Giriş
Yazılım; uydu, yer ağı, operatörler, müşteriler ve düzenleyiciler arasında yer alır. Görev kontrol sistemleri iletişim geçişlerini planlar, komutları doğrular ve iletir, telemetriyi alır ve işler, uzay aracı sağlığını izler, yörüngeleri hesaplar, faydalı yük programlarını yönetir ve operasyonel kaydı korur. Bir kusur, kullanılamayan bağımlılık veya erişilemeyen imzalama anahtarı, temel uzay aracı teknik olarak sağlıklı kalsa bile geliri kesintiye uğratabilir ve komuta yetkisini zayıflatabilir.
Bu nedenle bir satın alma, geleneksel bir yazılım ürünü incelemesinden daha fazlasını içerir. Alıcı, görev sistemini işletildiği haliyle anlamalıdır. Bu sistem; kaynak kod depolarını, derleme hatlarını, yapılandırma verilerini, dağıtım ortamlarını, kriptografik materyali, yer segmenti arayüzlerini, işletim kılavuzlarını, tedarikçi hizmetlerini, mühendislik muhakemesini ve sözleşmesel hakları kapsar. Bu unsurların birçoğu hedefin tüzel kişiliği dışında yer alabilir veya belirli kişilere bağlı olabilir.
Bu makale, söz konusu sorun için bir işlem çerçevesi ortaya koyar. Yazılım odaklı bir uzay işlemini değerlendiren stratejik satın alıcılar, altyapı yatırımcıları, özel sermaye şirketleri, uydu operatörleri, kreditörler ve yönetim kurulları için tasarlanmıştır. Kontrolü, sürekliliği, fiyatı, koşulları ve entegrasyon tasarımını değiştiren kanıtlara odaklanır.
1 Edinilen yeteneği tanımlayın
Alıcı, bir yetenek beyanıyla başlamalıdır. Beyan, yazılımın hangi görevleri, uzay araçlarını, faydalı yükleri, yer sahalarını, müşteri hizmetlerini ve operasyonel kararları desteklediğini belirler. Hizmet pencerelerini, kullanılabilirlik beklentilerini, emniyet sonuçlarını, düzenleyici yükümlülükleri ve gelir bağımlılıklarını kaydeder. Yalnızca ürün adları güvenilmez bir kapsam sınırı sunar; çünkü tek bir markalı platform ayrı uçuş dinamiği, planlama, kimlik, veritabanı, izleme ve yer istasyonu hizmetlerine bağlı olabilir.
Yetenek beyanı, uçuş yazılımını yer yazılımından ayırmalıdır. Uydu kontrolü satın alımları genellikle yer segmentine odaklanır; operasyonel değer ise gömülü uçuş arayüzlerine ve uzay aracına özgü komut veritabanlarına bağlı olabilir. Alıcı, hedefin sürekli operasyonlar için gereken her arayüzü kullanabildiğine, değiştirebildiğine ve devredebildiğine dair kanıt ihtiyacı duyar.
Kapsam sınırı ayrıca hariç tutulan hizmetleri de belirlemelidir. Ortak kurumsal kimlik, bulut abonelikleri, iletişim bağlantıları, anahtar yönetimi hizmetleri, veri merkezleri veya ana şirket personeli ilk günden itibaren kritik olabilir. Her hariç tutma, bir geçiş gereksinimi, devam eden bir bağımlılık veya değer düzeltmesi haline gelir.
2 Sahiplik, erişim ve kontrolü ayrı değerlendirin
Yasal sahiplik, kontrolün yalnızca bir unsurudur. Alıcının ayrıca fiziksel veya mantıksal erişime, değiştirme ve dağıtma için yeterli haklara, çalıştırma bilgisine ve kimlik bilgileri ile sürüm kararları üzerinde yetkiye ihtiyacı vardır. Bu unsurlar birbirinden ayrışabilir. Bir hedef, özel kaynak koduna sahipken devredilemez bir kütüphaneye bağımlı olabilir. Bir kod deposuna sahip olabilir ancak üretim derlemesi bir danışmanın özel araç zincirine bağlı olabilir. Geniş lisanslara sahip olabilir ancak bir kamu müşterisi dağıtım onayını kontrol edebilir.
Durum tespiti modeli sahipliği, zilyetliği, erişimi, değiştirme haklarını, dağıtım haklarını, operasyonel yetkiyi ve sona erdirme haklarını ayrı ayrı kaydetmelidir. Her kalem için belgesel kanıt gereklidir. İlgili kanıtlar arasında devir belgeleri, istihdam koşulları, yüklenici sözleşmeleri, lisans listeleri, depo izinleri, dağıtım kayıtları, müşteri sözleşmeleri ve tedarikçi teyitleri yer alır.
Kontrolün ayrıca bir zaman boyutu vardır. Durum tespiti sırasında mevcut olan erişim, kapanışta sona erebilir. Alıcı, işlem sınırı boyunca depo erişimini, bulut kiracılığını, imzalama yetkisini, yönetici kimlik bilgilerini, izleme geçmişini ve tedarikçi desteğini korumak için gereken tam eylemleri belirlemelidir.
3 Yazılım ve bağımlılık envanterini oluşturun
Envanter; uygulamaları, hizmetleri, depoları, dalları, derleme sistemlerini, dağıtım paketlerini, veritabanlarını, arayüzleri, ticari ürünleri, açık kaynak bileşenleri, kriptografik kütüphaneleri ve operasyonel betikleri tanımlamalıdır. Her bileşeni desteklediği görev işlevine ve çalıştığı ortama bağlamalıdır.
Bir SBOM, bileşen keşfini hızlandırabilir. Operasyonel envanterin yerini tutmaz. Kullanışlı bir satın alma envanteri, bileşen adını ve sürümünü kaynağa, lisansa, bakım sahibine, güvenlik açığı durumuna, derleme çıktısına, dağıtılan yapılandırmaya, veri bağımlılığına ve değiştirme yoluna bağlar. Konteynerlere, bellenime veya tedarikçi cihazlarına gömülü bileşenler dikkat gerektirir çünkü bunlar geleneksel bir uygulama listesinde yer almayabilir.
Alıcı üç görünümü uzlaştırmalıdır: mühendisliğin var olduğunu söylediği şeyler, depoların içerdiği şeyler ve üretim telemetrisinin çalıştığını gösterdiği şeyler. Farklılıklar durum tespiti bulgularıdır. Kayıt dışı bir hizmet kritik olabilir. Listelenen bir depo kullanımdan kalkmış olabilir. Bir üretim ikili dosyası onaylı bir kaynak commit'ine kadar izlenemeyebilir.
4 Kaynak kod tamlığını test edin
Depo erişimi, ürünün tamamını ve geçmişini kapsamalıdır. Alıcı; kaynak kodu, yapılandırma, altyapı tanımları, veritabanı şemaları, test varlıkları, derleme betikleri, dağıtım otomasyonu, dokümantasyon ve sorun geçmişini incelemelidir. Seçilmiş dosyaların bir anlık görüntüsü tamlığı kanıtlayamaz.
Tamlık testi, dağıtılmış yapıtlardan başlar. Ekip, temsili üretim ikili dosyalarını veya konteynerlerini belirler ve bunları kaynak revizyonlarına, bağımlılık sürümlerine, derleme parametrelerine ve onay kayıtlarına kadar izler. Ardından yazılımı kontrollü bir ortamda derler ve sonucu dağıtılan yapıtla veya belgelenmiş kökeniyle karşılaştırır. Farklılıklar açıklama gerektirir.
Üretilmiş kod ayrı ele alınmayı hak eder. NASA rehberliği, uzun vadeli bakımın modellere, simülasyonlara, veri tanımlarına, üreticilere, derleme verilerine, test betiklerine ve beklenen sonuçlara erişim gerektirebileceğini kabul eder. Üretici, model veya nitelikli yapılandırma eksik olduğunda üretilmiş kaynağa sahip olmak yetersiz kalabilir.
5 Derlemeyi yeniden üretin
Yeniden üretilebilir bir derleme, yüksek değerli bir durum tespiti testidir. Amaç, yetkili bir ekibin belgelenmemiş müdahale olmadan kontrollü girdilerden dağıtılabilir bir sürüm oluşturabildiğini göstermektir. Test, temiz bir ortam ve hedefin belgelenmiş prosedürünü kullanmalıdır. Alıcı gözlemcileri ön koşulları, harici indirmeleri, kimlik bilgilerini, manuel adımları, araç sürümlerini, uyarıları ve sapmaları kaydetmelidir.
Mevcut süreç deterministik derlemeyi desteklemediğinde sonucun bit bit aynı olması gerekmez. Mutabık kalınan testler kapsamında izlenebilir ve işlevsel olarak eşdeğer olmalıdır. Alıcı, herhangi bir farkın neden ortaya çıktığını ve sürecin bütünlüğü koruyup korumadığını anlamalıdır.
Derleme başarısızlığı, eksik lisansları, süresi dolmuş sertifikaları, kullanılamayan paket depolarını, belgelenmemiş yamaları veya belirli bir mühendise bağımlılığı ortaya çıkarabilir. Bu bulgular doğrudan geçiş maliyeti ve süreklilik riskiyle bağlantılıdır. Satın alma sözleşmesi, kapanıştan önce başarılı bir temiz derleme şartı koyabilir veya koşul yerine getirilinceye kadar bedeli emanete alabilir.
6 Sürüm ve dağıtım yetkisinin izini sürün
Kaynak erişimi, üretimi işletme yeteneğini ortaya koymaz. Alıcı, yetkiyi kod onayından başlayarak derleme, imzalama, sürüm, dağıtım ve geri alma boyunca izlemelidir. İzleme; değişiklikleri kimin onaylayabileceğini, imzalama kimlik bilgilerini kimin elinde tuttuğunu, paketlerin nerede saklandığını, ortamların nasıl ilerletildiğini ve acil durum sürümlerinin nasıl kontrol edildiğini belirler.
Uydu kontrol değişikliklerinin görev güvenliği sonuçları olabilir. Sürüm kanıtları; doğrulama sonuçlarını, operasyonel hazırlık incelemesini, yapılandırma onayını, uygun olduğunda müşteri veya yetkili makam rızasını ve test edilmiş bir kurtarma yolunu içermelidir. Alıcı, rutin uygulama sürümlerini komut doğrulama, uçuş dinamiği, telemetri yorumlama veya kriptografik güven değişikliklerinden ayırt etmelidir.
Kimlik bilgisi devri, tasarlanmış bir süreç gerektirir. Özel anahtarlar ve ayrıcalıklı kimlik bilgileri kapanış sırasında gelişigüzel kopyalanmamalıdır. Taraflar; rotasyon, iptal, yeniden kayıt, çift kontrol, denetim kayıtlarının korunması ve geri alma konularında anlaşmalıdır. Kapanış planı, operasyonel yetkinin ne zaman değişeceğini ve belirsiz sorumluluğun nasıl önleneceğini belirtmelidir.
7 Görev yapılandırma verilerini inceleyin
Görev kontrol yazılımı, kaynak kodu kadar değerli olabilecek yapılandırmaya dayanır. Komut sözlükleri, telemetri tanımları, limitler, kalibrasyon verileri, uzay aracı modelleri, temas planları, yörünge parametreleri, otomasyon kuralları ve müşteri yönlendirmesi, genel yazılımın gerçek bir filoyla nasıl etkileşime girdiğini belirler.
Alıcı, her yapılandırma sınıfı için yetkili kaynağı, onay sürecini, sürüm geçmişini ve kurtarma yöntemini belirlemelidir. Yeni bir ortamın kontrollü kayıtlardan doldurulup doldurulamayacağını test etmelidir. İnceleme, kaynak izi ve yedekleme eksik olduğunda elektronik tablo tabanlı veya yerel olarak saklanan yapılandırma risk yaratır.
Konfigürasyon hakları da önemlidir. Bir müşteri, uzay aracı üreticisi veya sistem entegratörü verinin bir kısmına sahip olabilir ya da onu kısıtlayabilir. Satın alma sözleşmesi devir, kullanıma devam, gizlilik, ihracat kısıtlamaları ve silme yükümlülüklerini ele almalıdır. Eksik konfigürasyon, aksi halde eksiksiz olan yazılımı belirli bir görev için kullanılamaz hale getirebilir.
8 Yazılım güvencesi kanıtlarını değerlendirin
Yazılım güvencesi kanıtları, ürünün kontrollü uygulamalar aracılığıyla geliştirilip sürdürülüp sürdürülmediğini gösterir. NIST'in SSDF'si güvenli geliştirmeyi organizasyonu hazırlama, yazılımı koruma, güvenliği iyi sağlanmış yazılım üretme ve güvenlik açıklarına yanıt verme etrafında düzenler. NASA yazılım güvencesi rehberliği, güvenlik ve görev bağlamları için nesnel kanıt ekler.
Alıcı; gereksinim izlenebilirliğini, mimari kararları, kod incelemesini, statik analizi, bağımlılık taramasını, test kapsamını, sürüm onayını, hata geçmişini ve güvenlik açığı müdahalesini gözden geçirmelidir. Kanıtlar üretimdeki sürümlerle örtüşmelidir. Yürütülmüş kayıtlar içermeyen bir politika belgesi sınırlı güvence sağlar.
Durum tespiti ekibi komut üretimi, kimlik doğrulama, yetki yönetimi, yörünge belirleme ve kurtarma gibi kritik yolları örneklemelidir. Testlerin olumsuz ve sınır koşullarını kapsayıp kapsamadığını incelemelidir. Açık bulgular görev sonucu, istismar edilebilirlik, kurtarılabilirlik ve giderim bağımlılığına göre sınıflandırılmalıdır.
9 Yazılım tedarik zincirini haritalandırın
Tedarik zinciri ticari satıcıları, açık kaynak projelerini, bulut sağlayıcılarını, derleme hizmetlerini, paket depolarını, donanım tedarikçilerini, danışmanları ve uzman operatörleri içerir. Alıcı hangi tarafların ürünü değiştirebileceğini, kesintiye uğratabileceğini, ona erişebileceğini veya onu kısıtlayabileceğini haritalandırmalıdır.
Her kritik tedarikçi için durum tespiti; sözleşmesel desteği, finansal dayanıklılığı, güvenlik uygulamalarını, erişim yetkilerini, olay bildirimini, değişiklik kontrolünü, kullanım ömrü sonu politikasını, veri konumunu ve ikame tedarik süresini kapsamalıdır. Birkaç görev-kritik bileşeni destekleyen bir tedarikçi, yıllık harcama küçük olsa bile yoğunlaşma yaratır.
NIST SP 800-161 , tedarik zinciri riskini bir satın alma kontrol listesi yerine kurumsal yönetişim sorunu olarak ele alır. İşlem ekibi tedarikçi kanıtlarını sistem kritikliği ve planlanan sahiplikle ilişkilendirmelidir. Önemli tedarikçiler kapanıştan önce onay, sözleşme devri veya doğrudan anlaşma gerektirebilir.
10 Açık kaynak maruziyetini analiz edin
Açık kaynak bileşenler kabiliyeti iyileştirebilir ve geliştirme süresini kısaltabilir. Ayrıca lisans, bakım ve güvenlik yükümlülükleri yaratırlar. Alıcı beyan edilen bileşenleri kod taraması ve derleme manifestolarıyla uzlaştırmalıdır. Lisans koşullarını, değişiklikleri, bildirimleri, dağıtım uygulamalarını ve bilinen güvenlik açıklarını belirlemelidir.
