ਖਰੀਦ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਓਪਨ ਸੋਰਸ VPN ਕਿਉਂ ਅਸਵੀਕਾਰ ਹੁੰਦਾ ਹੈ
ਓਪਨ ਸੋਰਸ ਦਾ ਵਿਰੋਧ ਕਰਨ ਵਾਲਾ ਸਮੀਖਿਅਕ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਲੋੜ ਦੀ ਰੱਖਿਆ ਕਰਦਾ ਹੈ, ਲਾਇਸੰਸ ਦੀ ਪਸੰਦ ਦੀ ਨਹੀਂ। ਪੁੱਛੋ ਕਿਹੜੀ, ਫਿਰ ਉਸ ਦਾ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਦਸਤਾਵੇਜ਼ ਤਿਆਰ ਕਰੋ।
ਓਪਨ ਸੋਰਸ ਦਾ ਜ਼ਿਕਰ ਕਰਨ ਵਾਲੇ ਇਨਕਾਰ ਘੱਟ ਹੀ ਲਾਇਸੰਸਿੰਗ ਬਾਰੇ ਹੁੰਦੇ ਹਨ। ਸਮੀਖਿਅਕ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਲੋੜ ਦੀ ਰੱਖਿਆ ਕਰਦਾ ਹੈ: ਕਿ ਕੋਈ ਤੈਨਾਤ ਸੰਸਕਰਣ ਦੀ ਸੰਭਾਲ ਕਰੇ, ਕਿ ਸਥਾਪਿਤ ਬਿਲਡ ਪਛਾਣਿਆ ਜਾ ਸਕੇ, ਕਿ ਮੁਲਾਂਕਣ ਉਸ ਚੀਜ਼ ਨੂੰ ਕਵਰ ਕਰੇ ਜੋ ਜੋੜੀ ਜਾ ਰਹੀ ਹੈ, ਜਾਂ ਕਿ ਕਨੈਕਸ਼ਨ ਵਾਪਸ ਲਿਆ ਜਾ ਸਕੇ। ਇਸ ਤੋਂ ਬਾਅਦ ਦੀ ਬਹਿਸ ਆਮ ਤੌਰ 'ਤੇ ਉਸ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ ਜੋ ਕਿਸੇ ਨੇ ਨਹੀਂ ਪੁੱਛਿਆ।
ਲਾਇਸੰਸ ਦੀ ਵਕਾਲਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੁੱਛੋ ਕਿ ਕਿਹੜੀ ਲੋੜ ਲਾਗੂ ਹੁੰਦੀ ਹੈ। ਜਵਾਬ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਤੁਹਾਨੂੰ ਕਿਹੜਾ ਦਸਤਾਵੇਜ਼ ਚਾਹੀਦਾ ਹੈ।
ਲੇਬਲ ਹੀ ਲੋੜ ਨਹੀਂ ਹੈ
ਪੜ੍ਹਨ ਯੋਗ ਸਰੋਤ ਕੋਡ ਦਾ ਅਰਥ ਹੈ ਕਿ ਪ੍ਰਕਾਸ਼ਿਤ ਲਾਗੂਕਰਨ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਇਸ ਦਾ ਅਰਥ ਇਹ ਨਹੀਂ ਕਿ ਕਿਸੇ ਨੇ ਇਸ ਦੀ ਜਾਂਚ ਕੀਤੀ, ਕਿ ਗੇਟਵੇ 'ਤੇ ਬਣਿਆ ਬਿਲਡ ਪ੍ਰਕਾਸ਼ਿਤ ਬਿਲਡ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ, ਜਾਂ ਕਿ ਕੋਈ ਸੰਭਾਲਕਰਤਾ ਤੁਹਾਡੀ ਤੈਨਾਤੀ ਲਈ ਸੁਧਾਰ ਦੇਣਾ ਲਾਜ਼ਮੀ ਹੈ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਵੱਖਰੇ ਮਾਲਕ ਵਾਲਾ ਵੱਖਰਾ ਦਾਅਵਾ ਹੈ, ਅਤੇ ਜਿਸ ਸਮੀਖਿਅਕ ਨੂੰ ਇਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਚਾਹੀਦਾ ਹੈ, ਉਹ ਬਾਕੀ ਨਾਲ ਸੰਤੁਸ਼ਟ ਨਹੀਂ ਹੋਵੇਗਾ। ਦਾਅਵੇ ਨੂੰ ਉੱਚੀ ਆਵਾਜ਼ ਵਿੱਚ ਕਹਿਣਾ ਆਮ ਤੌਰ 'ਤੇ ਗੱਲਬਾਤ ਬਦਲਣ ਲਈ ਕਾਫ਼ੀ ਹੈ।
ਉਲਟੀ ਗਲਤੀ ਵੀ ਓਨੀ ਹੀ ਆਮ ਹੈ। ਵਪਾਰਕ ਲਾਇਸੰਸ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਸਹਾਇਤਾ ਉਸ ਵਿਸ਼ੇਸ਼ਤਾ ਨੂੰ ਕਵਰ ਕਰਦੀ ਹੈ ਜਿਸ 'ਤੇ ਤੁਸੀਂ ਨਿਰਭਰ ਕਰਦੇ ਹੋ, ਕਿ ਕਿਸੇ ਮੁਲਾਂਕਣ ਨੇ ਉਸ ਹਿੱਸੇ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜੋ ਤੁਸੀਂ ਤੈਨਾਤ ਕਰਦੇ ਹੋ, ਜਾਂ ਕਿ ਵਿਕਰੇਤਾ ਤੁਹਾਡੀ ਸੰਭਾਲ ਵਿੰਡੋ ਦੇ ਅੰਦਰ ਸੁਧਾਰ ਭੇਜੇਗਾ। ਲਾਇਸੰਸਿੰਗ ਵੰਡ ਦੀਆਂ ਸ਼ਰਤਾਂ ਦੱਸਦੀ ਹੈ, ਜਦੋਂ ਕਿ ਖਰੀਦ ਦੇ ਫ਼ੈਸਲੇ ਭਰੋਸੇ ਨਾਲ ਸੰਬੰਧਿਤ ਹੁੰਦੇ ਹਨ। ਦੋਹਾਂ ਹਾਲਤਾਂ ਵਿੱਚ ਲਾਇਸੰਸ ਜਵਾਬ ਦਾ ਸਭ ਤੋਂ ਘੱਟ ਜਾਣਕਾਰੀਪੂਰਨ ਹਿੱਸਾ ਹੈ।
ਕਲਾਇੰਟ ਅਤੇ ਸੇਵਾ ਨੂੰ ਵੀ ਵੱਖਰਾ ਰੱਖੋ। ਡੈਸਕਟਾਪ ਕਲਾਇੰਟ ਦਾ ਆਡਿਟ ਸਾਥੀ ਦੇ ਗੇਟਵੇ ਸੰਰਚਨਾ, ਉਸ ਦੇ ਪਛਾਣ ਪ੍ਰਦਾਤਾ ਜਾਂ ਉਸ ਦੇ ਆਪਰੇਟਰਾਂ ਵੱਲੋਂ ਖਾਤੇ ਹਟਾਉਣ ਦੇ ਤਰੀਕੇ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦਾ। ਤੁਸੀਂ ਜੋ ਵੀ ਸਬੂਤ ਇਕੱਠਾ ਕਰੋ, ਉਹ ਉਸ ਹੱਦ ਨਾਲ ਮੇਲ ਖਾਣਾ ਚਾਹੀਦਾ ਹੈ ਜਿਸ 'ਤੇ ਸਾਥੀ ਨੂੰ ਭਰੋਸਾ ਕਰਨ ਲਈ ਕਿਹਾ ਜਾ ਰਿਹਾ ਹੈ।
ਚਿੰਤਾ ਨੂੰ ਦਸਤਾਵੇਜ਼ ਬਣਾਓ
ਮਨਜ਼ੂਰੀ ਦੇਣ ਵਾਲੇ ਨੂੰ ਲੋੜ ਇੱਕ ਵਾਕ ਵਿੱਚ ਕਹਿਣ ਲਈ ਕਹੋ, ਫਿਰ ਉਸ ਦਸਤਾਵੇਜ਼ ਦਾ ਨਾਮ ਦੱਸੋ ਜੋ ਉਹ ਪੂਰਾ ਕਰੇਗਾ। ਅਸਪਸ਼ਟ ਭਰੋਸਾ ਹੀ ਇਹਨਾਂ ਗੱਲਬਾਤਾਂ ਨੂੰ ਵਿਚਾਰਧਾਰਾ ਦੀ ਬਹਿਸ ਬਣਾਉਂਦਾ ਹੈ।
