Mantieni le dipendenze
leggibili.
Una guida pratica alla continuità per identificare i componenti terzi importanti e concordare come rispondere quando uno cambia, degrada o diventa indisponibile. Non è una scansione di vulnerabilità né una verifica del fornitore.
USALO PER: Usare per rendere la superficie delle dipendenze, la proprietà, le decisioni sulle versioni e le assunzioni di fallback revisionabili prima di un rilascio.
Esegui il prossimo passo noto.
- Elencare le dipendenze nel percorso cliente: pacchetti dell'applicazione, strumenti di build, API esterne, fornitori di consegna e servizi operativi. Assegnare un responsabile proprietario a ciascuna dipendenza materiale.
- Annotare la versione o la configurazione del servizio nelle evidenze di rilascio. Usare il lockfile approvato dal team, i controlli di provenienza o la revisione del fornitore anziché sostituzioni non revisionate.
- Per ogni dipendenza, documentare l'effetto percepibile dal cliente se è ritardata o non disponibile e l'opzione approvata di degradazione controllata o escalation, se esiste.
- Revisionare gli avvisi del fornitore e il comportamento osservato tramite canali approvati; apportare modifiche attraverso il normale percorso di rilascio revisionato anziché modificare una dipendenza durante un incidente senza autorizzazione.
Verificare che ogni dipendenza materiale abbia un proprietario, una fonte di verità e un riferimento alla release corrente.
Confrontare l'insieme di dipendenze previsto per il rilascio con il lockfile revisionato o il registro della piattaforma usando gli strumenti approvati dal team.
Simulare a tavolino l'interruzione di una singola dipendenza: identificare chi decide, quale comportamento del cliente è accettabile e quando effettuare l'escalation.
Note sulla fonte, non certezza presa in prestito.
Base di pianificazione: linee guida OWASP per la supply chain del software
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP raccomanda inventario delle dipendenze, generazione automatica di SBOM dove appropriato, monitoraggio, fissaggio delle versioni, inventario degli strumenti di build e controlli di provenienza.
Autore: Bozza editoriale di SIU Enablement; linee guida operative vincolate alla fonte. Revisionato da: Ingegneria, piattaforma, sicurezza e i responsabili dei fornitori revisionano la lista delle dipendenze materiali. Rivalida: Rivalidare trimestralmente e prima di qualsiasi modifica a dipendenze, build, fornitore o modalità di fallback.