Copyleft maruziyeti, fiili kullanım ve dağıtıma dayalı hukuki analiz gerektirir. Tek başına bir lisans etiketi yükümlülüğü tesis etmez. Ekip, bileşenlerin nasıl bağlandığını, konuşlandırıldığını, değiştirildiğini ve müşterilere nasıl sunulduğunu belgelemelidir. Giderim; bildirim düzeltmesi, kaynak kodu sunma taahhütleri, bileşen değiştirme veya müşteri iletişimini içerebilir.
Bakım durumu değeri etkiler. Aktif bir bakımcısı veya desteklenen sürümü olmayan kritik bir kütüphane iç sahiplik gerektirebilir. Alıcı fork stratejisini, test kapsamını, yama kapasitesini ve topluluk bağımlılığını değerlendirmelidir. Yazılım malzeme listesi, statik bir durum tespiti artefaktı haline gelmek yerine kapanıştan sonra da güncel kalmalıdır.
11 Fikri mülkiyet kökenini inceleyin
Her önemli kod katkısının savunulabilir bir köken izi olmalıdır. Çalışan buluşları uygun iş sözleşmesi hükümleri kapsamına girmelidir. Yüklenici işleri yeterli kapsamla devredilmelidir. Edinilen veya katkı sağlanan kod gerekli hakları taşımalıdır. Üniversite, devlet veya müşteri tarafından finanse edilen geliştirme, ayrıntılı inceleme gerektiren kısıtlamalar içerebilir.
Ekip, commit geçmişini katkıda bulunan kayıtları ve sözleşmelerle karşılaştırarak örneklemelidir. Tanınmayan yazarlar, kişisel hesaplar veya açıklanamayan toplu içe aktarımlar incelenmelidir. İnceleme; dokümantasyon, modeller, test verileri, kullanıcı arayüzleri ve algoritmaları içermelidir; çünkü değerli fikri mülkiyet yalnızca kaynak dosyalarla sınırlı değildir.
Patent ve ticari sır analizi fiili ürüne ve ticari plana odaklanmalıdır. Alıcı; savunma amaçlı tescilleri, faaliyet özgürlüğü çalışmalarını, gizlilik kontrollerini ve ticari sır korumasını zayıflatabilecek her türlü açıklamayı anlamalıdır. İşlem belgeleri, belirli köken risklerini garantiler, tazminatlar, emanetler veya koşullu bedel yoluyla tahsis edebilir.
12 Ayrıcalıklı erişim ve ayrıştırmayı test edin
Görev kontrol ortamları güçlü ayrıcalıkları bir arada barındırır. Yöneticiler komutları, kimlikleri, veritabanlarını, bulut kaynaklarını, imzalama anahtarlarını ve izlemeyi kontrol edebilir. Alıcı, geliştirme, test, üretim ve kurtarma ortamlarındaki insan, hizmet ve acil durum hesaplarını kapsayan bir ayrıcalık envanteri edinmelidir.
İnceleme; işe katılan, yer değiştiren ve ayrılan kontrollerini; çok faktörlü kimlik doğrulamayı; onayı; oturum günlüklemesini; kimlik bilgisi rotasyonunu; acil durum (break-glass) erişimini; ve geliştirme ile üretim arasındaki ayrıştırmayı test etmelidir. Paylaşılan veya atıl hesaplar hesap verebilirliği azaltır. Hizmet hesapları sahiplik ve yaşam döngüsü kontrolleri gerektirir.
İşlem kapanışı erişim riskini artırır. Ayrılan personel kimlik bilgilerini veya kurtarma yollarına ilişkin bilgiyi elinde tutabilir. Geçiş planı hassas kimlik bilgilerini döndürmeli, eski erişimi iptal etmeli, kanıtları korumalı ve ikili operasyonel kapsamı sürdürmelidir. Erişim kaybının canlı bir görevi etkileyebileceği durumlarda bu eylemler prova edilmelidir.
13 Güvenlik açığı yönetimini gözden geçirin
Alıcı, güvenlik açıklarının nasıl keşfedildiğini, önceliklendirildiğini, giderildiğini ve bildirildiğini anlamalıdır. Kaynaklar arasında statik analiz, bağımlılık taraması, sızma testi, müşteri bildirimleri, tedarikçi duyuruları ve operasyonel izleme yer alır. Program; önem derecesini, görev üzerindeki etkiyi, giderme zamanlamasını, istisna onayını ve yeniden test etmeyi tanımlamalıdır.
Birikim analizi gizli bakım gereksinimlerini ortaya çıkarabilir. Alıcı; yaşı, tekrarlanmayı, etkilenen sürümleri ve kapatma kalitesini incelemelidir. Düşük bir sayı, zayıf tespiti yansıtabilir. Yüksek bir sayı, aktif keşfi yansıtabilir. Kullanışlı ölçüt, kuruluşun ilgili maruziyeti belirleme ve bunu riske dayalı zaman çerçeveleri içinde azaltma yeteneğidir.
Uçuş ve yer sistemlerinin sınırlı yama pencereleri olabilir. Hedef, telafi edici kontrolleri nasıl uyguladığını ve güvenli sürümleri nasıl planladığını göstermelidir. Erişilemeyen veya kullanım ömrünü tamamlamış bileşenlerdeki bilinen güvenlik açıkları, belirli bir fiyat indirimini veya finanse edilen bir giderme rezervini haklı çıkarabilir.
14 Arayüzleri ve birlikte çalışabilirliği değerlendirin
Uydu kontrol yazılımı; uzay araçları, yer istasyonları, ağlar, kimlik sistemleri, müşteri platformları, hava durumu verileri, yörünge verileri ve düzenleyici hizmetlerle olan arayüzlere bağlıdır. Alıcı, her arayüz için protokol, sürüm, sahip, performans gereksinimi, güvenlik kontrolü, test ortamı ve değişiklik sürecinin envanterini çıkarmalıdır.
Arayüz dokümantasyonu, gözlemlenen trafik ve mevcut konfigürasyonlarla karşılaştırılarak test edilmelidir. Tescilli veya belgelenmemiş arayüzler bağımlılık yaratır. Standart bir protokol, yine de değiştirmeyi zorlaştıran müşteriye özgü uzantılar içerebilir.
Ekip arıza modlarını test etmelidir. Gecikmeli verileri, yinelenen mesajları, saat hatalarını, bozulmuş girdiyi, ağ kesintisini ve kısmi hizmet kaybını gözlemlemelidir. Kurtarma davranışı operasyonel değeri etkiler. Entegrasyon planları arayüz gözlemlenebilirliğini korumalı ve birkaç kritik bağımlılığı aynı anda değiştirmekten kaçınmalıdır.
15 Veri haklarını ve kayıtları değerlendirin
Operasyonel veriler; izleme, anomali analizi, model iyileştirme, müşteri raporlaması ve düzenleyici kanıtı destekler. Alıcı; telemetri, komutlar, türetilmiş ürünler, günlükler, müşteri bilgileri ve eğitim verileri için sahiplik, muhafaza, izin verilen kullanım, saklama ve ihracat haklarını birbirinden ayırmalıdır.
İşlem kapsamı, sistemin işletilmesi ve iyileştirilmesi için gereken geçmiş verileri içermelidir. Alıcı, uyarıları ayarlamak veya anomalileri araştırmak için yeterli operasyonel geçmiş olmadan yazılım alabilir. Veri taşıma işlemi zaman damgalarını, kökeni, erişim kontrollerini ve delil bütünlüğünü korumalıdır.
Gizlilik ve yerelleştirme yükümlülükleri personel ve müşteri verilerine uygulanabilir. İhracat kontrolleri ve ulusal güvenlik kısıtlamaları teknik verileri ve yabancı kişilerin erişimini etkileyebilir. Hukuki analiz, yükümlülükleri gerçek veri kümeleri ve faaliyet konumlarıyla eşleştirmelidir.
