ทำไม VPN โอเพนซอร์สจึงถูกปฏิเสธในการจัดซื้อจัดจ้าง
ผู้ตรวจทานที่คัดค้านโอเพนซอร์สมักกำลังปกป้องข้อกำหนด ไม่ใช่รสนิยมด้านสัญญาอนุญาต ถามว่าเป็นข้อกำหนดใด แล้วจัดทำเอกสารที่ตอบข้อกำหนดนั้น
การปฏิเสธที่อ้างถึงโอเพนซอร์สนั้นไม่ค่อยเกี่ยวกับการออกสัญญาอนุญาต ผู้ตรวจทานมักกำลังปกป้องข้อกำหนดข้อหนึ่ง คือมีผู้ดูแลรุ่นที่นำไปติดตั้ง มีการระบุบิลด์ที่ติดตั้งได้ มีการประเมินที่ครอบคลุมสิ่งที่เชื่อมต่อ หรือสามารถถอนการเชื่อมต่อได้ การถกเถียงที่ตามมามักตอบคำถามที่ไม่มีใครถาม
ถามก่อนว่าข้อกำหนดใดบังคับใช้ ก่อนที่จะปกป้องสัญญาอนุญาต คำตอบเป็นตัวกำหนดว่าคุณต้องใช้เอกสารใด
ป้ายชื่อไม่ใช่ข้อกำหนด
ซอร์สโค้ดที่อ่านได้หมายความว่าสามารถตรวจสอบการนำไปใช้ที่เผยแพร่ได้ ไม่ได้หมายความว่าใครได้ตรวจสอบแล้ว ว่าบิลด์บนเกตเวย์ตรงกับที่เผยแพร่ หรือว่าผู้ดูแลติดหนี้การแก้ไขให้กับการติดตั้งของคุณ แต่ละข้อเป็นคำกล่าวอ้างแยกกันโดยมีเจ้าของแยกกัน และผู้ตรวจทานที่ต้องการข้อใดข้อหนึ่งจะไม่พอใจกับข้ออื่น การเอ่ยชื่อคำกล่าวอ้างออกมาดัง ๆ มักเพียงพอที่จะเปลี่ยนบทสนทนา
ข้อผิดพลาดตรงข้ามก็พบได้บ่อยเท่ากัน สัญญาอนุญาตเชิงพาณิชย์ไม่ได้พิสูจน์ว่าการสนับสนุนครอบคลุมคุณสมบัติที่คุณพึ่งพา ว่าการประเมินได้ตรวจสอบส่วนประกอบที่คุณติดตั้ง หรือว่าผู้ขายจะส่งการแก้ไขภายในหน้าต่างบำรุงรักษาของคุณ การออกสัญญาอนุญาตอธิบายเงื่อนไขการเผยแพร่ ขณะที่การตัดสินใจจัดซื้อเกี่ยวกับความไว้วางใจ ไม่ว่ากรณีใด สัญญาอนุญาตเป็นส่วนที่ให้ข้อมูลน้อยที่สุดในคำตอบ
แยกไคลเอนต์กับบริการออกจากกัน การตรวจสอบไคลเอนต์เดสก์ท็อปไม่ได้บอกอะไรเกี่ยวกับการกำหนดค่าเกตเวย์ของพันธมิตร ผู้ให้บริการระบุตัวตน หรือวิธีที่ผู้ปฏิบัติงานจัดการการลบบัญชี หลักฐานใดที่คุณรวบรวมต้องตรงกับขอบเขตที่ขอให้พันธมิตรไว้วางใจ
เปลี่ยนความกังวลให้เป็นเอกสาร
ขอให้ผู้อนุมัติระบุข้อกำหนดเป็นประโยคเดียว แล้วระบุชื่อเอกสารที่จะทำให้เป็นที่พอใจ การรับรองที่คลุมเครือคือสิ่งที่เปลี่ยนบทสนทนาเหล่านี้ให้เป็นการถกเถียงเรื่องอุดมการณ์
