Năm 2022, người bảo trì gốc của xz Utils nói công khai mình bị giới hạn bởi vấn đề sức khoẻ tinh thần và dự án chỉ là sở thích không lương, trong khi một số tài khoản liên tục thúc ép bàn giao quyền. Đến tháng 3/2024, backdoor CVE-2024-3094 (CVSS 10) bị phát hiện tình cờ. Phân tích về kiệt sức, bus factor và quản trị quyền truy cập trong dự án.
Trong quản lý đội dự án, quyền ra quyết định cần gắn với xác minh năng lực và danh tính. Quyền commit trực tiếp là quyền rất lớn với phần mềm hạ tầng; không có rà soát chéo bắt buộc nên mã có thể đi tiếp.
Bài báo cho thấy các yêu cầu "gấp" đánh vào sự quá tải và cảm giác có lỗi của người bảo trì. Quản lý đội cần chuẩn mực giao tiếp tôn trọng và cách xử lý yêu cầu thúc ép (Manage Team, giải quyết xung đột).
PM dự án (hoặc người bảo trợ cộng đồng) cần theo dõi chỉ báo và phản ứng theo mức độ:
Thời gian phản hồi ổn định, có ít nhất hai người có thể phát hành.
Phản hồi chậm kéo dài, người bảo trì báo giới hạn; lên kế hoạch bổ sung người và giảm phạm vi.
Một người gánh mọi việc và nói công khai kiệt sức; dừng nhận tính năng mới, kích hoạt tài trợ/bảo trợ.
Người mới bắt đầu bằng quyền gửi patch, sau đó mới tới quyền phát hành. Mọi thay đổi vào quy trình build và tệp nhị phân thử nghiệm cần người thứ hai xem xét.
Có hướng dẫn quản trị dự án: tiêu chí đồng bảo trì, thời gian thử việc, kiểm tra độc lập từ tổ chức bảo trợ hoặc bên dùng lớn.
Kiệt sức của một người then chốt là rủi ro nguồn lực và cũng là lỗ hổng bảo mật. Khi bus factor bằng 1, người bị thúc ép dễ trao quyền sai người. Hãy phát hiện quá tải sớm, bổ sung người có kiểm chứng và gắn quyền truy cập với rà soát chéo.
Bạn chọn phương án nào?