16 Operasyonel dayanıklılık ve kurtarmayı inceleyin
Dayanıklılık testleri, hizmetin altyapı, yazılım, tedarikçi ve insan kaynaklı arızalara rağmen nasıl devam ettiğini göstermelidir. Alıcı; yedeklilik, yedekler, kurtarma ortamları, iletişim alternatifleri, manuel prosedürler, kurtarma hedefleri ve tatbikat sonuçlarını gözden geçirmelidir.
Bir yedek, yalnızca görevin toleransı içinde geri yüklenebiliyorsa faydalıdır. Durum tespiti ekibi temsili bir geri yüklemeyi gözlemlemeli ve yapılandırmayı, kimlik bilgilerini, bağımlılıkları ve veri bütünlüğünü doğrulamalıdır. Kurtarma, birincil ortam veya tedarikçi kullanılamadığında sistemleri yeniden oluşturma yeteneğini içermelidir.
Satın almanın kendisi bir dayanıklılık olayı olarak ele alınmalıdır. Kurumsal sistemler, alan adları, bulut hesapları ve destek sözleşmeleri değişebilir. Ayrıntılı geçiş planı, geri alma kriterleri, komuta yetkisi ve ortak olay süreci geçiş riskini azaltır.
17 Kişi ve bilgi yoğunlaşmasını değerlendirin
Yazılım sürekliliği; mimariyi, görevleri, anomalileri, müşterileri ve operasyonel muhakemeyi anlayan kişilere bağlıdır. Alıcı, rolleri kritik süreçlerle eşleştirmeli ve tek bilgi noktalarını belirlemelidir. Organizasyon şemaları sınırlı kanıt sağlar; eşleştirme, olayları gerçekte kimin çözdüğünü ve sürümleri kimin onayladığını yansıtmalıdır.
Elde tutma kararları hem teknik önemi hem de bağımsızlığı dikkate almalıdır. Yoğunlaşmış bilgi; eşleştirme, dokümantasyon, prova ve halefiyet yoluyla azaltılabilir. Bilgi transferi kilometre taşları olmadan yapılan elde tutma ödemeleri, bağımlılığı azaltmak yerine koruyabilir.
İşlem modeli; işe alım, elde tutma, yüklenici dönüşümü ve eğitim maliyetlerini içermelidir. Yetkinlik geçiş dönemi içinde transfer edilemediğinde kilit kişi riski değerlemeyi etkileyebilir. Yönetim, belirlenmiş bilgi transferi kanıtlarına göre ilerlemeyi raporlamalıdır.
18 Müşteri ve düzenleyici kabulünü gözden geçirin
Müşteri sözleşmeleri yazılım performansı, güvenlik, denetim, onay ve değişiklik yükümlülüklerini tanımlayabilir. Alıcı; rıza, bildirim, yeniden sertifikasyon veya belirli personel gerektiren sözleşmeleri belirlemelidir. Otomatik olarak devreden geliri, müşteri kabulüne bağlı gelirden ayırmalıdır.
Kamu ve kritik altyapı müşterileri teknik veri, güvenlik izni, barındırma veya tedarik zinciri kısıtlamaları getirebilir. Alıcı; sahiplik, finansman, personel ve işletme modelinin uygun kalmaya devam edip etmeyeceğini değerlendirmelidir. Düzenleyici lisanslar ve spektrum hakları yazılım şirketi dışında yer alabilir, ancak hizmet sunumu için hayati olmaya devam edebilir.
Ticari model, belirsiz yenilemeleri ve rızaları olasılıkla ağırlıklandırmalıdır. Bedel, doğrulanmış transfer veya korunan gelire bağlı olabilir. Alıcı, işletme ön koşulları devredilmeyen sözleşmeler için tam değer ödemekten kaçınmalıdır.
19 Durum tespitini değerlemeye bağlayın
Yazılım durum tespiti değeri nakit akışı, zamanlama, risk ve opsiyon ömrü üzerinden değiştirir. İyileştirme maliyeti artırır. Eksik haklar erişilebilir geliri azaltabilir. Operasyonel kırılganlık kesinti olasılığını artırabilir. Zayıf derleme kontrolü ürün geliştirmeyi geciktirebilir. Güçlü kanıtlar daha düşük entegrasyon rezervlerini ve yenilemeye daha yüksek güveni destekleyebilir.
Değerleme köprüsü düzeltmeleri çift saymaktan kaçınmalıdır. Tekrarlayan bir destek maliyeti tahmin edilen nakit akışına aittir. Bir kerelik yeniden derleme, işlem veya entegrasyon kalemlerine girer. İkili hak kusuru, iskonto oranı primi yerine hariç tutma, emanet veya bir koşul gerektirebilir.
Alıcı baz, aşağı yönlü ve ağır senaryoları göstermelidir. Her senaryo operasyonel varsayımları, kanıtları ve yönetim eylemlerini belirlemelidir. Terminal değer; süregelen bakımı, bileşen eskimesini, tedarikçi yoğunlaşmasını ve ürünü yenileme kapasitesini yansıtmalıdır.
20 Bulguları işlem mekaniklerine dönüştürün
Maddi bulguların bir sahibi ve bir işlem yanıtı olmalıdır. Olası yanıtlar arasında fiyat indirimi, holdback, emanet, earn-out, tazminat, kapanış koşulu, kovenant, geçiş hizmeti, lisans novasyonu, kilit kişi düzenlemesi veya hariç tutulan varlık yer alır.
Koşullar nesnel olarak test edilebilir olmalıdır. Tanımlanmış depolar, dallar, artefaktlar ve kabul testleri olmadan tam kaynak sağlama gerekliliği zayıftır. Bir derleme koşulu ortamı, girdileri, başarılı test paketini ve dağıtım paketini belirtebilir. Bir erişim koşulu kimlikleri, ayrıcalıkları, anahtarları ve doğrulanmış oturum açmayı belirtebilir.
Açıklama süreci sürümlenmiş kanıtları korumalıdır. Alıcı, her beyanı hangi artefaktların desteklediğini ve istisnaları kimin kabul ettiğini kaydetmelidir. Teknik çizelgeler, hukuki dilin operasyonel gerçekliğe karşılık gelmesi için mühendislik ve hukuk danışmanları tarafından incelenmelidir.
21 Kapanış kontrol odasını tasarlayın
Kapanış operasyonel bir değişiklik olarak yönetilmelidir. Kontrol odası hukuki tamamlanmayı, kimlik bilgisi transferini, tedarikçi novasyonunu, bulut kiracılığını, kod depolarını, imza yetkisini, müşteri bildirimlerini, izlemeyi ve olay kapsamını koordine eder.
Plan açık uygula, bekle ve geri al kriterleri kullanmalıdır. Her adım kanıtı, zamanlamayı, sorumlu kişiyi ve yedek planı belirler. Kritik erişim, geri alınamaz eylemler gerçekleşmeden önce test edilmelidir. Taraflar en yüksek risk penceresi boyunca ortak kapsamı sürdürmelidir.
Alıcı günlükleri ve yapılandırma anlık görüntülerini korumalıdır. Bu kayıtlar transfer anındaki durumu tesis eder ve sonraki incelemeyi destekler. Kapanış sonrası ilk sürüm, doğaçlama bir entegrasyon testine dönüşmek yerine kararlaştırılan güvence sürecini izlemelidir.
22 İlk 100 günü oluşturun
İlk 100 gün kontrolü istikrara kavuşturmalı, öncelikli kanıt boşluklarını kapatmalı ve yoğunlaşmayı azaltmalıdır. Erken eylemler arasında erişim yeniden sertifikasyonu, kimlik bilgisi rotasyonu, temiz derlemeler, bağımlılık doğrulaması, kritik birikim giderme, kurtarma testi, personel elde tutma ve tedarikçi yönetişimi yer alır.
