Сохраните зависимости
читаемыми.
Практическое руководство по обеспечению непрерывности для выявления важных сторонних компонентов и согласования реакции при их изменении, ухудшении или недоступности. Это не проверка на уязвимости и не подтверждение поставщика.
ИСПОЛЬЗУЙТЕ ДЛЯ: Используйте для того, чтобы сделать поверхность зависимостей, вопросы владения, решения по версиям и допущения по резервным вариантам обозряемыми перед выпуском (fallback).
Выполните следующий известный шаг.
- Перечислите зависимости по пути клиента: пакеты приложения, инструменты сборки, внешние API, поставщиков доставки и операционные сервисы. Назначьте ответственного владельца для каждой существенной зависимости.
- Зафиксируйте версию или конфигурацию сервиса в доказательствах релиза. Используйте утверждённый командой lockfile, данные о provenance или процедуры проверки поставщиков, а не непроверенные замены (supplier-review).
- Для каждой зависимости задокументируйте влияние на клиента, если она задерживается или недоступна, и утверждённый вариант плавного снижения функциональности или эскалации, если таковой имеется (graceful-degradation).
- Просматривайте уведомления поставщиков и наблюдаемое поведение через утверждённые каналы; вносите изменения через обычный проверяемый путь релиза, а не изменяйте зависимость в ходе инцидента без авторизации.
Проверьте, что у каждой существенной зависимости есть владелец, источник истины и ссылка на текущий релиз.
Сравните набор зависимостей планируемого релиза с проверенным lockfile или записью платформы с использованием утверждённого командного инструментария.
Проведите tabletop-имитацию перебоя одной зависимости: определите, кто принимает решения, какое поведение со стороны клиентов допустимо и когда следует эскалировать.
Заметки об источнике, а не заимствованная уверенность.
Основа планирования: руководство OWASP по цепочке поставок программного обеспечения
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP рекомендует инвентаризацию зависимостей, автоматическую генерацию SBOM там, где это уместно, мониторинг, фиксацию версий, учет инструментов сборки и контроль происхождения.
Авторство: SIU Enablement редакционный черновик; оперативное руководство, ограниченное источником. Проверил(а): Инженерные, платформенные, службы безопасности и владельцы поставщиков проверяют список существенных зависимостей. Перепроверить: Переутверждайте ежеквартально и перед изменением зависимости, сборки, поставщика или режима резервного варианта (fallback-mode).