Mantén las dependencias
legibles.
Una guía práctica de continuidad para identificar componentes importantes de terceros y acordar cómo responder cuando uno cambie, se degrade o quede indisponible. No es un escaneo de vulnerabilidades ni un aseguramiento del proveedor.
ÚSELO PARA: Úselo para hacer que la superficie de dependencias, la propiedad, las decisiones de versión y las suposiciones de conmutación por error sean revisables antes de un lanzamiento.
Realice el siguiente paso conocido.
- Enumere las dependencias en la ruta del cliente: paquetes de la aplicación, herramientas de compilación, APIs externas, proveedores de entrega y servicios operativos. Asigne un propietario responsable a cada dependencia material.
- Registre la versión o la configuración del servicio en la evidencia del lanzamiento. Use el lockfile aprobado por el equipo, los controles de procedencia o la revisión de proveedores en lugar de sustituciones no revisadas.
- Para cada dependencia, documente el efecto visible para el cliente si esta se retrasa o no está disponible y la opción aprobada de degradación elegante o escalamiento, si existe.
- Revise los avisos del proveedor y el comportamiento observado a través de canales aprobados; realice cambios mediante la vía normal de lanzamiento revisada en lugar de cambiar una dependencia durante un incidente sin autorización.
Compruebe que cada dependencia material tenga un propietario, una fuente de verdad y una referencia de versión actual.
Compare el conjunto de dependencias planificadas para el lanzamiento con el lockfile revisado o el registro de la plataforma usando las herramientas aprobadas por el equipo.
Realice un ejercicio de mesa de la interrupción de una dependencia: identifique quién decide, qué comportamiento del cliente es aceptable y cuándo escalar.
Notas de la fuente, no certeza prestada.
Base de planificación: orientación de OWASP sobre la cadena de suministro de software
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP recomienda inventario de dependencias, generación automatizada de SBOM cuando sea apropiado, monitoreo, fijado de versiones, inventario de herramientas de compilación y controles de procedencia.
Autoría: SIU Enablement editorial draft; source-bounded operational guidance. Revisado por: Los responsables de ingeniería, plataforma, seguridad y de proveedores revisan la lista de dependencias materiales. Revalidar: Revalide trimestralmente y antes de un cambio en una dependencia, compilación, proveedor o modo de conmutación por error (fallback-mode).