Panatilihin ang mga dependency
malinaw.
Isang praktikal na gabay sa pagpapatuloy para tukuyin ang mahahalagang third-party na komponent at magkasundo kung paano tutugon kapag nagbago, bumagsak ang kalidad, o hindi available ang isa. Ito ay hindi vulnerability scan o supplier assurance.
GAMITIN ITO PARA SA: Gamitin upang gawing reviewable ang dependency surface, pagmamay-ari, desisyon sa bersyon, at mga palagay sa fallback bago ang release.
Gawin ang susunod kilalang hakbang.
- Ilista ang customer-path dependencies: application packages, build tools, external APIs, delivery providers, at operational services. Magtalaga ng accountable owner para sa bawat mahalagang dependency.
- Itala ang bersyon o service configuration sa release evidence. Gamitin ang aprubadong lockfile ng team, provenance, o supplier-review controls sa halip na mga hindi na-review na pagpapalit.
- Para sa bawat dependency, idokumento ang epekto sa customer kung ito ay maaantala o hindi available at ang aprubadong graceful-degradation o escalation na opsyon, kung mayroon.
- Suriin ang mga abiso mula sa supplier at naobserbahang pag-uugali sa pamamagitan ng aprubadong mga channel; gumawa ng pagbabago sa pamamagitan ng normal na nire-view na release path sa halip na baguhin ang dependency habang nag-iincident nang walang awtorisasyon.
Suriin na ang bawat mahalagang dependency ay may owner, isang source of truth, at isang kasalukuyang release reference.
Ihambing ang planadong release dependency set sa nire-view na lockfile o talaan ng platform gamit ang aprubadong tooling ng team.
Tabletop ang isang pagkaantala ng isang dependency: tukuyin kung sino ang magdedesisyon, anong pag-uugali ng customer ang katanggap-tanggap, at kailan mag-escalate.
Mga tala ng pinagmulan, hindi hiniram na katiyakan.
Batayan sa pagpaplano: OWASP patnubay sa supply-chain ng software
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP inirerekomenda ang inventory ng dependency, awtomatikong SBOM generation kung naaangkop, monitoring, version pinning, build-tool inventory, at provenance controls.
May-akda: SIU Enablement editoryal na burador; patnubay na operasyonal na may hangganang pinanggalingan. Sinuri ni: Engineering, platform, security, at mga may-ari ng supplier ang nirerebyu ang listahan ng mga materyal na dependency. Muling beripikahin: Muling beripikahin kada quarter at bago ang anumang pagbabago sa dependency, build, supplier, o fallback-mode.