Mimari değişiklikler kanıtları izlemelidir. Acil bir platform geçişi, sahiplik geçişini teknik değişiklikle birleştirerek kaçınılabilir risk yaratabilir. Entegrasyon ekibi değişiklikleri görev pencereleri, müşteri taahhütleri ve kurtarma kapasitesi etrafında sıralamalıdır.
Yönetim kurulu; derleme yeniden üretilebilirliği, kritik güvenlik açıkları, anahtar erişimi, tedarikçi sözleşme devirleri, müşteri onayları, kurtarma testleri, bilgi transferi ve harcamayı kapsayan özlü bir gösterge paneli almalıdır. Raporlanan tamamlanma, nesnel kanıt gerektirmelidir.
23 Sürekli yazılım değerini yönetin
Kapanış sonrası yönetişim, yazılım sağlığını ticari ve finansal sonuçlara bağlamalıdır. Mühendislik ölçütleri dağıtım güvenilirliği, hata kaçışı, güvenlik açığı yaşı, derleme bütünlüğü, kurtarma performansı ve bağımlılık durumunu içerir. Ticari ölçütler hizmet kullanılabilirliği, yenileme, teslimat gecikmesi ve destek maliyetini içerir.
Ürün yol haritası zorunlu bakım, müşteri taahhütleri, güvenlik iyileştirmeleri ve büyüme yatırımını birbirinden ayırmalıdır. Ertelenen bakım, kısa vadeli kazançları şişirirken gelecekteki nakit yaratımını zayıflatabilir. Yatırım komiteleri bu ayrımı anlamalıdır.
Alıcı, kritik haklar, konfigürasyonlar ve tedarikçiler için bir kanıt kaydı tutmalıdır. Sahiplik, lisans, destek veya mimarideki değişiklikler satın alma tezini değiştirebilir. Yıllık güvence ve dönemsel işlem hazırlığı incelemeleri, yeniden finansman veya çıkış için opsiyonelliği korur.
24 Varsayımsal işlem örneği
Varsayımsal hedef, iletişim, yer gözlemi ve barındırılan yük görevleri genelinde 18 uyduyu desteklemektedir. Platformu görev planlama, komut doğrulama, telemetri işleme, uçuş dinamikleri, otomasyon ve müşteri teslimatını içerir. Gelir, yıllık yazılım ve operasyon sözleşmeleri aracılığıyla elde edilir.
Durum tespiti, güçlü müşteri elde tutmayı ve yetkin mühendisliği doğrular. Ayrıca beş işlem riski belirler. Üretim derlemeleri, belgelenmemiş bir ticari araç gerektirir. İki kütüphane satıcının ana şirketine lisanslıdır ve otomatik olarak devredilemez. Bir yönetici, kilit üretim ve imzalama süreçlerini kontrol eder. Kritik güvenlik açığı gidermesi, görev pencereleri etrafında ertelenmiştir. Müşteriye özgü bir adaptör, hak devri kanıtı tamamlanmamış katkılar içerir.
Alıcı bu bulguları, USD 84 million ana değerinden USD 25 million toplu indirim yaparak fiyatlandırır. Tanımlanmış kanıt eşikleri karşılandığında ayrıca USD 6 million earn-out mevcuttur. Yapı, satıcının iyileştirmeye katılımını korurken kapanışta alıcının nakitini korur.
25 Karar ilkeleri
İlk olarak, edinilen görev kabiliyetini ve operasyonel çevresini tanımlayın. İkinci olarak, konuşlandırılmış her kritik artefaktı kontrollü kaynak, derleme ve onay kanıtlarına kadar izleyin. Üçüncü olarak, sahiplik, erişim, haklar ve operasyonel yetkiyi ayırın. Dördüncü olarak, tedarikçi ve personel yoğunlaşmasını iş sürekliliğine eşleyin. Beşinci olarak, kurtarma ve işlem geçişini test edin. Altıncı olarak, çözülmemiş her bağımlılığı nakit, koşul veya sözleşmesel korumaya dönüştürün.
Bu ilkeler mühendislik, finans, operasyon ve hukuk ekipleri için ortak bir dil yaratır. Ayrıca kanıt talepleri ve kabul testleri belirli hale geldiği için işlem hızını artırırlar.
Alıcının amacı, görev sonuçları üzerinde kanıtlanabilir kontroldür. Bu kontrol sürekliliği, müşteri güvenini, entegrasyonu ve savunulabilir değerlemeyi destekler.
26 Mimariyi ve teknik borcu inceleyin
Mimari durum tespiti, sistemin görev planlama, uçuş dinamikleri, komut doğrulama, telemetri, otomasyon, kimlik, veri depoları ve harici arayüzleri nasıl ayırdığını açıklamalıdır. Alıcı, güven sınırlarını, hata alanlarını, paylaşılan hizmetleri ve değişikliği birden fazla görevi etkileyebilecek bileşenleri belirlemelidir. Mimari diyagramlar, konuşlandırılmış topoloji, ağ akışları ve depo sahipliği ile uzlaştırılmalıdır.
Teknik borç, sonuçları üzerinden ifade edilmelidir. Eski bir programlama dili, uzmanlık, testler ve araç zincirleri mevcut olduğunda yönetilebilir kalabilir. Modern bir hizmet, sahiplik, gözlemlenebilirlik veya kurtarma açısından yoksunsa kırılgan olabilir. Durum tespiti ekibi, her önemli teknik borç kaleminin maliyetini, sıralamasını ve operasyonel riskini tahmin etmelidir.
Borç sınıflandırması bakım yapılabilirlik, güvenlik, performans, ölçeklenebilirlik, eskime ve uyumluluk arasında ayrım yapmalıdır. Ticari model, büyümeyi veya müşteri elde tutmayı kısıtlayan kategorileri yansıtmalıdır. İyileştirme planları, ayrıştırılmamış bir iş birikimi sunmak yerine bağımlılıkları ve görev pencerelerini belirlemelidir.
27 Gözlemlenebilirliği ve olay kanıtlarını değerlendirin
Görev kontrolünün değeri, anormal davranışı tespit etme ve açıklama yeteneğine bağlıdır. Alıcı; günlükleri, metrikleri, izleri, uyarıları, panoları, saklamayı, saat senkronizasyonunu ve olay kayıtlarını incelemelidir. Verinin nerede üretildiğini, kimlerin erişebildiğini ve kayıtların bir sistem veya tedarikçi arızasından sonra korunup korunmadığını belirlemelidir.
Uyarı kalitesi örneklenmeyi hak eder. Eyleme geçirilemeyen yüksek hacimli uyarılar önemli olayları gizleyebilir. Seyrek uyarılar sınırlı kapsamı yansıtabilir. Ekip, seçilen olayları kayıtlı telemetri, müdahale eylemleri, kök neden analizi ve düzeltici çalışmalarla karşılaştırmalıdır. Kalıcı iyileştirme yapılmadan tekrarlanan olaylar kontrol zayıflığına işaret eder.
İşlem planlaması izleme sürekliliğini korumalıdır. Hesap taşıma, bulut ayrıştırması veya araç değişimi kör dönemler yaratabilir. Kapanış planı, hangi uyarıların etkin kalacağını, bunları kimin alacağını ve ortak ekibin geçiş sırasında bir olayı nasıl ele alacağını tanımlamalıdır. İstikrarlı izlemeye ilişkin kanıtlar daha kısa bir geçiş hizmetleri dönemini destekleyebilir.
