연속성 필드 가이드 / 03
종속성 유지
명확하게.
중요한 타사 구성요소를 식별하고, 하나가 변경되거나 성능이 저하되거나 이용 불가능해졌을 때 어떻게 대응할지 합의하기 위한 실용적인 연속성 가이드입니다. 이는 취약점 스캔이나 공급자 보증이 아닙니다.
이용 목적: 릴리스 전에 종속성 범위, 소유권, 버전 결정 및 폴백 가정을 검토 가능하도록 만들기 위해 사용하세요.
방법 / 출처 기반
다음 알려진 단계.
- 고객 경로 종속성 목록을 작성하세요: 애플리케이션 패키지, 빌드 도구, 외부 API, 배포 제공자 및 운영 서비스를 포함합니다. 각 중요한 종속성에 책임 소유자를 배정하세요.
- 릴리스 증거에 버전 또는 서비스 구성을 기록하세요. 검토되지 않은 대체를 사용하지 말고 팀에서 승인한 lockfile, provenance 또는 supplier-review 통제를 사용하세요.
- 각 종속성에 대해 지연되거나 이용 불가할 경우 고객에게 미치는 영향을 문서화하고, 승인된 graceful-degradation(점진적 저하) 또는 에스컬레이션 옵션이 있다면 이를 기록하세요.
- 공급자 공지와 관찰된 동작을 승인된 채널을 통해 검토하세요; 사고 중 무단으로 종속성을 변경하지 말고, 변경이 필요하면 정상적인 검토된 릴리스 경로를 통해 수행하세요.
검증 / 의존하기 전에
각 중요한 종속성에 소유자, 신뢰할 수 있는 출처(source of truth), 그리고 현재 릴리스 참조가 있는지 확인하세요.
팀에서 승인한 도구를 사용해 계획된 릴리스 종속성 집합을 검토된 lockfile 또는 플랫폼 기록과 비교하세요.
단일 종속성 중단에 대해 테이블탑 연습을 수행하세요: 누가 결정을 내릴지, 어떤 고객 행동이 허용되는지, 언제 에스컬레이션할지를 식별하세요.
권위 / 검토
출처 메모, 빌려온 확신이 아닙니다.
계획 근거: OWASP 소프트웨어 공급망 지침
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP는 종속성 인벤토리, 적절한 경우 자동화된 SBOM 생성, 모니터링, 버전 고정, build-tool 인벤토리 및 provenance 제어를 권장합니다.
맥락 / 인수인계를 연결 유지
작성자: SIU Enablement 편집 초안; 출처 기반의 운영 지침. 검토자: 엔지니어링, 플랫폼, 보안 및 공급자 소유자가 중요한 종속성 목록을 검토합니다. 재검증: 분기별 및 종속성, 빌드, 공급자 또는 폴백 모드 변경 이전에 재검증하세요.