Prečo je VPN s otvoreným zdrojovým kódom odmietnutá v obstarávaní
Recenzent, ktorý namieta proti otvorenému zdroju, zvyčajne chráni požiadavku, nie vkus v licenciách. Spýtajte sa ktorú, a potom predložte dokument, ktorý na ňu odpovedá.
Odmietnutia, ktoré sa odvolávajú na otvorený zdroj, sa málokedy týkajú licencovania. Recenzent zvyčajne chráni požiadavku: aby niekto udržiaval nasadené vydanie, aby bolo možné identifikovať nainštalovaný build, aby posúdenie pokrylo to, čo sa pripája, alebo aby bolo možné spojenie odvolať. Nasledujúca diskusia zvyčajne odpovedá na otázku, ktorú nikto nepoložil.
Skôr než začnete obhajovať licenciu, spýtajte sa, ktorá požiadavka platí. Odpoveď určuje, ktorý dokument potrebujete.
Označenie nie je požiadavka
Čitateľný zdrojový kód znamená, že publikovanú implementáciu možno skontrolovať. Neznamená to, že ju niekto skontroloval, že build na bráne zodpovedá publikovanému alebo že vám správca dlhuje opravu nasadenia. Každé z toho je samostatné tvrdenie so samostatným vlastníkom a recenzenta, ktorý potrebuje jedno z nich, ostatné neuspokoja. Vysloviť tvrdenie nahlas zvyčajne stačí na zmenu rozhovoru.
Opačná chyba je rovnako častá. Komerčná licencia nepreukazuje, že podpora pokrýva funkciu, na ktorú sa spoliehate, že posúdenie preskúmalo komponent, ktorý nasadzujete, alebo že dodávateľ dodá opravu v rámci vášho servisného okna. Licencovanie opisuje podmienky distribúcie, zatiaľ čo rozhodnutia o nákupe sa týkajú spoľahlivosti. V oboch prípadoch je licencia najmenej informatívnou časťou odpovede.
Klienta a službu držte oddelene. Audit klientskej aplikácie pre počítač nič nehovorí o konfigurácii brány partnera, jeho poskytovateľovi identity ani o tom, ako jeho operátori riešia odstraňovanie účtov. Akékoľvek dôkazy, ktoré zhromaždíte, musia zodpovedať hranici, ktorej má partner dôverovať.
Premente obavu na dokument
Požiadajte schvaľovateľa, aby požiadavku vyjadril jednou vetou, a potom pomenujte dokument, ktorý by ju splnil. Práve nejasné uistenie mení tieto rozhovory na debatu o ideológii.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework je tu užitočný z jedného úzkeho dôvodu: rámuje nákupné rozhovory okolo spoločného slovníka postupov a komunikácie s dodávateľmi. Podporuje to žiadosť o definované dôkazy namiesto hádky o označenie, a nie je to certifikácia, ktorú by prešla akákoľvek konkrétna VPN.
Všimnite si, čo robí stredný stĺpec. Každý riadok žiada dokument, ktorý buď existuje, alebo nie, čo mení názor na výstup, ktorý niekto môže predložiť alebo odmietnuť.
Oddeľte klienta od služby
Zmluva o podpore klientskej aplikácie nie je záväzkom ohľadne servera, ku ktorému sa váš provoz dostane. Skôr než predložíte dôkazy, označte, ktoré časti cesty prevádzkuje partner a ktoré prevádzkujete vy v jeho mene. Miešanie oboch vytvára balík dokumentov, ktorý vyzerá dôkladne a nič neodpovedá.
Ak je nasadenie vaše, partner možno potrebuje dôverovať len identite a pravidlu prístupu, čo je oveľa menšia žiadosť než dôverovať celému vášmu dodávateľskému reťazcu softvéru. Ak je nasadenie jeho, klient, ktorého uprednostňujete, môže byť irelevantný a témou sa stane konfigurácia brány. Určiť, v ktorom prípade ste, pred druhým stretnutím ušetrí jeden cyklus posudzovania.
Potom skontrolujte prevádzkové otázky, na ktorých posúdenia skutočne zlyhávajú: kto účet odstráni, ako rýchlo a aké dôkazy potom existujú. Krásne zdokumentované posúdenie bez postupu odstránenia je stále otvorené zistenie.
Ukončite to rozhodnutím, nie debatou
Ukončite výmenu písomným výsledkom: prijatá verzia, s ňou spojené kontroly, menovaní operátori, dôkazy, ktoré stále chýbajú, a dátum, dokedy majú byť dodané. Čokoľvek nevyriešené sa má zaznamenať ako podmienka, namiesto toho, aby sa vstrebali do všeobecného vyhlásenia o schválení.
Ak zásada menuje konkrétny schválený produkt, použite cestu výnimky namiesto budovania paralelného usporiadania, ktoré nikto neschválil. Presvedčivý technický argument neudeľuje povolenie a neoficiálne nasadenie je zistenie čakajúce na odhalenie.
Ak požiadavku skutočne nemožno splniť, prejdite na schválenú alternatívu a povedzte prečo. Cieľom cvičenia je určiť, na čo sa organizácia môže spoľahnúť, a jasné nie je lepší výsledok než schválenie, ktoré neskôr nikto neobháji.