Pertahankan dependensi
terbaca.
Panduan kontinuitas praktis untuk mengidentifikasi komponen pihak ketiga penting dan menyepakati cara merespons ketika salah satu berubah, menurun, atau menjadi tidak tersedia. Ini bukan pemindaian kerentanan atau jaminan pemasok.
GUNAKAN UNTUK: Gunakan untuk membuat permukaan dependensi, kepemilikan, keputusan versi, dan asumsi cadangan dapat ditinjau sebelum sebuah rilis.
Kerjakan langkah yang diketahui.
- Daftarkan dependensi jalur-pelanggan: paket aplikasi, alat build, API eksternal, penyedia pengiriman, dan layanan operasional. Tetapkan pemilik yang bertanggung jawab untuk setiap dependensi material.
- Catat versi atau konfigurasi layanan dalam bukti rilis. Gunakan lockfile, provenance, atau kontrol tinjauan pemasok yang disetujui tim, bukan penggantian yang belum ditinjau.
- Untuk setiap dependensi, dokumentasikan efek yang terlihat oleh pelanggan jika terjadi keterlambatan atau ketidaktersediaan serta opsi degradasi yang halus atau eskalasi yang disetujui, jika ada.
- Tinjau pemberitahuan pemasok dan perilaku yang teramati melalui saluran yang disetujui; buat perubahan melalui jalur rilis yang ditinjau normal daripada mengubah dependensi selama insiden tanpa otorisasi.
Periksa bahwa setiap dependensi material memiliki pemilik, sumber kebenaran, dan referensi rilis terkini.
Bandingkan set dependensi rilis yang direncanakan dengan lockfile atau catatan platform yang telah ditinjau menggunakan perangkat yang disetujui tim.
Lakukan simulasi tabletop untuk satu gangguan dependensi: identifikasi siapa yang memutuskan, perilaku pelanggan apa yang dapat diterima, dan kapan harus melakukan eskalasi.
Catatan sumber, bukan kepastian pinjaman.
Dasar perencanaan: panduan rantai pasokan perangkat lunak OWASP
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP merekomendasikan inventaris dependensi, pembuatan SBOM otomatis bila sesuai, pemantauan, penguncian versi, inventaris alat build, dan kontrol provenance.
Penulisan: Draf editorial SIU Enablement; panduan operasional terbatas pada sumber. Ditinjau oleh: Tim engineering, platform, keamanan, dan pemilik pemasok meninjau daftar dependensi material. Validasi ulang: Validasi ulang setiap kuartal dan sebelum perubahan pada dependensi, build, pemasok, atau mode cadangan.