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework ਇੱਥੇ ਇੱਕ ਤੰਗ ਕਾਰਨ ਕਰਕੇ ਲਾਭਦਾਇਕ ਹੈ: ਇਹ ਖਰੀਦ ਦੀਆਂ ਗੱਲਬਾਤਾਂ ਨੂੰ ਅਭਿਆਸਾਂ ਅਤੇ ਸਪਲਾਇਰ ਸੰਚਾਰ ਦੀ ਸਾਂਝੀ ਸ਼ਬਦਾਵਲੀ ਦੁਆਲੇ ਢਾਂਚਾ ਦਿੰਦਾ ਹੈ। ਇਹ ਲੇਬਲ ਬਾਰੇ ਬਹਿਸ ਕਰਨ ਦੀ ਬਜਾਏ ਨਿਰਧਾਰਤ ਸਬੂਤ ਮੰਗਣ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹ ਅਜਿਹਾ ਪ੍ਰਮਾਣਪੱਤਰ ਨਹੀਂ ਜੋ ਕੋਈ ਖ਼ਾਸ VPN ਪਾਸ ਕਰਦਾ ਹੋਵੇ।
ਵਿਚਕਾਰਲਾ ਕਾਲਮ ਕੀ ਕਰਦਾ ਹੈ, ਧਿਆਨ ਦਿਓ। ਹਰ ਕਤਾਰ ਅਜਿਹਾ ਦਸਤਾਵੇਜ਼ ਮੰਗਦੀ ਹੈ ਜੋ ਜਾਂ ਤਾਂ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਇਹ ਰਾਏ ਨੂੰ ਅਜਿਹੀ ਡਿਲੀਵਰੀ ਵਿੱਚ ਬਦਲ ਦਿੰਦਾ ਹੈ ਜੋ ਕੋਈ ਬਣਾ ਜਾਂ ਮਨ੍ਹਾ ਕਰ ਸਕਦਾ ਹੈ।
ਕਲਾਇੰਟ ਅਤੇ ਸੇਵਾ ਨੂੰ ਵੱਖਰਾ ਰੱਖੋ
ਕਲਾਇੰਟ ਐਪਲੀਕੇਸ਼ਨ ਲਈ ਸਹਾਇਤਾ ਸਮਝੌਤਾ ਉਸ ਸਰਵਰ ਬਾਰੇ ਵਚਨਬੱਧਤਾ ਨਹੀਂ ਹੈ ਜਿੱਥੇ ਤੁਹਾਡਾ ਟ੍ਰੈਫਿਕ ਪਹੁੰਚਦਾ ਹੈ। ਸਬੂਤ ਪੇਸ਼ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਨਿਸ਼ਾਨ ਲਗਾਓ ਕਿ ਰਾਹ ਦੇ ਕਿਹੜੇ ਹਿੱਸੇ ਸਾਥੀ ਚਲਾਉਂਦਾ ਹੈ ਅਤੇ ਕਿਹੜੇ ਹਿੱਸੇ ਤੁਸੀਂ ਉਸ ਦੀ ਤਰਫ਼ੋਂ ਚਲਾਉਂਦੇ ਹੋ। ਦੋਵੇਂ ਮਿਲਾਉਣ ਨਾਲ ਅਜਿਹਾ ਦਸਤਾਵੇਜ਼ ਪੈਕੇਟ ਬਣਦਾ ਹੈ ਜੋ ਡੂੰਘਾ ਦਿਸਦਾ ਹੈ ਪਰ ਕਿਸੇ ਗੱਲ ਦਾ ਜਵਾਬ ਨਹੀਂ ਦਿੰਦਾ।
ਜੇ ਤੈਨਾਤੀ ਤੁਹਾਡੀ ਹੈ, ਤਾਂ ਸਾਥੀ ਨੂੰ ਸ਼ਾਇਦ ਸਿਰਫ਼ ਇੱਕ ਪਛਾਣ ਅਤੇ ਇੱਕ ਪਹੁੰਚ ਨਿਯਮ 'ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਪਵੇ, ਜੋ ਤੁਹਾਡੀ ਪੂਰੀ ਸਾਫ਼ਟਵੇਅਰ ਸਪਲਾਈ ਚੇਨ 'ਤੇ ਭਰੋਸਾ ਕਰਨ ਨਾਲੋਂ ਬਹੁਤ ਛੋਟੀ ਮੰਗ ਹੈ। ਜੇ ਤੈਨਾਤੀ ਉਸ ਦੀ ਹੈ, ਤਾਂ ਤੁਹਾਡਾ ਪਸੰਦੀਦਾ ਕਲਾਇੰਟ ਅਪ੍ਰਸੰਗਿਕ ਹੋ ਸਕਦਾ ਹੈ ਅਤੇ ਗੇਟਵੇ ਸੰਰਚਨਾ ਹੀ ਵਿਸ਼ਾ ਬਣ ਜਾਂਦੀ ਹੈ। ਦੂਜੀ ਮੀਟਿੰਗ ਤੋਂ ਪਹਿਲਾਂ ਇਹ ਤੈਅ ਕਰਨਾ ਕਿ ਤੁਸੀਂ ਕਿਸ ਹਾਲਤ ਵਿੱਚ ਹੋ, ਇੱਕ ਸਮੀਖਿਆ ਚੱਕਰ ਬਚਾਉਂਦਾ ਹੈ।
