নির্ভরশীলতা বজায় রাখুন
পঠনযোগ্য।
গুরুত্বপূর্ণ তৃতীয়-পক্ষ উপাদানগুলো শনাক্ত করার এবং এগুলি যখন পরিবর্তন, অবনতি বা অনুপলব্ধ হয় তখন কীভাবে প্রতিক্রিয়া জানানো হবে তা নির্ধারণ করার জন্য একটি ব্যবহারিক অবিচ্ছিন্নতা নির্দেশিকা। এটি কোনো দুর্বলতা স্ক্যান বা সরবরাহকারীর নিশ্চয়তার বিকল্প নয়।
এটি ব্যবহার করুন: রিলিজের আগে নির্ভরশীলতার পরিধি, দায়িত্বভুক্তি, সংস্করণ-সংশ্লিষ্ট সিদ্ধান্ত এবং ব্যাকআপ অনুমানসমূহ পর্যালোচনার যোগ্য করে তুলতে ব্যবহার করুন (fallback)।
পরবর্তী কাজ করুন পরিচিত ধাপ।
- গ্রাহক-পথের নির্ভরশীলতাসমূহ তালিকাভুক্ত করুন: অ্যাপ্লিকেশন প্যাকেজ, বিল্ড টুল, বহিঃস্থ APIs, ডেলিভারি প্রদানকারী, এবং অপারেশনাল সার্ভিসসমূহ। প্রতিটি গুরুত্বপূর্ণ নির্ভরশীলতার জন্য একটি জবাবদিহি মালিক নির্ধারণ করুন।
- রিলিজ প্রমাণে সংস্করণ বা সার্ভিস কনফিগারেশন রেকর্ড করুন। অননুমোদিত প্রতিস্থাপনের পরিবর্তে টিমের অনুমোদিত lockfile, provenance, বা supplier-review কন্ট্রোল ব্যবহার করুন।
- প্রতিটি নির্ভরশীলতার জন্য, যদি এটি বিলম্বিত হয় বা অনুপলব্ধ থাকে তাহলে গ্রাহক-সামনাসামনি প্রভাব কী হবে তা নথিভুক্ত করুন এবং অনুমোদিত সুশৃঙ্খল অবনতি (graceful-degradation) বা এস্কেলেশন বিকল্প আছে কিনা তা উল্লেখ করুন।
- অনুমোদিত চ্যানেলের মাধ্যমে সরবরাহকারী বিজ্ঞপ্তি এবং পর্যবেক্ষিত আচরণ পর্যালোচনা করুন; অনুমোদন ছাড়া কোনো ঘটনার সময় নির্ভরশীলতা পরিবর্তন না করে পরিবর্তনগুলি সাধারণ পর্যালোচিত রিলিজ পথের মাধ্যমে করুন।
প্রতিটি গুরুত্বপূর্ণ নির্ভরশীলতার একটি মালিক, একটি সত্যতার উৎস, এবং একটি বর্তমান রিলিজ রেফারেন্স আছে কি না যাচাই করুন।
টিমের অনুমোদিত সরঞ্জাম ব্যবহার করে পরিকল্পিত রিলিজ নির্ভরশীলতা সেটটি পর্যালোচিত lockfile বা প্ল্যাটফর্ম রেকর্ডের সাথে তুলনা করুন।
একটি নির্ভরশীলতার বিঘ্ন ঘটলে টেবিলটপ অনুশীলন করুন: সিদ্ধান্ত কে নেবে, গ্রাহকের কোন আচরণ গ্রহণযোগ্য, এবং কখন এস্কেলেট করা হবে তা সনাক্ত করুন।
উৎস নোট, ঋণগ্রস্ত নিশ্চয়তা নয়।
পরিকল্পনার ভিত্তি: OWASP সফটওয়্যার সাপ্লাই-চেইন নির্দেশনা
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP সুপারিশ করে: নির্ভরশীলতার ইনভেন্টরি, যেখানে প্রযোজ্য সেখানে স্বয়ংক্রিয় SBOM উৎপাদন, মনিটরিং, সংস্করণ পিনিং, বিল্ড-টুল ইনভেন্টরি, এবং provenance নিয়ন্ত্রণ।
লেখকত্ব: SIU Enablement সম্পাদকীয় খসড়া; উৎস-সীমাবদ্ধ অপারেশনাল নির্দেশনা। পর্যালোচনা করেছেন: ইঞ্জিনিয়ারিং, প্ল্যাটফর্ম, সিকিউরিটি, এবং সরবরাহকারী মালিকেরা গুরুত্বপূর্ণ নির্ভরশীলতার তালিকা পর্যালোচনা করেন। পুনরায় যাচাই: ত্রৈমাসিকভাবে এবং কোনো নির্ভরশীলতা, বিল্ড, সরবরাহকারী, বা fallback-মোড পরিবর্তনের আগে পুনঃযাচাই করুন (fallback-mode)।