Hvers vegna er hafnað VPN með opnum kóða í innkaupum
Gagnrýnandi sem andmælir opnum kóða verndar yfirleitt kröfu, ekki bragð af leyfi. Spurðu hverrar, og framleiddu síðan skjalið sem svarar henni.
Höfnun sem vísar í opinn kóða snýst sjaldan um leyfisveitingu. Gagnrýnandinn verndar yfirleitt kröfu: að einhver viðhaldi útgáfunni sem er sett upp, að hægt sé að bera kennsl á uppsettu bygginguna, að mat nái yfir það sem er tengt, eða að hægt sé að afturkalla tenginguna. Umræðan sem fylgir svarar yfirleitt spurningu sem enginn lagði fram.
Spurðu hvaða krafa á við áður en þú verjar leyfi. Svarið ræður því hvaða skjal þú þarft.
Merkið er ekki krafan
Læsilegur frumkóði þýðir að hægt er að skoða birta útfærslu. Það þýðir ekki að einhver hafi skoðað hana, að byggingin á gáttinni standist þá birtu, eða að viðhaldsaðili skuldi uppsetningunni þinni leiðréttingu. Hvert þessara er sérstök fullyrðing með sérstökum eiganda, og gagnrýnandi sem þarf eina þeirra verður ekki sáttur við hinar. Að nefna fullyrðinguna upphátt er yfirleitt nóg til að breyta samtalinu.
Hin andstæða mistök eru jafn algeng. Viðskiptaleyfi sannar ekki að stuðningur nái yfir eiginleikann sem þú treystir á, að mat hafi skoðað íhlutinn sem þú setur upp, eða að seljandinn sendi leiðréttingu innan viðhaldsgluggans þíns. Leyfisveiting lýsir dreifingarskilmálum, en innkaupaákvarðanir snúast um traust. Í báðum tilvikum er leyfið minnst upplýsandi hluti svarsins.
Haltu biðlaranum og þjónustunni einnig aðskildum. Endurskoðun á skjáborðsbiðlara segir ekkert um gáttarstillingu samstarfsaðilans, auðkennisveitanda hans eða hvernig rekstraraðilar hans meðhöndla eyðingu reikninga. Hvaða sönnunargögn sem þú safnar verða að passa við þau mörk sem beðið er um að samstarfsaðilinn treysti.
Gerðu áhyggjurnar að skjali
Biddu samþykkjandann að orða kröfuna í einni setningu og nefndu síðan skjalið sem myndi uppfylla hana. Það er óljós fullvissun sem gerir þessi samtöl að deilu um hugmyndafræði.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework er gagnlegt hér af einni þröngri ástæðu: það rammar innkaupasamtöl inn í sameiginlegt orðfæri um vinnubrögð og samskipti við birgja. Það styður að biðja um skýr sönnunargögn í stað þess að deila um merki, og það er ekki vottun sem tiltekið VPN stenst.
Taktu eftir því hvað miðdálkurinn gerir. Hver röð biður um skjal sem annaðhvort er til eða ekki, sem breytir skoðun í afhendingu sem einhver getur framleitt eða hafnað.
Aðskildu biðlarann frá þjónustunni
Stuðningssamningur fyrir biðlaraforrit er ekki skuldbinding um þjóninn sem umferðin þín nær til. Áður en þú leggur fram sönnunargögn skaltu merkja hvaða hluta leiðarinnar samstarfsaðilinn rekur og hvaða hluta þú rekur fyrir hans hönd. Að blanda þessu tvennu framleiðir skjalapakka sem virðist ítarlegur og svarar engu.
Ef uppsetningin er þín gæti samstarfsaðilinn þurft að treysta aðeins auðkenni og aðgangsreglu, sem er mun minni beiðni en að treysta allri hugbúnaðarafhendingarkeðjunni þinni. Ef uppsetningin er hans gæti biðlarinn sem þú vilt vera óviðkomandi og gáttarstillingin verður málið. Að komast að því hvoru tilvikinu þú ert í fyrir seinni fund sparar eina endurskoðunarlotu.
Athugaðu síðan rekstrarspurningarnar sem endurskoðendur mistakast í raun á: hver eyðir reikningi, hve hratt, og hvaða sönnunargögn liggja fyrir eftir á. Fallega skjalfest mat án eyðingarferlis er enn opin athugasemd.
Ljúktu með ákvörðun, ekki deilu
Ljúktu samtalinu með skriflegri niðurstöðu: útgáfan sem samþykkt er, stýringarnar sem henni fylgja, nafngreindir rekstraraðilar, sönnunargögnin sem enn vantar og dagsetningin sem þau eru á gjalddaga. Allt óútkljáð á að skrá sem skilyrði frekar en að gleypa það í almenna samþykkisyfirlýsingu.
Ef stefnan nefnir tiltekið samþykkt vöru, notaðu undantekningarleiðina í stað þess að byggja samhliða fyrirkomulag sem enginn heimilaði. Sannfærandi tæknileg rök veita ekki leyfi, og óformleg uppsetning er athugasemd sem bíður þess að verða uppgötvuð.
Ef krafa er í raun ekki hægt að uppfylla, farðu yfir í samþykktu leiðina og segðu hvers vegna. Tilgangur æfingarinnar er að ákvarða hvað stofnunin getur treyst á, og skýrt nei er betri niðurstaða en samþykki sem enginn getur varið síðar.