Kāpēc atvērtā pirmkoda VPN tiek noraidīts iepirkumā
Recenzents, kurš iebilst pret atvērto pirmkodu, parasti aizsargā prasību, nevis licences gaumi. Jautājiet, kuru, un pēc tam sagatavojiet dokumentu, kas uz to atbild.
Noraidījumi, kuros minēts atvērtais pirmkods, reti ir par licencēšanu. Recenzents parasti aizsargā prasību: ka kāds uztur izvietoto laidienu, ka instalēto būvējumu var identificēt, ka novērtējums aptver to, kas tiek savienots, vai ka savienojumu var atsaukt. Sekojošās debates parasti atbild uz jautājumu, ko neviens nav uzdevis.
Pirms aizstāvat licenci, jautājiet, kura prasība ir spēkā. Atbilde nosaka, kurš dokuments jums nepieciešams.
Etiķete nav prasība
Lasāms pirmkods nozīmē, ka publicēto ieviešanu var pārbaudīt. Tas nenozīmē, ka kāds to pārbaudīja, ka būvējums uz vārtejas atbilst publicētajam vai ka uzturētājs ir parādā jūsu izvietojumam labojumu. Katrs no tiem ir atsevišķs apgalvojums ar atsevišķu īpašnieku, un recenzents, kuram vajag vienu no tiem, netiks apmierināts ar pārējiem. Apgalvojuma skaļa nosaukšana parasti ir pietiekama, lai mainītu sarunu.
Pretējā kļūda ir tikpat izplatīta. Komerciāla licence nepierāda, ka atbalsts aptver funkciju, uz kuru jūs paļaujaties, ka novērtējums ir izpētījis komponentu, kuru izvietojat, vai ka piegādātājs nosūtīs labojumu jūsu apkopes logā. Licencēšana apraksta izplatīšanas nosacījumus, savukārt iepirkuma lēmumi attiecas uz uzticēšanos. Abos gadījumos licence ir vismazāk informatīvā atbildes daļa.
Turiet atsevišķi arī klientu un pakalpojumu. Darbvirsmas klienta audits neko neizsaka par partnera vārtejas konfigurāciju, tā identitātes nodrošinātāju vai veidu, kā tā operatori apstrādā kontu dzēšanu. Jebkuri savāktie pierādījumi ir jāsaskaņo ar robežu, kas partnerim tiek lūgts uzticēt.
Pārvērtiet bažas dokumentā
Lūdziet apstiprinātājam vienā teikumā formulēt prasību, pēc tam nosauciet dokumentu, kas to apmierinātu. Tieši neskaidra nomierināšana pārvērš šīs sarunas ideoloģijas strīdā.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework šeit ir noderīgs viena šaura iemesla dēļ: tas iekļauj iepirkuma sarunas kopējā prakšu un piegādātāju komunikācijas vārdnīcā. Tas atbalsta prasību pēc noteiktiem pierādījumiem, nevis strīdu par etiķeti, un tas nav sertifikāts, ko izietu kāds konkrēts VPN.
Ievērojiet, ko dara vidējā kolonna. Katra rinda pieprasa dokumentu, kas vai nu pastāv, vai ne, un tas pārvērš viedokli rezultātā, ko kāds var sagatavot vai atteikt.
Atdaliet klientu no pakalpojuma
Klienta lietotnes atbalsta līgums nav saistības par serveri, kuru sasniedz jūsu trafiks. Pirms pierādījumu iesniegšanas atzīmējiet, kuras ceļa daļas pārvalda partneris un kuras jūs pārvaldāt viņa vārdā. Abu sajaukšana rada dokumentu paketi, kas izskatās rūpīga un neatbild ne uz ko.
Ja izvietojums ir jūsu, partnerim var būt jāuzticas tikai identitātei un piekļuves noteikumam, kas ir daudz mazāks lūgums nekā uzticēties visai jūsu programmatūras piegādes ķēdei. Ja izvietojums ir viņa, jūsu vēlamais klients var būt nebūtisks, un par tēmu kļūst vārtejas konfigurācija. Noskaidrošana, kurā gadījumā jūs esat, pirms otrās sanāksmes ietaupa vienu pārskatīšanas ciklu.
Pēc tam pārbaudiet operatīvos jautājumus, kuros pārskatīšana patiešām neizdodas: kas dzēš kontu, cik ātri un kādi pierādījumi paliek pēc tam. Skaisti dokumentēts novērtējums bez dzēšanas procedūras joprojām ir atklāts konstatējums.
Beidziet ar lēmumu, nevis strīdu
Pabeidziet apmaiņu ar rakstisku rezultātu: pieņemtā versija, ar to saistītās kontroles, nosauktie operatori, vēl trūkstošie pierādījumi un datums, līdz kuram tie jāiesniedz. Viss neatrisinātais ir jāreģistrē kā nosacījums, nevis jāiekļauj vispārīgā apstiprinājuma paziņojumā.
Ja politika nosauc konkrētu apstiprinātu produktu, izmantojiet izņēmuma ceļu, nevis veidojiet paralēlu vienošanos, ko neviens nav pilnvarojis. Pārliecinošs tehnisks arguments nedod atļauju, un neoficiāls izvietojums ir konstatējums, kas gaida atklāšanu.
Ja prasību patiešām nav iespējams izpildīt, pārejiet uz apstiprināto alternatīvu un sakiet, kāpēc. Šī vingrinājuma mērķis ir noteikt, uz ko organizācija var paļauties, un skaidrs nē ir labāks rezultāts nekā apstiprinājums, ko vēlāk neviens nevar aizstāvēt.