28 Ölçeklenebilirliği ve filo genişlemesini test edin
Geçmiş performans, platformun alıcının planladığı filoyu destekleyebileceğini kanıtlamaz. Ekip; uydular, temaslar, telemetri hacmi, komut yükü, müşteri arayüzleri, eşzamanlı operatörler ve yer istasyonları gibi ölçek etkenlerini belirlemelidir. Gözlenen zirve kullanımı ve kapasite marjlarını incelemelidir.
Yük testleri temsili mesaj desenlerini ve arıza koşullarını kullanmalıdır. Uzay operasyonları; fırlatma, devreye alma, anomaliler ve temas pencereleri çevresinde kısa yoğun faaliyet dönemleri yaratabilir. Ortalama kullanım, bu dönemlerde kuyruklamayı, veritabanı çekişmesini veya operatör aşırı yüklenmesini gizleyebilir.
Büyüme senaryosu altyapı, lisans, destek ve personel maliyetlerini içermelidir. Teknik olarak ölçeklenen bir platform, uydu başına tedarikçi fiyatlandırmasından veya kıt uzmanlardan kaynaklanan ticari sınırlarla karşılaşabilir. Değerleme modeli, büyüme gelirini bunu sağlamak için gereken sermaye ve işletme maliyetiyle uyumlu hale getirmelidir.
29 Yapay zekâ özelliklerini dikkatle değerlendirin
Hedef şirketler anomali tespiti, çizelgeleme, görüntü işleme, kestirimci bakım veya operatör desteği için makine öğrenimini kullanabilir. Durum tespiti; desteklenen tam kararı, model sahibini, eğitim verisi haklarını, doğrulamayı, izlemeyi, insan gözetimini ve arıza yanıtını belirlemelidir. Pazarlama açıklamaları operasyonel değere ilişkin sınırlı kanıt sunar.
Alıcı, iddia edilen performansı tanımlanmış bir temel çizgi ve temsili görev verisiyle karşılaştırmalıdır. Yanlış pozitifleri, yanlış negatifleri, kaymayı, yeniden eğitimi, sürüm kontrolünü ve uç durumları incelemelidir. Ortalama tespiti iyileştiren bir model, arıza modları opak olduğunda komut kararları için hâlâ uygun olmayabilir.
Mühendislikte veya operasyonlarda kullanılan üretken araçlar; hassas veriler, kod kökeni ve çıktı incelemesi üzerinde yönetişim gerektirir. Ürün yol haritası, kanıtlanmış müşteri değerini deneysel yetenekten ayırmalıdır. Değerleme, AI ile ilgili geliri yalnızca haklar, performans, dağıtım ve nakit dönüşümü kanıtlandığında dikkate almalıdır.
30 İhracat kontrolü ve egemen erişim kısıtlarını inceleyin
Uydu yazılımı, teknik veriler ve hizmetler ihracat kontrollerine, yaptırımlara, güvenlik sınıflandırmalarına ve egemen erişim gerekliliklerine tabi olabilir. Alıcı, kontrollü kalemleri, lisansları, uyrukları, lokasyonları, bulut bölgelerini ve müşteri kısıtlarını haritalandırmalıdır. Uzman danışmanlar uygulanacak hukuki rejimi yorumlamalıdır.
Sahiplik devredilse bile operasyonel erişim kısıtlanabilir. Bazı müşteriler güvenlik soruşturmasından geçmiş personel, yerel barındırma veya ayrıştırılmış destek talep edebilir. Alıcının sahiplik ve finansman yapısı inceleme veya onay tetikleyebilir. Bu faktörler entegrasyon tasarımını ve operasyonları merkezileştirme kabiliyetini etkiler.
İşlem modeli uyum personelini, ayrıştırılmış ortamları, lisans zamanlamasını ve olası gelir kısıtlarını içermelidir. Kapanış koşulları süreklilik için gerekli onayları ele almalıdır. Yönetim geniş güvencelerden kaçınmalı ve her yetkilendirmenin kapsadığı kesin kapsamı belirlemelidir.
31 Yatırım komitesi kanıt paketi oluşturun
Yatırım komitesi teknik bulgular ile ekonomik kararlar arasında kısa ve net bir bağlantıya ihtiyaç duyar. Paket, satın alınan kabiliyet, gelir bağımlılığı ve kritik kontrol noktalarıyla başlamalıdır. Kaynak ve derleme kanıtlarını, hakların durumunu, tedarikçi haritasını, operasyonel dayanıklılığı, müşteri onaylarını ve kritik personel yoğunlaşmasını sunmalıdır.
Her önemli bulgu kanıt durumunu, nakit etkisini, önerilen mekanizmayı, sorumlu sahibi ve kalan riski göstermelidir. Komite doğrulanmış bir açığı yönetim tahmininden ve gelecekteki bir iyileştirme vaadinden ayırt edebilmelidir. Senaryo analizi gecikmelerin ve birleşik başarısızlıkların etkisini göstermelidir.
Onay koşulları, devredilen yetkileri ve kapanış sonrası raporlamayı belirtmelidir. Kanıt paketi böylece entegrasyon yönetişimi için temel referans haline gelir. Bu süreklilik, durum tespiti bulgularının kapanıştan sonra kaybolma riskini azaltır ve değer yaratma konusunda sonraki hesap verebilirliği destekler.
32 Satıcıdan ayrışmayı planlayın
Bir ayrıştırma işlemi, uygulamaları, altyapıyı, kimlikleri, ağları, sözleşmeleri, verileri ve insanları kapsayan bir ayrışma modeli gerektirir. Alıcı satıcıda kalan hizmetleri, devredilen hizmetleri ve yeniden oluşturulması gereken hizmetleri belirlemelidir. Her kalem için geçici işletim yöntemi, hedef durum, maliyet, bağımlılık ve çıkış kriteri olmalıdır.
Geçiş hizmeti anlaşmaları ölçülebilir hizmetleri ve operasyonel sorumlulukları tanımlamalıdır. Hizmet seviyelerini, güvenlik yükümlülüklerini, olay koordinasyonunu, erişimi, değişiklik kontrolünü, veri iadesini, denetim haklarını, fiyatlandırmayı ve feshi belirtmelidir. Makul yardım sağlamaya yönelik geniş bir taahhüt, kritik görev ihtiyaçlarını çözümsüz bırakabilir.
Ayrışma takvimi görev kısıtlarına uymalıdır. Kimlik veya ağ değişiklikleri izleme ve komuta yollarını etkileyebilir. Veri göçü geçmişi ve denetim kanıtlarını etkileyebilir. Tedarikçi sözleşmesinin devri destek haklarını değiştirebilir. Taraflar yüksek riskli değişiklikleri aşamalandırmalı ve kabul kriterleri karşılanana kadar geri almayı korumalıdır.
Çıkışa hazırlık, bir geçiş hizmeti sona ermeden önce test edilmelidir. Alıcı bağımsız erişimi, derlemeyi, dağıtımı, izlemeyi, desteği ve kurtarmayı gösterebilmelidir. Ayrıca satıcı hesaplarının ve verilerinin hizmeti kesintiye uğratmadan kaldırılabileceğini doğrulamalıdır. Herhangi bir uzatmanın tanımlı bir gerekçesi, fiyatı ve iyileştirme sorumlusu olmalıdır.
Ayrışma maliyeti işlem modeline dahildir. Yinelenen altyapı, geçici lisanslar, göç mühendisliği, güvenlik testleri, müşteri doğrulaması ve operasyonel örtüşmeyi içerir. Tahmin, taahhüt edilmiş teklifleri yönetim varsayımlarından ayırmalıdır. Finanse edilen ve yönetişimi olan bir ayrışma planı sürekliliği korur ve işlemin satıcıya süresiz bağımlılık taşımasını önler.
Yönetim kurulu, görev açısından kritik tüm hizmetler bağımsız çalışana kadar haftalık bir ayrışma gösterge paneli almalıdır. Gösterge paneli gecikmiş bağımlılıkları, test edilmiş çıkışları, çözülmemiş müşteri yükümlülüklerini, tahmini maliyeti ve bir sonraki geri döndürülemez eylemi belirlemelidir. Kapanış, mühendislik, operasyonlar, güvenlik, finans ve ilgili hizmet sahibinden kanıt gerektirmelidir.
