie oprogramowania platformy?
Kto decyduje o udostępnianiu aktualizacji i poprawek zabezpieczeń?
W jaki sposób opracowuje się, weryfikuje i testuje zmiany w oprogramowaniu?
Które elementy opierają się na technologiach stron trzecich?
W jaki sposób monitoruje się i eliminuje luki w zabezpieczeniach pochodzących od podmiotów zewnętrznych?
Jak długo będzie dostępna pomoc techniczna dla oprogramowania?
Z kim klienci powinni się skontaktować w przypadku wystąpienia problemu związanego z oprogramowaniem lub bezpieczeństwem?
Zakres obowiązków powinien zostać jasno określony przed wdrożeniem. Klienci nie powinni być zmuszeni do ustalania, kto jest odpowiedzialny za dany problem, gdy ten wpłynął już na działającą sieć.
Bezpieczeństwo to proces ciągły
Cyberbezpieczeństwa nie można sprowadzać wyłącznie do jednej funkcji, certyfikatu czy oświadczenia złożonego podczas procesu zamówień publicznych. Zagrożenia, luki w zabezpieczeniach i przyjęte praktyki w zakresie bezpieczeństwa nieustannie ewoluują. Bezpieczeństwo platformy zależy zatem od procesów stosowanych w celu zarządzania nią przez cały okres jej eksploatacji.
Nabywcy powinni zapytać, w jaki sposób identyfikowane, oceniane i klasyfikowane pod względem priorytetów są potencjalne luki w zabezpieczeniach. Powinni również zrozumieć, w jaki sposób klienci będą powiadamiani w przypadku pojawienia się istotnych problemów oraz w jaki sposób będą udostępniane aktualizacje lub środki zaradcze.
Wiarygodne podejście powinno uwzględniać:
Monitorowanie i ocena podatności
Procesy aktualizacji oprogramowania i zarządzania poprawkami
Testowanie przed wydaniem aktualizacji
Powiadomienia dla klientów i wskazówki techniczne
Kontrola dostępu do systemu
Uprawnienia użytkowników i zarządzanie kontami
Rejestrowanie zdarzeń związanych z bezpieczeństwem i monitorowanie
Zasady dotyczące zdalnego dostępu
Wsparcie techniczne dla oprogramowania w całym cyklu życia produktu
Żadnego połączonego systemu nie można uznać za całkowicie wolny od ryzyka. Bardziej istotną kwestią jest to, czy istnieją odpowiednie procesy, wiedza specjalistyczna i mechanizmy odpowiedzialności pozwalające na zarządzanie tym ryzykiem.
Aktualny przykład odpowiedzialności za bezpieczeństwo
Krytyczne luki w zabezpieczeniach języka PHP ujawnione 21 października 2026 r. stanowią aktualny przykład tego, dlaczego przejrzystość oprogramowania i jasno określone procesy bezpieczeństwa mają tak duże znaczenie. Luki CVE-2026-109618 i CVE-2026-109619 dotyczą niektórych środowisk PHP i mogą potencjalnie umożliwić zdalne wykonanie kodu bez uwierzytelnienia. Ujawnienie tych luk wymagało od organizacji szybkiego ustalenia, czy PHP stanowi część ich produktów lub środowisk pomocniczych, oceny ewentualnego narażenia oraz przekazania klientom jasnych wytycznych.
W następstwie ujawnienia tych informacji firma SOLiD przeprowadziła wewnętrzną analizę techniczną i przekazała jej wyniki bezpośrednio odpowiednim klientom.
Tego rodzaju reakcja stanowi istotny element odpowiedzialnego zarządzania cyklem życia produktu. Gdy ogłaszane jest istnienie poważnej luki w zabezpieczeniach, klienci oczekują od dostawcy technologii, że będzie on w stanie ustalić:
Czy dana technologia jest obecna w ramach rozwiązania
Które produkty i wersje, jeśli w ogóle, są objęte tym problemem
Czy konieczna jest aktualizacja, wprowadzenie środków ograniczających ryzyko czy zmiana konfiguracji
Jakie natychmiastowe działania powinni podjąć klienci
W jaki sposób będzie monitorowany i przekazywany przebieg dalszych działań
W przypadku gdy luka w zabezpieczeniach nie ma zastosowania, klienci potrzebują tego potwierdzenia równie wyraźnie, jak potrzebują wskazówek dotyczących działań naprawczych, gdy konieczne jest podjęcie odpowiednich kroków. Incydent ten pokazuje również, dlaczego organizacje muszą dokładnie rozumieć składniki oprogramowania i zależności występujące w ramach swoich platform. Bez takiej widoczności znacznie trudniej jest szybko ocenić narażenie i udzielić klientom pewnej odpowiedzi.
