Miks avatud lähtekoodiga VPN hankemenetluses tagasi lükatakse
Avatud lähtekoodile vastu vaidlev hindaja kaitseb tavaliselt nõuet, mitte litsentsimaitse. Küsige, millist, ja esitage seejärel dokument, mis sellele vastab.
Avatud lähtekoodile viitavad tagasilükkamised harva sõltuvad litsentsist. Hindaja kaitseb tavaliselt nõuet: et keegi hooldaks juurutatud väljaannet, et paigaldatud build oleks tuvastatav, et hindamine kataks seda, mis ühendatakse, või et ühenduse saaks tagasi võtta. Järgnev vaidlus vastab tavaliselt küsimusele, mida keegi ei küsinud.
Küsige, milline nõue kehtib, enne kui kaitsete litsentsi. Vastus otsustab, millist dokumenti vajate.
Silt ei ole nõue
Loetav lähtekood tähendab, et avaldatud teostust saab kontrollida. See ei tähenda, et keegi on seda kontrollinud, et lüüsi build vastab avaldatule või et hooldaja on teie juurutusele paranduse võlgu. Igaüks neist on eraldi väide eraldi omanikuga ning hindaja, kes vajab ühte neist, ei jää teistega rahule. Väite valjusti nimetamine on tavaliselt piisav, et vestlust muuta.
Vastupidine viga on sama tavaline. Äriline litsents ei tõenda, et tugi katab funktsiooni, millele toetute, et hindamine uuris komponenti, mille juurutate, või et tarnija saadab paranduse teie hooldusakna jooksul. Litsentsimine kirjeldab levitamistingimusi, samas kui hankeotsused puudutavad usaldust. Mõlemal juhul on litsents vastuse kõige vähem informatiivne osa.
Hoidke klient ja teenus eraldi. Töölauakliendi audit ei ütle midagi partneri lüüsi seadistuse, tema identiteedipakkuja ega selle kohta, kuidas tema operaatorid kontode kustutamist käsitlevad. Milliseid tõendeid ka kogute, peavad need vastama piirile, mida partneril palutakse usaldada.
Muutke mure dokumendiks
Paluge kinnitajal sõnastada nõue ühe lausega ja nimetage seejärel dokument, mis selle rahuldaks. Just ebamäärane rahustamine muudab need vestlused ideoloogia vaidluseks.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework on siin kasulik ühel kitsal põhjusel: see raamistab hankevestlused ühise tavade ja tarnijasuhtluse sõnavara ümber. See toetab kindlate tõendite nõudmist sildi üle vaidlemise asemel ja ei ole sertifikaat, mille ükski konkreetne VPN läbib.
Pange tähele, mida keskmine veerg teeb. Iga rida nõuab dokumenti, mis kas on olemas või mitte, mis muudab arvamuse tulemuseks, mille keegi saab esitada või tagasi lükata.
Eraldage klient teenusest
Kliendirakenduse tugileping ei ole kohustus serveri suhtes, kuhu teie liiklus jõuab. Enne tõendite esitamist märkige, milliseid teeosi haldab partner ja milliseid haldate teie tema nimel. Mõlema segamine loob dokumendipaketi, mis tundub põhjalik ja ei vasta millelegi.
Kui juurutus on teie oma, võib partneril olla vaja usaldada ainult identiteeti ja juurdepääsureeglit, mis on palju väiksem palve kui usaldada kogu teie tarkvara tarneahelat. Kui juurutus on tema oma, võib teie eelistatud klient olla asjakohatu ja teemaks saab lüüsi seadistus. Enne teist kohtumist selgitamine, millises olukorras olete, säästab ühe ülevaatustsükli.
Seejärel kontrollige operatiivseid küsimusi, mille juures ülevaatused tegelikult läbi kukuvad: kes konto eemaldab, kui kiiresti ja millised tõendid jäävad pärast alles. Ilusasti dokumenteeritud hindamine ilma eemaldamisprotseduurita on endiselt lahtine tähelepanek.
Lõpetage otsusega, mitte vaidlusega
Lõpetage vahetus kirjaliku tulemusega: vastuvõetud versioon, sellega seotud kontrollid, nimetatud operaatorid, veel puuduvad tõendid ja tähtaeg, milleks need esitada tuleb. Kõik lahendamata tuleks kirja panna tingimusena, mitte neelata üldisesse kinnitusavaldusse.
Kui poliitika nimetab konkreetse heakskiidetud toote, kasutage eranditeed, mitte ehitage paralleelset korda, mida keegi ei volitanud. Veenev tehniline argument ei anna luba ja mitteametlik juurutus on tähelepanek, mis ootab avastamist.
Kui nõuet tõesti ei saa täita, liikuge heakskiidetud alternatiivi juurde ja öelge, miks. Harjutuse eesmärk on teha kindlaks, millele organisatsioon saab toetuda, ja selge ei on parem tulemus kui kinnitus, mida hiljem keegi kaitsta ei suuda.