Kodėl atvirojo kodo VPN atmetamas viešuosiuose pirkimuose
Atviram kodui prieštaraujantis vertintojas paprastai gina reikalavimą, o ne licencijos skonį. Paklauskite, kurį, ir pateikite dokumentą, kuris į jį atsako.
Atmetimai, kuriuose minimas atvirasis kodas, retai priklauso nuo licencijos. Vertintojas paprastai gina reikalavimą: kad kas nors prižiūrėtų įdiegtą leidimą, kad įdiegtą kompiliaciją būtų galima identifikuoti, kad vertinimas apimtų tai, kas jungiama, arba kad ryšį būtų galima atšaukti. Vėlesnė diskusija paprastai atsako į klausimą, kurio niekas neuždavė.
Prieš gindami licenciją paklauskite, kuris reikalavimas taikomas. Atsakymas nulemia, kurio dokumento jums reikia.
Etiketė nėra reikalavimas
Skaitomas šaltinio kodas reiškia, kad paskelbtą įgyvendinimą galima patikrinti. Tai nereiškia, kad kas nors jį patikrino, kad kompiliacija tarpinėje atitinka paskelbtąją, arba kad prižiūrėtojas yra skolingas jūsų diegimui pataisą. Kiekvienas iš jų yra atskiras teiginys su atskiru savininku, o vertintojas, kuriam reikia vieno iš jų, nebus patenkintas kitais. Teiginį ištarti garsiai paprastai pakanka pokalbiui pakeisti.
Priešinga klaida taip pat dažna. Komercinė licencija neįrodo, kad palaikymas apima funkciją, kuria pasitikite, kad vertinimas ištyrė komponentą, kurį diegiate, arba kad tiekėjas atsiųs pataisą per jūsų priežiūros langą. Licencijavimas aprašo platinimo sąlygas, o pirkimo sprendimai susiję su pasitikėjimu. Abiem atvejais licencija yra mažiausiai informatyvi atsakymo dalis.
Klientą ir paslaugą taip pat laikykite atskirai. Darbalaukio kliento auditas nieko nesako apie partnerio tarpinės konfigūraciją, jo tapatybės teikėją ar tai, kaip jo operatoriai tvarko paskyrų šalinimą. Kokius bebūtų surinktus įrodymus, jie turi atitikti ribą, kurios prašoma patikėti partneriui.
Paverskite susirūpinimą dokumentu
Paprašykite tvirtinančiojo vienu sakiniu suformuluoti reikalavimą, tada įvardykite dokumentą, kuris jį patenkins. Būtent neaiškus nuraminimas šiuos pokalbius paverčia ideologijos ginču.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework čia naudingas dėl vienos siauros priežasties: jis įrėmina pirkimo pokalbius bendru praktikų ir tiekėjų komunikacijos žodynu. Tai padeda prašyti apibrėžtų įrodymų, o ne ginčytis dėl etiketės, ir tai nėra sertifikatas, kurį praeitų kokia nors konkreti VPN.
Atkreipkite dėmesį, ką daro vidurinė skiltis. Kiekviena eilutė prašo dokumento, kuris arba egzistuoja, arba ne, ir tai nuomonę paverčia rezultatu, kurį kas nors gali pateikti arba atmesti.
Atskirkite klientą nuo paslaugos
Kliento programos palaikymo sutartis nėra įsipareigojimas dėl serverio, kurį pasiekia jūsų srautas. Prieš pateikdami įrodymus pažymėkite, kurias kelio dalis valdo partneris, o kurias jūs valdote jo vardu. Sumaišius abu, gaunamas dokumentų paketas, kuris atrodo išsamus ir į nieką neatsako.
Jei diegimas jūsų, partneriui gali reikėti pasitikėti tik tapatybe ir prieigos taisykle, o tai daug mažesnis prašymas nei pasitikėti visa jūsų programinės įrangos tiekimo grandine. Jei diegimas jo, jūsų mėgstamas klientas gali būti nesvarbus, o tarpinės konfigūracija tampa tema. Išsiaiškinti, kuris atvejis, prieš antrą susitikimą sutaupo vieną peržiūros ciklą.
Tada patikrinkite operacinius klausimus, dėl kurių peržiūros iš tikrųjų žlunga: kas pašalina paskyrą, kaip greitai ir kokie įrodymai lieka po to. Gražiai su dokumentuotas vertinimas be šalinimo procedūros vis dar yra atviras radinys.
Baikite sprendimu, o ne ginču
Užbaikite pasikeitimą rašytiniu rezultatu: priimta versija, su ja susietos kontrolės priemonės, įvardyti operatoriai, dar trūkstami įrodymai ir data, iki kurios jie turi būti pateikti. Viskas neišspręsta turėtų būti užfiksuota kaip sąlyga, o ne sugerta į bendrą patvirtinimo pareiškimą.
Jei politika įvardija konkretų patvirtintą produktą, naudokitės išimties keliu, o ne statykite lygiagretų susitarimą, kurio niekas neįgaliojo. Įtikinamas techninis argumentas nesuteikia leidimo, o neoficialus diegimas yra radinys, laukiantis atradimo.
Jei reikalavimo tikrai neįmanoma įvykdyti, pereikite prie patvirtintos alternatyvos ir pasakykite kodėl. Šio pratimo tikslas yra nustatyti, kuo organizacija gali pasikliauti, ir aiškus ne yra geresnis rezultatas nei patvirtinimas, kurio vėliau niekas negalės apginti.