ਫਿਰ ਉਹ ਕਾਰਜਕਾਰੀ ਸਵਾਲ ਵੇਖੋ ਜਿਹਨਾਂ 'ਤੇ ਸਮੀਖਿਆਵਾਂ ਅਸਲ ਵਿੱਚ ਫੇਲ੍ਹ ਹੁੰਦੀਆਂ ਹਨ: ਕੌਣ ਖਾਤਾ ਹਟਾਉਂਦਾ ਹੈ, ਕਿੰਨੀ ਜਲਦੀ, ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਕੀ ਸਬੂਤ ਮਿਲਦਾ ਹੈ। ਹਟਾਉਣ ਦੀ ਪ੍ਰਕਿਰਿਆ ਤੋਂ ਬਿਨਾਂ ਸੋਹਣੇ ਢੰਗ ਨਾਲ ਦਸਤਾਵੇਜ਼ਬੱਧ ਮੁਲਾਂਕਣ ਵੀ ਖੁੱਲ੍ਹੀ ਖੋਜ ਹੀ ਰਹਿੰਦਾ ਹੈ।
ਬਹਿਸ ਨਾਲ ਨਹੀਂ, ਫ਼ੈਸਲੇ ਨਾਲ ਖਤਮ ਕਰੋ
ਅਦਾਨ-ਪ੍ਰਦਾਨ ਨੂੰ ਲਿਖਤੀ ਨਤੀਜੇ ਨਾਲ ਖਤਮ ਕਰੋ: ਸਵੀਕਾਰਿਆ ਸੰਸਕਰਣ, ਉਸ ਨਾਲ ਜੁੜੇ ਨਿਯੰਤਰਣ, ਨਾਮਜ਼ਦ ਆਪਰੇਟਰ, ਅਜੇ ਬਾਕੀ ਸਬੂਤ ਅਤੇ ਉਹ ਮਿਤੀ ਜਿਸ ਤੱਕ ਉਹ ਦੇਣੇ ਹਨ। ਕੋਈ ਵੀ ਅਣਸੁਲਝੀ ਗੱਲ ਨੂੰ ਆਮ ਮਨਜ਼ੂਰੀ ਦੇ ਬਿਆਨ ਵਿੱਚ ਸਮਾਉਣ ਦੀ ਬਜਾਏ ਸ਼ਰਤ ਵਜੋਂ ਦਰਜ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।
ਜੇ ਨੀਤੀ ਕਿਸੇ ਖ਼ਾਸ ਮਨਜ਼ੂਰ ਉਤਪਾਦ ਦਾ ਨਾਮ ਲੈਂਦੀ ਹੈ, ਤਾਂ ਕਿਸੇ ਨੇ ਅਧਿਕਾਰ ਨਾ ਦਿੱਤੀ ਸਮਾਨਾਂਤਰ ਵਿਵਸਥਾ ਬਣਾਉਣ ਦੀ ਬਜਾਏ ਅਪਵਾਦ ਮਾਰਗ ਵਰਤੋ। ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਤਕਨੀਕੀ ਦਲੀਲ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦੀ, ਅਤੇ ਗੈਰ-ਸਰਕਾਰੀ ਤੈਨਾਤੀ ਉਹ ਖੋਜ ਹੈ ਜੋ ਲੱਭੇ ਜਾਣ ਦੀ ਉਡੀਕ ਵਿੱਚ ਹੈ।
ਜੇ ਕੋਈ ਲੋੜ ਸੱਚਮੁੱਚ ਪੂਰੀ ਨਹੀਂ ਹੋ ਸਕਦੀ, ਤਾਂ ਮਨਜ਼ੂਰ ਵਿਕਲਪ 'ਤੇ ਜਾਓ ਅਤੇ ਦੱਸੋ ਕਿਉਂ। ਇਸ ਅਭਿਆਸ ਦਾ ਮਕਸਦ ਇਹ ਤੈਅ ਕਰਨਾ ਹੈ ਕਿ ਸੰਸਥਾ ਕਿਸ 'ਤੇ ਭਰੋਸਾ ਕਰ ਸਕਦੀ ਹੈ, ਅਤੇ ਸਪਸ਼ਟ ਨਾਂਹ ਉਸ ਮਨਜ਼ੂਰੀ ਨਾਲੋਂ ਬਿਹਤਰ ਨਤੀਜਾ ਹੈ ਜਿਸ ਨੂੰ ਬਾਅਦ ਵਿੱਚ ਕੋਈ ਬਚਾ ਨਹੀਂ ਸਕੇਗਾ।