Per què es rebutja una VPN de codi obert en la contractació
Un revisor que s’oposa al codi obert normalment protegeix un requisit, no un gust de llicència. Pregunteu quin, i després produïu l’artefacte que el respon.
Els rebuigs que esmenten el codi obert poques vegades depenen de la llicència. El revisor normalment protegeix un requisit: que algú mantingui la versió desplegada, que la compilació instal·lada es pugui identificar, que una avaluació cobreixi el que es connecta o que la connexió es pugui retirar. El debat que segueix sol respondre una pregunta que ningú no ha fet.
Pregunteu quin requisit s’aplica abans de defensar una llicència. La resposta decideix quin document necessiteu.
L’etiqueta no és el requisit
Codi font llegible vol dir que la implementació publicada es pot inspeccionar. No vol dir que algú l’hagi inspeccionada, que la compilació de la passarel·la coincideixi amb la publicada o que un mantenidor degui una correcció al vostre desplegament. Cadascuna d’aquestes és una afirmació separada amb un propietari separat, i un revisor que en necessita una no quedarà satisfet amb les altres. Anomenar l’afirmació en veu alta normalment n’hi ha prou per canviar la conversa.
L’error invers és igual de comú. Una llicència comercial no demostra que el suport cobreixi la funció en què confieu, que una avaluació hagi examinat el component que desplegueu o que el proveïdor enviï una correcció dins de la vostra finestra de manteniment. La llicència descriu les condicions de distribució, mentre que les decisions de compra tracten de la confiança. En qualsevol cas, la llicència és la part menys informativa de la resposta.
Manteniu el client i el servei separats. Una auditoria d’un client d’escriptori no diu res sobre la configuració de la passarel·la del soci, el seu proveïdor d’identitat o la manera com els seus operadors gestionen l’eliminació de comptes. Qualsevol evidència que reuniu ha de coincidir amb el límit que es demana al soci que es refiï.
Convertiu la preocupació en un artefacte
Demaneu a l’aprovador que formuli el requisit en una frase, i després anomeneu l’artefacte que el satisfaria. L’alleujament vague és el que converteix aquestes converses en un debat sobre ideologia.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework és útil aquí per una raó estreta: emmarca les converses d’adquisició al voltant d’un vocabulari compartit de pràctiques i comunicació amb proveïdors. Això afavoreix demanar evidència definida en lloc de discutir sobre una etiqueta, i no és una certificació que passi cap VPN concret.
Fixeu-vos què fa la columna central. Cada fila demana un document que existeix o no existeix, cosa que converteix una opinió en un lliurable que algú pot produir o refusar.
Separeu el client del servei
Un contracte de suport per a una aplicació client no és un compromís sobre el servidor al qual arriba el vostre trànsit. Abans de presentar evidència, marqueu quines parts del camí opera el soci i quines parts opereu vosaltres en nom seu. Barrejar les dues produeix un paquet de documents que sembla complet i no respon res.
Si el desplegament és vostre, potser el soci només necessita confiar en una identitat i una regla d’accés, que és una petició molt més petita que confiar en tota la vostra cadena de subministrament de programari. Si el desplegament és seu, el client que preferiu pot ser irrellevant i la configuració de la passarel·la es converteix en el tema. Esbrinar en quin cas esteu abans de la segona reunió estalvia un cicle de revisió.
Després comproveu les qüestions operatives en què les revisions realment fallen: qui elimina un compte, amb quina rapidesa i quina evidència queda després. Una avaluació ben documentada sense procediment d’eliminació continua sent una constatació oberta.
Tanqueu amb una decisió, no amb un debat
Acabeu l’intercanvi amb un resultat escrit: la versió acceptada, els controls que s’hi associen, els operadors anomenats, l’evidència encara pendent i la data en què es deu. Qualsevol cosa no resolta s’ha de registrar com una condició en lloc d’absorbir-se en una declaració general d’aprovació.
Si la política anomena un producte aprovat concret, feu servir la via d’excepció en lloc de construir un acord paral·lel que ningú no ha autoritzat. Un argument tècnic convinent no atorga permís, i un desplegament no oficial és una constatació esperant ser descoberta.
Si un requisit genuïnament no es pot complir, passeu a l’alternativa aprovada i digueu per què. El propòsit de l’exercici és establir en què pot confiar l’organització, i un «no» clar és un millor resultat que una aprovació que després ningú no pot defensar.