Üçüncü taraf model, veri seti, API, eklenti, araç ve altyapı…

Doğrudan cevap

Her dış bileşen için sağlayıcı, ürün, sürüm, kullanım amacı, verilen veri, alınan çıktı, yetkiler, bağımlılıklar ve sorumluluk sahibi kaydedilir. Kurum; sağlayıcıyı seçme, yapılandırma, veri aktarma, çıktıyı karar veya yayında kullanma ve sorunları izleme sorumluluğunu görünür tutar. Sağlayıcının sorumluluğu da sözleşme, teknik belge, hizmet kapsamı ve geçerli hukuk içinde ayrı yazılır. “Sağlayıcı yaptı” ifadesi sorumluluk matrisi yerine geçmez.

Sade dille

Yemek için kiralık bir mutfak kullandığınızı düşünün. Fırının sahibi arızalı cihazdan sorumlu olabilir; fakat hangi malzemeyi kullandığınız, yemeği nasıl hazırladığınız ve müşteriye ne sunduğunuz sizin sorumluluğunuzdur. Dış araç kullanmak bütün kararları dışarıya devretmez.

Neden önemli?

Bir zincirdeki tek sağlayıcı değişikliği veri akışını, model davranışını, güvenliği veya çıktının anlamını değiştirebilir. Envanter ve çıkış planı yoksa kurum sorunun hangi bileşenden geldiğini bulamaz ve hizmeti güvenli biçimde sürdüremez.

Karıştırma

Sağlayıcı ürünü sunar; deployer veya kullanan kurum onu belirli amaçla devreye alır.
Teknik operatör, karar sahibi ve hukukî sorumlu her zaman aynı taraf değildir.
Veri seti, temel model, ince ayar, API, eklenti ve altyapı ayrı tedarik kalemleridir.
Sözleşmedeki sorumluluk paylaşımı, etkilenen kişilere karşı bütün yükümlülükleri otomatik olarak yok etmez.
Bir hizmetin erişilebilir olması, belirli kullanım için güvenli veya uygun olduğunu kanıtlamaz.

Ne yapmalısın?

Bütün model, veri seti, API, eklenti, araç ve altyapı bağımlılıklarını sürüm düzeyinde envantere alın.
Her bileşen için iş sahibi, teknik sahibi, veri sahibi, karar sahibi ve olay sorumlusunu yazın.
Satın alma veya entegrasyon öncesinde güvenlik, gizlilik, veri kökeni, sınırlamalar ve destek kanıtlarını inceleyin.
Veri ve araç yetkilerini en aza indirin; sağlayıcıya gereksiz erişim vermeyin.
Sürüm değişikliği, kesinti, veri olayı ve önemli koşul değişikliği için bildirim ve yeniden test şartı koyun.
İstem, çıktı, model sürümü, araç çağrısı ve sağlayıcı olaylarını ilişkilendiren izleri koruyun.
Sağlayıcı değişimi veya kaybı için veri taşıma, alternatif hizmet, geri alma ve güvenli çıkış planı hazırlayın.

Nasıl denetlersin?

Kullanılan bütün üçüncü taraf bileşenler ve alt bağımlılıklar biliniyor mu?
Her risk ve karar için içeride hesap verebilir bir insan sahibi var mı?
Sağlayıcının beyanı bağımsız test veya uygun kanıtla sınanmış mı?
Veri kullanımı, saklama, alt işleyenler ve sınırlar anlaşılır biçimde kayıtlı mı?
Sessiz sürüm veya yapılandırma değişiklikleri tespit edilebiliyor mu?
Olay anında kayıt, bildirim, iş birliği ve geri alma koşulları uygulanabilir mi?
Çıkış planı gerçek veriler ve bağımlılıklar üzerinde test edilmiş mi?

Sınır

Tarafların hukukî sıfatı ve yükümlülüğü ülke, sektör, sözleşme, veri türü ve fiilî kontrol gücüne göre değişir. Bir sağlayıcının herkese açık belgesi, somut hizmetinizin bütün alt bağımlılıklarını veya risklerini eksiksiz açıklamayabilir.