Mantenha dependências
legíveis.
Um guia prático de continuidade para identificar componentes de terceiros importantes e concordar sobre como responder quando um deles muda, degrada ou fica indisponível. Não é uma varredura de vulnerabilidades nem uma garantia do fornecedor.
USE PARA: Use para tornar a superfície de dependências, propriedade, decisões de versão e pressupostos de fallback revisáveis antes de um release.
Execute o próximo passo conhecido.
- Liste dependências no caminho do cliente: pacotes da aplicação, ferramentas de build, APIs externas, provedores de entrega e serviços operacionais. Atribua um responsável (owner) para cada dependência material.
- Registre a versão ou configuração do serviço nas evidências de release. Use o lockfile aprovado pela equipe, controles de proveniência ou de revisão de fornecedor em vez de substituições não revisadas.
- Para cada dependência, documente o efeito percebido pelo cliente caso ela seja atrasada ou indisponível e a opção aprovada de degradação graciosa ou de escalonamento, se houver.
- Revise avisos de fornecedores e comportamento observado por meio de canais aprovados; faça alterações pelo caminho normal de release revisado em vez de alterar uma dependência durante um incidente sem autorização.
Verifique que cada dependência material tenha um owner, uma fonte de verdade e uma referência de release atual.
Compare o conjunto de dependências planejadas para o release com o lockfile revisado ou o registro da plataforma usando as ferramentas aprovadas da equipe.
Faça um exercício tabletop de interrupção de uma única dependência: identifique quem decide, qual comportamento do cliente é aceitável e quando escalar.
Notas da fonte, não certeza emprestada.
Base de planejamento: diretrizes da OWASP para segurança da cadeia de suprimentos de software
- OWASP — Software Supply Chain Security Cheat Sheet ↗A OWASP recomenda inventário de dependências, geração automatizada de SBOM quando apropriado, monitoramento, fixação de versão, inventário de ferramentas de build e controles de proveniência.
Autoria: Rascunho editorial de SIU Enablement; orientação operacional vinculada à fonte. Revisado por: Engenharia, plataforma, segurança e os responsáveis pelos fornecedores revisam a lista de dependências materiais. Revalidar: Revalide trimestralmente e antes de qualquer alteração em dependência, build, fornecedor ou modo de fallback.