Utrzymuj zależności
czytelne.
Praktyczny przewodnik ciągłości pozwalający zidentyfikować ważne komponenty stron trzecich i uzgodnić sposób reagowania, gdy któryś ulegnie zmianie, pogorszeniu działania lub stanie się niedostępny. Nie jest to skan podatności ani zapewnienie dostawcy.
UŻYJ TEGO DO: Stosuj do ustalenia przed wydaniem zakresu zależności, własności, decyzji o wersjach oraz założeń dotyczących zachowań zapasowych, tak aby mogły być przejrzane.
Wykonaj następny znany krok.
- Wypisz zależności w ścieżce klienta: pakiety aplikacji, narzędzia budujące, zewnętrzne API, dostawców dostawy i usługi operacyjne. Przypisz odpowiedzialnego właściciela do każdej istotnej zależności.
- Zanotuj wersję lub konfigurację usługi w dowodach wydania. Korzystaj z zatwierdzonego przez zespół lockfile, kontroli pochodzenia lub mechanizmów oceny dostawcy, zamiast niezweryfikowanych zamienników.
- Dla każdej zależności udokumentuj efekt widoczny dla klienta, jeśli zostanie opóźniona lub niedostępna, oraz zatwierdzoną opcję łagodnej degradacji lub eskalacji, jeśli taka istnieje.
- Przeglądaj powiadomienia dostawców i obserwowane zachowanie przez zatwierdzone kanały; wprowadzaj zmiany przez normalną, recenzowaną ścieżkę wydania, zamiast zmieniać zależność podczas incydentu bez upoważnienia.
Sprawdź, czy każda istotna zależność ma właściciela, źródło prawdy i odniesienie do bieżącego wydania.
Porównaj planowany zestaw zależności wydania z przejrzanym lockfile lub rejestrem platformy za pomocą zatwierdzonego przez zespół oprogramowania.
Przećwicz scenariusz przerwy pojedynczej zależności: ustal, kto podejmuje decyzje, jakie zachowanie klienta jest dopuszczalne i kiedy eskalować.
Notatki źródłowe, a nie zapożyczona pewność.
Podstawa planowania: wytyczne OWASP dotyczące łańcucha dostaw oprogramowania
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP zaleca inwentaryzację zależności, automatyczne generowanie SBOM tam, gdzie to stosowne, monitorowanie, przypinanie wersji, inwentaryzację narzędzi budujących oraz kontrole pochodzenia.
Autorstwo: Szkic redakcyjny SIU Enablement; operacyjne wytyczne ograniczone zakresem źródła. Przejrzane przez: Inżynieria, platforma, bezpieczeństwo oraz właściciele dostawców przeglądają listę istotnych zależności. Ponowna weryfikacja: Weryfikuj ponownie kwartalnie oraz przed zmianą zależności, procesu budowania, dostawcy lub trybu zapasowego.