Zakaj je VPN z odprto kodo zavrnjen pri javnem naročanju
Recenzent, ki nasprotuje odprti kodi, običajno varuje zahtevo, ne okusa po licencah. Vprašajte katero, in nato pripravite dokument, ki nanjo odgovori.
Zavrnitve, ki omenjajo odprto kodo, se redko nanašajo na licenciranje. Recenzent običajno varuje zahtevo: da nekdo vzdržuje nameščeno izdajo, da je nameščeno gradnjo mogoče prepoznati, da ocena pokrije, kar se povezuje, ali da je povezavo mogoče preklicati. Razprava, ki sledi, običajno odgovarja na vprašanje, ki ga nihče ni zastavil.
Preden branite licenco, vprašajte, katera zahteva velja. Odgovor določa, kateri dokument potrebujete.
Oznaka ni zahteva
Berljiva izvorna koda pomeni, da je objavljeno izvedbo mogoče pregledati. To ne pomeni, da jo je kdo pregledal, da se gradnja na prehodu ujema z objavljeno ali da vzdrževalec dolguje vaši namestitvi popravek. Vsaka od tega je ločena trditev z ločenim lastnikom, in recenzent, ki potrebuje eno od njih, ne bo zadovoljen z drugimi. Če trditev izgovorite na glas, to običajno zadostuje, da se pogovor spremeni.
Nasprotna napaka je enako pogosta. Komercialna licenca ne dokazuje, da podpora pokriva funkcijo, na katero se zanašate, da je ocena preučila komponento, ki jo nameščate, ali da bo dobavitelj poslal popravek v vašem vzdrževalnem oknu. Licenciranje opisuje pogoje distribucije, medtem ko se nabavne odločitve nanašajo na zaupanje. V obeh primerih je licenca najmanj informativen del odgovora.
Tudi odjemalca in storitev imejte ločeno. Revizija namiznega odjemalca ne pove ničesar o konfiguraciji prehoda partnerja, njegovem ponudniku identitete ali o tem, kako njegovi operaterji obravnavajo odstranjevanje računov. Kakršne koli dokaze zberete, se morajo ujemati z mejo, ki se ji mora partner zaupati.
Spremenite skrb v dokument
Prosite odobritelja, naj zahtevo izrazi v enem stavku, nato navedite dokument, ki bi jo izpolnil. Prav nejasna pomiritev spremeni te pogovore v razpravo o ideologiji.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework je tukaj koristen iz enega ozkega razloga: nabor pogovorov o nabavi okvirja okoli skupnega besedišča praks in komuniciranja z dobavitelji. To podpira zahtevo po opredeljenih dokazih namesto prepira o oznaki in ni certifikat, ki bi ga prestal kateri koli konkreten VPN.
Bodite pozorni, kaj počne srednji stolpec. Vsaka vrstica zahteva dokument, ki bodisi obstaja bodisi ne, kar mnenje spremeni v rezultat, ki ga lahko nekdo pripravi ali zavrne.
Ločite odjemalca od storitve
Pogodba o podpori za odjemalsko aplikacijo ni zaveza glede strežnika, do katerega pride vaš promet. Preden predstavite dokaze, označite, katere dele poti upravlja partner in katere upravljate vi v njegovem imenu. Mešanje obojega ustvari paket dokumentov, ki je videti temeljit in ne odgovori na nič.
Če je namestitev vaša, mora partner morda zaupati le identiteti in pravilu dostopa, kar je veliko manjša zahteva kot zaupanje celotni vaši dobavni verigi programske opreme. Če je namestitev njegova, je odjemalec, ki ga imate raje, morda nepomemben in tema postane konfiguracija prehoda. Ugotavljanje, v katerem primeru ste, pred drugim sestankom prihrani en cikel pregleda.
Nato preverite operativna vprašanja, na katerih pregledi resnično spodletijo: kdo odstrani račun, kako hitro in kateri dokazi po tem obstajajo. Lepo dokumentirana ocena brez postopka odstranitve je še vedno odprta ugotovitev.
Zaključite z odločitvijo, ne z razpravo
Izmenjavo zaključite s pisnim izidom: sprejeta različica, z njo povezane kontrole, imenovani operaterji, dokazi, ki še manjkajo, in datum, do katerega jih je treba predložiti. Vse nerazrešeno je treba zabeležiti kot pogoj, namesto da bi se vpilo v splošno izjavo o odobritvi.
Če pravilnik navaja določen odobren izdelek, uporabite pot izjeme, namesto da bi gradili vzporedno ureditev, ki je nihče ni odobril. Prepričljiv tehnični argument ne daje dovoljenja, in neuradna namestitev je ugotovitev, ki čaka, da jo odkrijejo.
Če zahteve res ni mogoče izpolniti, preidite na odobreno alternativo in povejte zakaj. Namen vaje je ugotoviti, na kaj se lahko organizacija zanese, in jasen ne je boljši izid kot odobritev, ki je pozneje nihče ne more braniti.