Ek A Durum tespiti kanıt kaydı
Kanıt kaydı; soruyu, talep edilen çıktıyı, kaynak sahibini, sürümü, inceleme sonucunu, istisnayı, finansal sonucu ve işlem yanıtını tanımlamalıdır. Sonuçların yeniden üretilebilmesi için sanal veri odasına bağlı kalmalıdır.
Yüksek öncelikli kanıtlar arasında üretim envanteri, depo haritası, temiz derleme sonucu, dağıtım izi, ayrıcalık envanteri, lisans çizelgesi, SBOM, güvenlik açığı birikimi, kurtarma testi, müşteri onayı haritası ve kilit personel planı yer alır. Her kalem, kapsadığı kesin sistemleri ve yapılandırmaları belirtmelidir.
Örnekleme risk temelli olmalıdır. Ekip; temsili yüksek sonuçlu görevleri, kritik arayüzleri, son sürümleri, acil değişiklikleri ve daha eski bileşenleri seçmelidir. Örnekler hem kontrol tasarımını hem de fiili uygulamayı test etmelidir.
Ek B: Değerleme yöntemi
Örnek niteliğindeki yöntem, alıcının ticari modelinden türetilen işletme değeriyle başlar. Ardından, tekrarlayan bakım ve tedarikçi maliyetleri için tahmini nakit akışını düzeltir. Tek seferlik iyileştirme, ayrışma ve geçiş maliyetleri kullanımlara dahil edilir. Müşteri onayına tabi gelir, olasılık ağırlıklıdır. Hak kusurları ve operasyonel koşullar; indirimler, emanetler veya koşullu bedel yoluyla ele alınır.
Senaryo analizi ilgili riskleri birleştirmelidir. Bir tedarikçi gecikmesi, iyileştirmeyi ve müşteri kabulünü de geciktirebilir. Kilit bir personelin ayrılması hem sürekliliği hem de bilgi transferini zayıflatabilir. Korelasyonlu aşağı yönlü riskler açıkça ele alınmalıdır.
Bu makaledeki hiçbir varsayımsal sayı, belirli bir işlemi temsil etmez. Vaka, kanıtların değerleme ve işlem yapısına nasıl bağlanabileceğini gösterir.
Ek C: Kapanış kabul testleri
Kabul testleri; depo erişimini, temiz derlemeyi, test yürütmeyi, paket imzalamayı, üretim dışı dağıtımı, yapılandırma geri yüklemeyi, izlemeyi, ayrıcalıklı erişimi, tedarikçi desteğini ve kurtarmayı kapsamalıdır. Taraflar imzalamadan önce test verileri, ortam, geçme kriterleri ve kanıtlar üzerinde anlaşmalıdır.
Testler canlı operasyonel aksamaya yol açmaktan kaçınmalıdır. Üretim değişiklikleri görev onayı ve ayrı kontroller gerektirir. Üretim dışı bir test, kontrollü kaynaktan dağıtılabilir çıktıya kadar olan zinciri yine de doğrulayabilir.
Başarısız testlerin önceden tanımlanmış sonuçları olmalıdır. Bunlar; giderme, emanet, gecikmeli kapanış, azaltılmış bedel veya bir varlığın kapsam dışı bırakılmasını içerebilir. Yanıt, başarısızlığın operasyonel ve finansal önemine uygun olmalıdır.
Ek D: Karar şekilleri ve tabloları
Örnek niteliğinde kanıt ilerlemesi; değerler varsayımsaldır ve belirli bir şirketi temsil etmez.
Daha yüksek puanlar, varsayımsal durumda daha büyük bağımlılığa işaret eder.
Önerilen sıra; fiili zamanlama işlem gerçeklerine ve görev kısıtlarına bağlıdır.
Tamamen varsayımsal değerler; USD milyon.
Önerilen sıra; görev pencerelerine ve müşteri yükümlülüklerine tabidir.
| Kanıt | İşlem sorusu | Kabul göstergesi | Boşluğa yanıt |
|---|---|---|---|
| Depo envanteri | Tüm önemli kaynaklar kaynak kontrolü altında mı? | Üretim bileşenleri, adlandırılmış depolara kadar izlenebilir | Tamamlama koşulu veya kapsam dışı bırakma |
| Derleme tanımı | Temiz bir ortam sürüm üretebilir mi? | Belgelenmiş girdilerle başarılı kontrollü derleme | Alıkoyma ve iyileştirme planı |
| Köken | Dağıtılmış çıktılar izlenebilir mi? | Sürüm, bağımlılıklar, onay ve imza ilişkilendirilmiş | Risk rezervi ve kontrol iyileştirmesi |
| Üretilen çıktılar | Modeller ve oluşturucular mevcut mu? | Kontrollü kaynaklardan yeniden derleme mümkün | Lisans veya varlık devri koşulu |
Önerilen işlem kanıtı gereksinimleri.
| Bağımlılık | Kanıt | Ana maruziyet | İşlem muamelesi |
|---|---|---|---|
| Çalışan kodu | İstihdam ve buluş koşulları | Sahiplik boşluğu | Devir ve garanti |
| Yüklenici işi | İş tanımı ve devir | Kısıtlı değişiklik veya devir | Belirli devir veya tazminat |
| Ticari yazılım | Lisans ve destek koşulları | Devir yasağı, fesih veya fiyat düzeltmesi | Novasyon, ikame veya mahsup |
| Açık kaynak yazılım | SBOM, lisans ve dağıtım kaydı | Uyum ve bakım | Düzeltme planı ve sürekli yönetişim |
| Müşteri temas noktası | Sözleşme ve katkı geçmişi | Kullanım mevcut müşteriyle sınırlıdır | Onay veya koşullu değer |
Önerilen hukuki ve operasyonel bağımlılık sınıflandırması.
| Kalem | USD milyon | Kanıt dayanağı | Uygulama |
|---|---|---|---|
| Açıklanan işletme değeri | 84 | Ticari model | Başlangıç değeri |
| İyileştirme ve geçiş | -9 | Yapılandırma, kırılganlık ve ayrıştırma planı | Kapanış kesintisi |
| Haklar ve bağımlılıklar | -7 | Lisans ve kaynak eksiklikleri | Kesinti veya emanet |
| Yoğunlaşma ve kırılganlık | -5 | Erişim ve kilit kişi incelemesi | Entegrasyon rezervi |
| Müşteri kabulü | -4 | Onay ve arayüz kanıtı | Koşullu bedel |
| Kapanıştaki nakit değeri | 59 | Toplam çerçeve | Örnek sonuç |
Tamamen varsayımsal; USD milyon.
| Kontrol | Devirden önce kanıt | Kapanış işlemi | Kapanış sonrası doğrulama |
|---|---|---|---|
| Saklama alanları | Erişim listesi ve korumalı dallar | Yönetici hesaplarını aktar | Erişim ve günlükleri mutabık kıl |
| İmzalama | Anahtar envanteri ve onay zinciri | Anahtarları döndür veya yeniden kaydet | İmzalı üretim dışı sürümü test et |
| Üretim erişimi | Ayrıcalık envanteri | Yalnızca satıcıya ait hesapları iptal et | İnsan ve hizmet erişimini yeniden sertifikalandır |
| Tedarikçiler | Sözleşme ve muvafakat çizelgesi | Sözleşme devirlerini gerçekleştir | Destek ve olay iletişim kişilerini doğrula |
| Kurtarma | En son tatbikat ve yedekleme envanteri | Anlık görüntüleri koruyun | Kontrollü geri yükleme çalıştırın |
Önerilen kontroller; fiili sıralama görev kısıtlarına bağlıdır.
