Iedere levering blijft herleidbaar en herhaalbaar

De situatie

De containerregistry bewaart van iedere levering de vaste inhoud, de handtekening, de onderdelenlijst en de herkomstverklaring; de applicatiebeschrijving verwijst met het inhoudskenmerk naar precies dit beeld. Beschermde versielabels, leesbare versienamen die na vrijgave vastliggen, zijn een aanvullende waarborg; dat een verwijzing altijd naar dezelfde inhoud wijst, berust op het inhoudskenmerk (Herleidbaarheid van software).

Locaties krijgen alleen de software die zij nodig hebben, inclusief de versies voor herstel, met handtekeningen en herkomstgegevens; wat voor herstel nodig is, blijft bewaard zolang een locatie ernaar verwijst. Dat beperkt opslag en verkeer over schaarse verbindingen.

Vallen de scandiensten voor de kwetsbaarheidscontrole uit, dan stopt de normale vrijgave van nieuwe software; wat draait, blijft draaien. De bevoegde verantwoordelijke kan dan een urgente uitzondering goedkeuren voor één benoemd beeld, met einddatum, compenserende maatregel en een scan achteraf zodra de scandiensten weer werken.

Vergt een kwetsbare bibliotheek een grote wijziging van de toepassing voordat een nieuwe hoofdversie bruikbaar is, dan verminderen we het risico eerder met een ondersteunde beveiligingsreparatie voor de bestaande versie, als die er is; de leveranciersmelding dat zij de kwetsbaarheid dekt, bewaren we als bewijs. De reparatie doorloopt dezelfde controle op herkomst, tests en vrijgave als andere software. We volgen welke toepassingen haar hebben ontvangen en plannen de grotere vernieuwing afzonderlijk, binnen de ondersteuningstermijn van de bestaande versie. Dit applicatieonderhoud vult het bijwerken van de infrastructuur aan.