Należy zapewnić kontrolę dostępu
Platformy DAS mogą oferować funkcje zdalnego monitorowania, diagnostyki i zarządzania. Funkcje te mogą pomóc zespołom technicznym w wykrywaniu problemów, ocenie wydajności oraz zapewnianiu klientom bardziej efektywnego wsparcia.
Należy również zapewnić odpowiednie zarządzanie tymi systemami. Nabywcy powinni wiedzieć, kto ma dostęp do systemu, w jaki sposób odbywa się uwierzytelnianie użytkowników oraz czy uprawnienia można przydzielać zgodnie z poszczególnymi rolami. Powinni również ustalić, w jaki sposób dostęp jest cofany, gdy nie jest już potrzebny, oraz czy ważne działania w systemie mogą być rejestrowane i weryfikowane.
Zdalny dostęp powinien odbywać się zgodnie z jasno określonymi procedurami. Wygoda nie powinna odbywać się kosztem odpowiedniej kontroli ani odpowiedzialności. Wymagane podejście będzie się różnić w zależności od projektu. Budynek komercyjny, sieć transportowa, placówka opieki zdrowotnej czy duży obiekt publiczny mogą mieć różne zasady bezpieczeństwa i wymagania operacyjne. Wymagania te należy uwzględnić już na etapie projektowania systemu, a nie wprowadzać je dopiero po jego uruchomieniu.
Plan dotyczący oprogramowania na cały okres eksploatacji sieci
System DAS może działać przez wiele lat. W tym czasie mogą ulec zmianie warunki eksploatacji, wymagania sieciowe oraz oczekiwania dotyczące bezpieczeństwa. Dlatego nabywcy powinni uwzględnić długoterminową ścieżkę rozwoju oprogramowania równolegle z początkową specyfikacją sprzętową.
Warto zadać sobie między innymi następujące pytania:
Jak często oprogramowanie platformy jest sprawdzane i aktualizowane?
W jaki sposób klienci będą informowani o pojawieniu się nowych wersji?
Jakie wsparcie jest zapewniane, gdy konieczna jest aktualizacja?
Czy aktualizacje można wdrożyć bez niepotrzebnych zakłóceń?
W jaki sposób zarządza się starszymi wersjami oprogramowania?
Co się dzieje, gdy oprogramowanie osiąga koniec okresu wsparcia technicznego?
W jaki sposób plan rozwoju oprogramowania wpisuje się w szerszy plan rozwoju produktu?
Odpowiedzi te mogą pomóc nabywcom w ocenie, czy platforma dysponuje wiarygodnym planem dalszej konserwacji i rozwoju.
Oprogramowanie stanowi część długoterminowej wartości
Początkowy koszt sprzętu pozostaje istotnym czynnikiem przy podejmowaniu każdej decyzji zakupowej, jednak możliwość bezpiecznego zarządzania platformą i zapewnienia jej wsparcia również przyczynia się do jej długoterminowej wartości. Oprogramowanie, które jest aktywnie utrzymywane, oparte na przejrzystych procesach i wspierane przez doświadczone zespoły techniczne, może pomóc w zapewnieniu wydajności i ciągłości działania. Niejasna struktura własnościowa lub ograniczone długoterminowe wsparcie mogą powodować niepewność jeszcze długo po sfinalizowaniu pierwotnego zakupu.
Nowoczesną infrastrukturę DAS należy zatem postrzegać jako połączenie sprzętu, oprogramowania, wsparcia technicznego oraz zarządzania cyklem życia.
W SOLiD uważamy, że nabywcy powinni dokładnie wiedzieć, w jaki sposób oprogramowanie ich platformy będzie zarządzane, aktualizowane i obsługiwane — oraz kto będzie ponosił odpowiedzialność przez cały okres funkcjonowania sieci.
