Houd afhankelijkheden
leesbaar.
Een praktische continuïteitsgids om belangrijke componenten van derden te identificeren en af te spreken hoe te reageren wanneer er één verandert, degradeert of onbeschikbaar wordt. Dit is geen kwetsbaarheidsscan of leveranciersgarantie.
GEBRUIK HET OM: Gebruik om het afhankelijkheidsoverzicht, eigenaarschap, versiebeslissingen en aannames over fallback controleerbaar te maken vóór een release.
Werk de volgende bekende stap.
- Noteer klantpad-afhankelijkheden: applicatiepakketten, buildtools, externe APIs, bezorgaanbieders en operationele services. Wijs voor elke materiële afhankelijkheid een verantwoordelijke eigenaar toe.
- Leg de versie of serviceconfiguratie vast in het releasebewijsmateriaal. Gebruik het door het team goedgekeurde lockfile, provenance of supplier-review controls in plaats van niet-beoordeelde vervangingen.
- Documenteer per afhankelijkheid het voor de klant zichtbare effect als deze vertraagt of onbeschikbaar wordt en de goedgekeurde optie voor elegante degradatie of escalatie, indien aanwezig (graceful-degradation).
- Beoordeel leveranciersberichten en waargenomen gedrag via goedgekeurde kanalen; breng wijzigingen aan via het normale, beoordeelde releasetraject in plaats van tijdens een incident zonder autorisatie een afhankelijkheid te wijzigen.
Controleer dat elke materiële afhankelijkheid een eigenaar, een bron van waarheid en een actuele referentie naar een release heeft.
Vergelijk de geplande set afhankelijkheden voor de release met het beoordeelde lockfile of platformrecord met behulp van het door het team goedgekeurde gereedschap.
Oefen een tabletop-scenario voor een enkele afhankelijkheidsonderbreking: identificeer wie beslist, welk klantgedrag acceptabel is en wanneer er geëscaleerd moet worden.
Bronnotities, geen geleende zekerheid.
Planningsbasis: OWASP-richtlijnen voor de software supply chain
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP raadt afhankelijkheidsinventarisatie, geautomatiseerde SBOM-generatie waar passend, monitoring, versiebevriezing, inventarisatie van build-tools en provenance-controls aan.
Auteurschap: SIU Enablement redactioneel concept; brongebonden operationele richtlijnen. Beoordeeld door: Engineering, platform, security en leveranciers-eigenaren beoordelen de lijst met materiële afhankelijkheden. Hervalideren: Herbevestig elk kwartaal en vóór een wijziging in een afhankelijkheid, build, leverancier of fallback-modus (fallback-mode).