یک محصول متصل تا چه زمانی باید پشتیبانی شود؟
سه نهاد مقرراتی اکنون اعلام مدت پشتیبانی را الزامی کردهاند. چگونه عددی انتخاب کنیم که بتوان به آن پایبند ماند و چه تعهدی برای تیم مهندسی میسازد.
تا همین اواخر، اینکه یک محصول متصل تا چه مدت بهروزرسانی امنیتی دریافت میکند پرسشی بود که کسی مجبور نبود علناً به آن پاسخ دهد. این وضعیت همزمان در سه حوزه قضایی تغییر کرده است: مقررات بریتانیا، قانون تابآوری سایبری اتحادیه اروپا و معیارهای نشان اعتماد سایبری آمریکا همگی از سازنده انتظار دارند مدت پشتیبانی را اعلام کند. انتشار یک عدد آسان است. انتخاب عددی که بتوان به آن پایبند ماند مسئله واقعی است.
وسوسه اولیه انتشار عددی کوتاه و بیخطر است. اشکال اینجاست که این عدد یک سند فروش هم هست. خریداری که دو ترموستات را مقایسه میکند، دو سال در برابر ده سال را به عنوان اظهارنظری درباره اینکه کدام شرکت انتظار دارد هنوز وجود داشته باشد میخواند، و در محصولات تجاری و ساختمانی واحد تدارکات بهسادگی گزینه کوتاهتر را حذف میکند. پس این عدد از پایین با آنچه بازار میپذیرد و از بالا با آنچه مهندسی تاب میآورد محدود میشود.
تعهدی که ایجاد میکند فراتر از وصله کردن کد خودتان است. مدت پشتیبانی وعدهای درباره کل درخت وابستگی است: سیستمعامل بیدرنگ، کتابخانه رمزنگاری، پشته وایفای سازنده ماژول، و بوتلودر. اگر سازنده تراشه در سال چهارمِ یک وعده دهساله انتشار بهروزرسانی کیت توسعه خود را متوقف کند، شما نگهداری پشتهای را به ارث بردهاید که ننوشتهاید و شاید حتی نتوانید بسازیدش. ارزش دارد این پرسش پیش از انتخاب قطعه و بهصورت مکتوب از هر تأمینکننده پرسیده شود، چون پاسخش بهندرت در برگه مشخصات میآید.
این وعدهای درباره توانایی انتشار هم هست. دستگاهی که در سال هشتم بهروزرسانی نمیشود چون کلید امضا گم شده، محیط ساخت دیگر وجود ندارد یا زنجیره ابزار روی هیچ سیستمعامل پشتیبانیشدهای اجرا نمیشود، در عمل بدون پشتیبانی است؛ فارغ از آنچه روی برچسب نوشته شده. تکرارپذیر نگه داشتن یک ساخت برای یک دهه تعهدی زیرساختی است که باید بودجه داشته باشد، و همان بخشی است که بیسروصدا زودتر از همه شکست میخورد.
راه معقول رسیدن به این عدد، حرکت معکوس از سختافزار است. برآورد کنید محصول چه مدت بهطور فیزیکی نصب باقی میماند، چون دقیقاً همان مدت در معرض حمله است. طولانیترین تعهد پشتیبانیای را که میتوانید بهصورت مکتوب از تأمینکننده تراشه و ماژول بگیرید بررسی کنید، چون نمیتوانید فراتر از آن وعده معتبری بدهید. سپس بپرسید تیم شما توان نگهداری همزمان چند نسل را دارد، با یادآوری اینکه در سال پنجم همزمان این محصول، جانشین آن و نسل بعدی را پشتیبانی خواهید کرد.
پاسخ صادقانه معمولاً کوتاهتر از خواسته بازاریابی و بلندتر از خواسته مهندسی است، و باید همراه با استدلالش نوشته شود. وقتی این پرسش چهار سال بعد بازگردد — و بازخواهد گشت، از سوی مشتری، نهاد ناظر یا حسابرس — همان استدلال است که عدد را قابل دفاع میکند نه دلبخواهی.