| Ölçüm | 30. gün kanıtı | 60. gün kanıtı | 100. gün kanıtı |
|---|---|---|---|
| Derleme kontrolü | Temiz ortam oluşturuldu | Kritik ürünler yeniden üretildi | Rutin sürüm kanıtları tamamlandı |
| Erişim | Yöneticiler yeniden sertifikalandırıldı | Hizmet hesapları atandı | İstisnalar kapatıldı veya kabul edildi |
| Kırılganlıklar | Kritik bekleyen işler doğrulandı | Öncelikli iyileştirmeler test edildi | Sürdürülebilir hizmet seviyeleri devrede |
| Tedarikçiler | Kritik bağımlılıklar doğrulandı | Sözleşme devirleri ve ikame çözümler ilerletildi | Yönetişim ve çıkış planları onaylandı |
| Bilgi | Kilit roller korundu | Runbook'lar ve eşleştirme devam ediyor | Bağımsız operasyonel kapsam test edildi |
Önerilen kanıt kilometre taşları.
| Bulgu | Nakit etkisi | Sözleşme mekanizması | Serbest bırakma kanıtı |
|---|---|---|---|
| Devredilemez bağımlılık | USD 7 million | Emanet veya fiyat indirimi | İmzalanmış yenileme veya nitelikli ikame |
| Derleme kırılganlığı | USD 4 million | Kapanış koşulu | Başarılı temiz derleme ve test |
| Kilit kişi bağımlılığı | USD 3 million | Elde tutmaya bağlı bloke tutar | Bilgi transferi kilometre taşları |
| Müşteriye özgü haklar | USD 4 million | Koşullu ek bedel | Onay ve tahsil edilen nakdin alıkonması |
Tamamen varsayımsal nakit etkileri; USD milyon.
| Karar alanı | Yeşil kanıt | Amber koşul | Kırmızı koşul |
|---|---|---|---|
| Kaynak kod kontrolü | Eksiksiz izlenebilir kod depoları | Küçük kontrollü eksiklikler | Kritik kaynak veya geçmiş eksik |
| Sıfırdan kurma | Tekrarlanabilir kontrollü sürüm | Finanse edilmiş düzeltmeyle manuel adımlar | Derleme yeniden üretilemiyor |
| Haklar | Devredilebilir belgelenmiş haklar | Koruma altında onay bekleniyor | Önemli hak kullanılamıyor |
| Operasyonlar | Bağımsız kadroyla kapsama | Test edilmiş geçişle yoğunlaşma | Yedek olmaksızın belirli kişiye bağımlılık |
| Kurtarma | Yakın zamanda başarılı geri yükleme | Kısmi kapsam veya eski tarihli tatbikat | Kurtarma test edilmemiş veya kullanılamıyor |
Önerilen karar eşikleri.
Kaynaklar
- Ulusal Standartlar ve Teknoloji Enstitüsü, SP 800-218 Güvenli Yazılım Geliştirme Çerçevesi Sürüm 1.1, 2022. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü, SP 800-161 Revizyon 1 Sistemler ve Kuruluşlar için Siber Güvenlik Tedarik Zinciri Risk Yönetimi Uygulamaları, 2022. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü, Tedarik Zincirlerinde Yazılım Güvenliği Rehberi, 2024'te güncellendi. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü, Siber Güvenlik Çerçevesi 2.0, 2024. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü, NISTIR 8401 Uydu Yer Segmenti Siber Güvenlik Çerçevesinin Uydu Komuta ve Kontrolüne Uygulanması, 2022. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü, SP 800-53 Revizyon 5 Bilgi Sistemleri ve Kuruluşlar için Güvenlik ve Gizlilik Kontrolleri. Birincil kaynağı okuyun
- Ulusal Havacılık ve Uzay Dairesi, NASA Yazılım Mühendisliği ve Güvence El Kitabı NASA-HDBK-2203. Birincil kaynağı okuyun
- Ulusal Havacılık ve Uzay Dairesi, SWE-042 Kaynak Koda Elektronik Erişim. Birincil kaynağı okuyun
- Ulusal Havacılık ve Uzay Dairesi, SWE-158 Yazılımı Güvenlik Açıkları Açısından Değerlendirme. Birincil kaynağı okuyun
- Ulusal Havacılık ve Uzay Dairesi, SWE-206 Yazılım Girdilerinin Otomatik Üretimi. Birincil kaynağı okuyun
- Ulusal Havacılık ve Uzay Dairesi, NPR 7150.2 NASA Yazılım Mühendisliği Gereksinimleri. Birincil kaynağı okuyun
- Ulusal Havacılık ve Uzay Dairesi, NASA-STD-8739.8 Yazılım Güvencesi ve Yazılım Güvenliği Standardı. Birincil kaynağı okuyun
- Ulusal Havacılık ve Uzay Dairesi, NASA-STD-1006A Uzay Sistemi Koruma Standardı. Birincil kaynağı okuyun
- Ulusal Havacılık ve Uzay Dairesi, Uzay Güvenliği En İyi Uygulamalar Kılavuzu. Birincil kaynağı okuyun
- Siber Güvenlik ve Altyapı Güvenliği Ajansı, Yazılım Tedarik Zincirini Güvenli Hale Getirme: Geliştiriciler için Önerilen Uygulamalar, 2023. Birincil kaynağı okuyun
- Siber Güvenlik ve Altyapı Güvenliği Ajansı, Yazılım Malzeme Listesi. Birincil kaynağı okuyun
- Siber Güvenlik ve Altyapı Güvenliği Ajansı, Tasarımdan Güvenli. Birincil kaynağı okuyun
- Siber Güvenlik ve Altyapı Güvenliği Ajansı, Federal Hükümet Siber Güvenlik Olayı ve Güvenlik Açığı Müdahale Kılavuzları. Birincil kaynağı okuyun
- Avrupa Uzay Ajansı, Görev Operasyonları için Yazılım Ürünleri. Birincil kaynağı okuyun
- Avrupa Uzay Ajansı, SPACE-SHIELD Kötü Niyetli Tedarik Zinciri Yetenekleri ve Yazılım Güvenlik Açıkları. Birincil kaynağı okuyun
- Avrupa Birliği Siber Güvenlik Ajansı, ENISA Uzay Tehdit Görünümü 2025. Birincil kaynağı okuyun
- Uzay Veri Sistemleri Danışma Komitesi, Görev Operasyonları ve Bilgi Yönetimi Hizmetleri. Birincil kaynağı okuyun
- Uzay Veri Sistemleri Danışma Komitesi, Güvenlik Çalışma Grubu Yayınları. Birincil kaynağı okuyun
- Amerika Birleşik Devletleri Uzay Ticareti Ofisi, Uzay Politikası Direktifi 5: Uzay Sistemleri için Siber Güvenlik İlkeleri. Birincil kaynağı okuyun
- Birleşik Krallık Ulusal Siber Güvenlik Merkezi, Yönetim Kurulları için Siber Güvenlik Araç Seti. Birincil kaynağı okuyun
- Açık Dünya Çapında Uygulama Güvenliği Projesi, Yazılım Bileşeni Doğrulama Standardı. Birincil kaynağı okuyun
- Açık Dünya Çapında Uygulama Güvenliği Projesi, Yazılım Güvence Olgunluk Modeli. Birincil kaynağı okuyun
- Linux Vakfı, SPDX Yazılım Paketi Veri Değişimi. Birincil kaynağı okuyun
- Uluslararası Standardizasyon Örgütü, ISO IEC 27001 Bilgi Güvenliği Yönetim Sistemleri. Birincil kaynağı okuyun
- Uzay Standardizasyonu için Avrupa İşbirliği, ECSS Yazılım Mühendisliği Standartları. Birincil kaynağı okuyun
