Чаму VPN з адкрытым кодам адхіляюць у закупках
Рэцэнзент, які пярэчыць супраць адкрытага кода, звычайна абараняе патрабаванне, а не густ да ліцэнзіі. Спытайце, якое менавіта, і падрыхтуйце дакумент, што на яго адказвае.
Адмовы са спасылкай на адкрыты код рэдка залежаць ад ліцэнзіі. Рэцэнзент звычайна абараняе патрабаванне: каб хтосьці падтрымліваў разгорнуты выпуск, каб усталяваную зборку можна было ідэнтыфікаваць, каб ацэнка ахоплівала тое, што падключаецца, або каб злучэнне можна было адазваць. Дыскусія, якая ўзнікае пасля, звычайна адказвае на пытанне, якога ніхто не задаваў.
Спытайце, якое патрабаванне дзейнічае, перш чым абараняць ліцэнзію. Адказ вызначае, які дакумент вам патрэбны.
Этыкетка — гэта не патрабаванне
Чытальны зыходны код азначае, што апублікаваную рэалізацыю можна даследаваць. Гэта не азначае, што хтосьці яе даследаваў, што зборка на шлюзе адпавядае апублікаванай, або што суправаджальнік вінен вашаму разгортванню выпраўленне. Кожнае з гэтага — асобнае сцвярджэнне з асобным уладальнікам, і рэцэнзент, якому патрэбна адно з іх, не будзе задаволены іншымі. Назваць сцвярджэнне ўголас звычайна дастаткова, каб змяніць размову.
Адваротная памылка сустракаецца гэтак жа часта. Камерцыйная ліцэнзія не даказвае, што падтрымка ахоплівае функцыю, на якую вы спадзяецеся, што ацэнка даследавала кампанент, які вы разгортваеце, або што пастаўшчык даставіць выпраўленне ў ваша акно абслугоўвання. Ліцэнзаванне апісвае ўмовы распаўсюджвання, а рашэнні аб закупках тычацца спадзявання. У любым выпадку ліцэнзія — найменш інфарматыўная частка адказу.
Трымайце кліент і сэрвіс асобна. Аўдыт настольнага кліента нічога не кажа пра канфігурацыю шлюза партнёра, яго пастаўшчыка ідэнтычнасці або пра тое, як яго аператары выдаляюць уліковыя запісы. Любыя доказы, якія вы збярэце, павінны адпавядаць мяжы, якой просяць даверыць партнёра.
Ператварыце клопат у дакумент
Папрасіце зацвярджальніка сфармуляваць патрабаванне ў адным сказе, затым назвіце дакумент, які б яго задаволіў. Менавіта няпэўнае супакаенне ператварае гэтыя размовы ў спрэчку пра ідэалогію.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework карысны тут па адной вузкай прычыне: ён будуе размовы аб закупках вакол агульнай лексікі практык і камунікацыі з пастаўшчыкамі. Гэта падтрымлівае запыт на пэўныя доказы замест спрэчкі пра этыкетку, і гэта не сертыфікацыя, якую праходзіць любы канкрэтны VPN.
Звярніце ўвагу, што робіць сярэдні слупок. Кожны радок патрабуе дакумент, які альбо існуе, альбо не, і гэта ператварае думку ў вынік, які хтосьці можа прадставіць або адхіліць.
Аддзяліце кліент ад сэрвісу
Дамова аб падтрымцы кліенцкай праграмы не з'яўляецца абавязацельствам адносна сервера, да якога даходзіць ваш трафік. Перш чым прадставіць доказы, адзначце, якімі часткамі шляху кіруе партнёр, а якімі кіруеце вы ад яго імя. Змешванне двух стварае пакет дакументаў, які выглядае грунтоўным і ні на што не адказвае.
Калі разгортванне вашае, партнёру, магчыма, трэба давяраць толькі ідэнтычнасці і правілу доступу, што значна менш, чым давяраць усёй вашай ланцужку паставак праграмнага забеспячэння. Калі разгортванне яго, кліент, якому вы аддаяце перавагу, можа быць неістотным, і прадметам становіцца канфігурацыя шлюза. Вызначэнне, у якім вы выпадку, да другой сустрэчы эканоміць цыкл разгляду.
Пасля праверце аперацыйныя пытанні, на якіх разгляды сапраўды правальваюцца: хто выдаляе ўліковы запіс, як хутка і якія доказы застаюцца потым. Прыгожа дакументаваная ацэнка без працэдуры выдалення ўсё яшчэ застаецца адкрытай знаходкай.
Завяршыце рашэннем, а не спрэчкай
Скончыце абмен пісьмовым вынікам: прынятая версія, звязаныя з ёй кантролі, названыя аператары, доказы, якія яшчэ не прадстаўлены, і тэрмін іх падачы. Усё нявырашанае трэба зафіксаваць як умову, а не ўключыць у агульную заяву аб ухваленні.
Калі палітыка называе канкрэтны ўхвалены прадукт, выкарыстоўвайце шлях выключэння замест пабудовы паралельнай дамоўленасці, якую ніхто не ўпаўнаважваў. Пераканаўчы тэхнічны аргумент не дае дазволу, а неафіцыйнае разгортванне — гэта знаходка, якая чакае выкрыцця.
Калі патрабаванне сапраўды немагчыма выканаць, пераходзьце да ўхваленай альтэрнатывы і скажыце чаму. Мэта практыкавання — усталяваць, на што арганізацыя можа спадзявацца, і яснае «не» — лепшы вынік, чым ухваленне, якое потым ніхто не зможа абараніць.