निर्भरता बनाए रखें
पढ़ने योग्य।
महत्वपूर्ण थर्ड‑पार्टी घटकों की पहचान करने और जब कोई घटक बदलता है, घटाव होता है, या अनुपलब्ध हो जाता है तो कैसे प्रतिक्रिया दी जाए इस पर सहमति बनाने के लिए एक व्यावहारिक निरंतरता मार्गदर्शिका। यह एक कमजोरियों के स्कैन या सप्लायर आश्वासन नहीं है।
इसे उपयोग करें: रिलीज़ से पहले निर्भरता सतह, स्वामित्व, संस्करण निर्णय और fallback अनुमानों को समीक्षा योग्य बनाने के लिए उपयोग करें।
अगला ज्ञात कदम।
- कस्टमर‑पाथ निर्भरताओं की सूची बनाएं: एप्लिकेशन पैकेज, बिल्ड टूल, बाहरी API, डिलीवरी प्रदाता, और ऑपरेशनल सेवाएँ। प्रत्येक महत्वपूर्ण निर्भरता के लिए एक उत्तरदायी मालिक निर्धारित करें।
- रिलीज़ साक्ष्य में संस्करण या सेवा कॉन्फ़िगरेशन रिकॉर्ड करें। टीम के अनुमोदित लॉकफ़ाइल, प्रोवेनेंस, या सप्लायर‑रिव्यू नियंत्रणों का उपयोग करें, न कि बिना समीक्षा किए गए स्थानापन्नों का।
- प्रत्येक निर्भरता के लिए, यदि वह देरी या अनुपलब्ध हो तो ग्राहक-समक्ष प्रभाव को दस्तावेज़ करें और यदि मौजूद हो तो अनुमोदित graceful-degradation या escalation विकल्प भी दर्ज करें।
- स्वीकृत चैनलों के माध्यम से सप्लायर सूचनाओं और देखे गए व्यवहार की समीक्षा करें; एक घटना के दौरान बिना अधिकृत किए निर्भरता न बदलें—परिवर्तन सामान्य समीक्षा किए गए रिलीज़ पथ के माध्यम से करें।
जांचें कि प्रत्येक महत्वपूर्ण निर्भरता का एक मालिक, एक सत्य स्रोत, और एक वर्तमान रिलीज़ संदर्भ मौजूद है।
टीम के अनुमोदित टूलिंग का उपयोग करके नियोजित रिलीज़ निर्भरता सेट की समीक्षा किए गए lockfile या प्लेटफ़ॉर्म रिकॉर्ड के साथ तुलना करें।
एक निर्भरता व्यवधान पर टेबलटॉप अभ्यास करें: तय करें कौन निर्णय लेगा, किस ग्राहक व्यवहार को स्वीकार्य माना जाएगा, और कब एस्केलेट किया जाएगा।
स्रोत टिप्पणियाँ, न कि उधार ली गई निश्चितता।
योजना का आधार: OWASP सॉफ़्टवेयर सप्लाई-चेन मार्गदर्शन
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP उपयुक्त मामलों में डिपेंडेंसी इन्वेंटरी, स्वचालित SBOM जनरेशन, निगरानी, संस्करण पिनिंग, बिल्ड-टूल इन्वेंटरी, और provenance नियंत्रणों की सिफारिश करता है।
लेखकत्व: SIU Enablement संपादकीय मसौदा; स्रोत-सीमित संचालन संबंधी मार्गदर्शन। द्वारा समीक्षा की गई: इंजीनियरिंग, प्लेटफ़ॉर्म, सुरक्षा, और सप्लायर मालिक महत्वपूर्ण निर्भरता सूची की समीक्षा करते हैं। पुनः मान्य करें: त्रैमासिक रूप से और किसी निर्भरता, बिल्ड, सप्लायर, या fallback-mode परिवर्तन से पहले पुनः सत्यापित करें।