Lỗi Heartbleed trong thư viện OpenSSL khiến khoảng 17% máy chủ web có chứng thực tin cậy bị coi là dễ tổn thương khi công bố. Phía sau là một dự án do vài tình nguyện viên duy trì, chỉ một người làm toàn thời gian và quyên góp hằng năm chỉ khoảng 2.000 USD. Phân tích dưới góc nhìn quản lý nguồn lực: phụ thuộc trọng yếu vào một "nguồn lực" không ai phân bổ ngân sách.
Các doanh nghiệp dùng OpenSSL miễn phí nhưng không ở trong sổ đăng ký bên liên quan (stakeholder register) của dự án với tư cách người đóng góp nguồn lực. Mối quan hệ chỉ một chiều: lấy giá trị mà không đầu tư lại.
Công việc then chốt tập trung ở số ít người, không có dự phòng và bàn giao. Đây là rủi ro nguồn lực cổ điển, nhưng ở đây nó được che bởi cảm giác "thư viện nổi tiếng thì ắt có đội ngũ lớn".
PM của sản phẩm dùng OpenSSL nên liệt kê các thư viện trọng yếu và đánh giá mức độ khỏe mạnh của chúng:
Có tổ chức bảo trợ, nhiều người bảo trì, quy trình rà soát và phát hành đều đặn.
Ít người bảo trì hoặc ngân sách thấp; đặt chỉ báo cảnh báo sớm và phương án thay thế.
Một người gánh phần lớn việc, không có dự phòng; phải có hành động ngay (tài trợ, đóng góp nhân lực, kiểm toán).
Chuyển rủi ro nguồn lực thành quyết định ngân sách: tài trợ, cử kỹ sư tham gia rà soát hoặc kiểm toán mã. Cách làm của CII sau 2014 chính là phân bổ nguồn lực chung cho thành phần chung.
Yêu cầu có tài liệu, ít nhất hai người hiểu mỗi mô-đun nhạy cảm và quy tắc rà soát bắt buộc hai người cho thay đổi liên quan đến bộ nhớ hoặc mật mã.
Một thành phần phần mềm "ai cũng dùng" vẫn có thể chỉ do rất ít người nuôi. Nguồn lực của dự án bạn không chỉ là đội của bạn: nó gồm cả đội đứng sau các thư viện bạn phụ thuộc. Hãy đưa chúng vào kế hoạch nguồn lực và sổ rủi ro trước khi lỗi buộc bạn phải làm điều đó.
Bạn chọn phương án nào?