Drošības politikas lapa nav atklāšanas process

Katram nopietnam projektam ir drošības lapa, un lapa ir lēta. Noderīgais jautājums ir, vai pa dokumentēto kanālu nosūtīts ziņojums dod labotu laidienu, ko parastie lietotāji var instalēt. Tam vajadzīgi četri pierādījumi viena apgalvojuma vietā, un visi ir pārbaudāmi no ārpuses, neko neizpētot. Neviens no tiem neprasa testu pret kāda cita serveri. Visi ietilpst vienā lapā ar piezīmēm.

Atrodiet kanālu un pārbaudiet, vai tas pastāv

Sāciet ar dokumentēto ceļu: drošības politikas lapa, īpaša adrese vai fails /.well-known/security.txt, kura lauks Contact ir definēts RFC 9116.

Pēc tam lasiet tvēruma rindkopu, nevis draudzīgo ievadu. Kuri produkti ir ietverti, kuras versijas un kādu attieksmi projekts prasa?

Kanāls, kas pieder citam projektam vai mitināšanas pakalpojumu sniedzējam, nevis uzturētājam, nav atklāšanas process vērtējamajai programmatūrai.

Publisks sekotājs vai privāts kanāls

Parastie defekti pieder publiskam sekotājam un gūst no tā labumu. Ziņojums ar izmantojamu detaļu ne, un tā publiska iesniegšana atklāj lietotājus, kamēr uzturētājs to vēl lasa.

Projekts, kas piedāvā tikai publisku sekotāju, nav nodrošinājis atklāšanas kanālu, lai ko teiktu tā dokumentācija.

Nekas no tā neļauj testēt sistēmas, kas jums nepieder. Ziņošanas adrese ir uzaicinājums sūtīt informāciju, nevis atļauja pētīt nesaistītus publiskus serverus.

Izsekojiet vienam labojumam no sākuma līdz beigām

Izvēlieties agrāku paziņojumu un izsekojiet tam: vai tas nosauc skartās versijas un laidienu, kas tās labo, un vai lietotājs tiešām var instalēt šo laidienu?

Šī pēda ir atšķirība starp apstiprinājumu un remontu. Pieklājīga atbilde, kas nekad neizdod versiju, ir sabiedrisko attiecību rezultāts. Īss paziņojums ar versijas numuru un lejupielādes saiti ir strādājošs process. Labs paziņojums ātri atbild uz četrām lietām: kas skarts, kāda ir ietekme, kura versija to labo un kur to iegūt.

Laidienu vēsture piepilda pārējo. Regulāri laidieni ar skaidrām piezīmēm liecina par projektu, kas spēj piegādāt labojumu, un tas ir svarīgāk par daiļrunīgu politiku.

Klienta uzturētājs vai pakalpojuma operators

VPN gadījumā cilvēki, kas raksta klientu, un cilvēki, kas pārvalda vārteju, bieži ir dažādas organizācijas. Klienta koda problēma un servera izvietošanas kļūda prasa dažādus saņēmējus.

Pirms nosūtīšanas izlemiet, uz kuru no abiem attiecas jūsu atradums, jo novirzīšana nepareizajai pusei parasti beidzas ar klusumu, nevis atgriešanu.

Ko pierāda neesamība un ko ne

Tukšs paziņojumu saraksts nepierāda, ka produktam nav defektu. Tas var nozīmēt jaunu projektu, mazu virsmu vai to, ka neviens neskatās.

Tāpat arī trūkstoša politikas lapa nav ļaunas gribas pierādījums. Tā ir pierādījums, ka jūs nevarat pārbaudīt procesu, un tas ir godīgais secinājums, kas jāpieraksta.

Ko pierakstīt

Pierakstiet četrus faktus: kontaktu, ko varat pārbaudīt, tvērumu, kas aptver jūsu versiju, paziņojumus, kas nosauc labotos laidienus, un laidienu vēsturi, kas parāda, ka labojumi iznāk.

Pēc tam atzīmējiet, kas paliek nezināms. Apskats, kas to pasaka, ir noderīgāks par to, kas trūkstošu politiku pārvērš drošības apgalvojumā.