Abhängigkeiten beibehalten
lesbar.
Ein praktischer Kontinuitätsleitfaden zur Identifizierung wichtiger Drittanbieter-Komponenten und zur Vereinbarung darüber, wie zu reagieren ist, wenn sich eine Komponente ändert, sich verschlechtert oder nicht verfügbar wird. Es handelt sich nicht um einen Schwachstellenscan oder um eine Lieferanten-Absicherung.
VERWENDEN SIE ES, UM: Dient dazu, Abhängigkeitsumfang, Eigentümer, Versionsentscheidungen und Fallback-Annahmen vor einer Veröffentlichung prüfbar zu machen.
Bearbeite den nächsten bekannten Schritt.
- Listen Sie kundenrelevante Abhängigkeiten auf: Anwendungspakete, Build-Tools, externe APIs, Lieferanten für Bereitstellung und operative Dienste. Weisen Sie jeder wesentlichen Abhängigkeit einen verantwortlichen Eigentümer zu.
- Halten Sie die Version oder Service-Konfiguration in den Release-Nachweisen fest. Verwenden Sie das vom Team genehmigte Lockfile, Herkunftsnachweise oder Kontrollen zur Lieferantenprüfung statt ungeprüfter Ersatzvorgänge.
- Für jede Abhängigkeit dokumentieren Sie die kundenwirksame Auswirkung, falls sie verzögert oder nicht verfügbar ist, sowie die genehmigte abgestufte Degradierung oder Eskalationsoption, falls eine existiert.
- Überprüfen Sie Lieferantenmitteilungen und beobachtetes Verhalten über genehmigte Kanäle; nehmen Sie Änderungen über den normalen geprüften Release-Weg vor, statt während eines Vorfalls ohne Autorisierung eine Abhängigkeit zu ändern.
Prüfen Sie, dass jede wesentliche Abhängigkeit einen Eigentümer, eine Quelle der Wahrheit und eine aktuelle Release-Referenz hat.
Vergleichen Sie den geplanten Release-Abhängigkeitsumfang mit dem geprüften Lockfile oder Plattformeintrag unter Verwendung der vom Team genehmigten Tools.
Führen Sie eine Tabletop-Übung für eine einzelne Abhängigkeitsunterbrechung durch: identifizieren Sie, wer entscheidet, welches Kundenverhalten akzeptabel ist und wann eskaliert wird.
Quellennotizen, keine geliehene Gewissheit.
Planungsgrundlage: OWASP-Leitlinien zur Software-Lieferkette
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP empfiehlt Abhängigkeitsinventar, wo angemessen automatisierte SBOM-Erstellung, Monitoring, Version-Pinning, Inventar von Build-Tools und Herkunftskontrollen.
Urheberschaft: SIU Enablement redaktioneller Entwurf; quellengebundene operationelle Anleitung. Geprüft von: Engineering-, Plattform-, Sicherheits- und Lieferantenverantwortliche überprüfen die Liste der wesentlichen Abhängigkeiten. Erneut prüfen: Validieren Sie vierteljährlich und vor einer Änderung an einer Abhängigkeit, einem Build, einem Lieferanten oder dem Fallback-Modus erneut.