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework มีประโยชน์ตรงนี้ด้วยเหตุผลแคบ ๆ ข้อเดียว คือมันวางกรอบบทสนทนาการจัดซื้อด้วยคำศัพท์ร่วมเกี่ยวกับแนวปฏิบัติและการสื่อสารกับผู้ขาย ซึ่งสนับสนุนการขอหลักฐานที่ชัดเจนแทนการโต้เถียงเรื่องป้ายชื่อ และไม่ใช่การรับรองที่ VPN ใดโดยเฉพาะผ่าน
สังเกตว่าคอลัมน์กลางทำอะไร แต่ละแถวขอเอกสารที่มีอยู่หรือไม่มี ซึ่งเปลี่ยนความเห็นให้เป็นผลงานที่ใครบางคนสามารถจัดทำหรือปฏิเสธได้
แยกไคลเอนต์ออกจากบริการ
สัญญาสนับสนุนสำหรับแอปพลิเคชันไคลเอนต์ไม่ใช่คำมั่นเกี่ยวกับเซิร์ฟเวอร์ที่ทราฟฟิกของคุณไปถึง ก่อนนำเสนอหลักฐาน ให้ทำเครื่องหมายว่าส่วนใดของเส้นทางที่พันธมิตรดำเนินการ และส่วนใดที่คุณดำเนินการในนามของพันธมิตร การผสมทั้งสองเข้าด้วยกันทำให้เกิดชุดเอกสารที่ดูครบถ้วนแต่ไม่ตอบอะไรเลย
หากการติดตั้งเป็นของคุณ พันธมิตรอาจต้องไว้วางใจเพียงตัวตนและกฎการเข้าถึง ซึ่งเป็นคำขอที่เล็กกว่าการไว้วางใจห่วงโซ่อุปทานซอฟต์แวร์ทั้งหมดของคุณมาก หากการติดตั้งเป็นของพันธมิตร ไคลเอนต์ที่คุณชอบอาจไม่เกี่ยวข้อง และการกำหนดค่าเกตเวย์ก็กลายเป็นหัวข้อ การระบุว่าคุณอยู่ในกรณีใดก่อนการประชุมครั้งที่สองช่วยประหยัดรอบการตรวจทานหนึ่งรอบ
จากนั้นตรวจสอบคำถามด้านปฏิบัติการที่การตรวจทานล้มเหลวจริง ได้แก่ ใครลบบัญชี เร็วเพียงใด และมีหลักฐานอะไรเหลืออยู่หลังจากนั้น การประเมินที่จัดทำเอกสารอย่างสวยงามโดยไม่มีขั้นตอนการลบยังคงเป็นข้อค้นพบที่เปิดอยู่
ปิดท้ายด้วยการตัดสินใจ ไม่ใช่การถกเถียง
จบการแลกเปลี่ยนด้วยผลลัพธ์เป็นลายลักษณ์อักษร ได้แก่ รุ่นที่ยอมรับ การควบคุมที่ผูกอยู่กับรุ่นนั้น ผู้ปฏิบัติงานที่ระบุชื่อ หลักฐานที่ยังค้างอยู่ และวันที่ต้องส่งมอบ สิ่งใดที่ยังไม่คลี่คลายควรบันทึกเป็นเงื่อนไขแทนที่จะกลืนเข้าไปในถ้อยแถลงอนุมัติทั่วไป
หากนโยบายระบุผลิตภัณฑ์ที่ได้รับอนุมัติโดยเฉพาะ ให้ใช้ช่องทางการยกเว้นแทนการสร้างข้อตกลงคู่ขนานที่ไม่มีใครอนุญาต ข้อโต้แย้งทางเทคนิคที่โน้มน้าวไม่ได้ให้สิทธิ์ และการติดตั้งที่ไม่เป็นทางการเป็นข้อค้นพบที่รอการค้นพบ
หากข้อกำหนดไม่สามารถปฏิบัติตามได้จริง ให้ย้ายไปยังทางเลือกที่ได้รับอนุมัติและบอกเหตุผล วัตถุประสงค์ของแบบฝึกหัดนี้คือการกำหนดว่าองค์กรสามารถพึ่งพาสิ่งใดได้ และการปฏิเสธที่ชัดเจนเป็นผลลัพธ์ที่ดีกว่าการอนุมัติที่ไม่มีใครปกป้องได้ในภายหลัง