What enterprise procurement asks, and what most agencies cannot answer

Μια τράπεζα δεν αγοράζει λογισμικό όπως ο ιδρυτής μιας νέας επιχείρησης. Ο άνθρωπος που έγραψε το brief, που του άρεσε η δουλειά σας και θέλει να προχωρήσει, σπάνια είναι αυτός που αποφασίζει. Ανάμεσα σε εκείνη τη συζήτηση και την υπογραφή μεσολαβούν τέσσερα τμήματα: ασφάλεια πληροφοριών, νομικό, προστασία δεδομένων και προμήθειες. Το καθένα έχει τις δικές του φόρμες, δικαίωμα βέτο και κανένα ενδιαφέρον για το design. Οι εταιρείες χάνουν έργα μεγάλων οργανισμών σε αυτό το στάδιο πολύ πιο συχνά απ' ό,τι στην πρόταση. Και συνήθως δεν μαθαίνουν ποτέ ότι εκεί τα έχασαν.

Ξεκινά με ένα ερωτηματολόγιο ασφαλείας, και ο σκοπός του δεν είναι να σας πιάσει αδιάβαστους. Θέλει να διαπιστώσει ότι φτιάχνετε λογισμικό με διαδικασία, όχι στηριγμένοι μόνο στο ταλέντο. Πώς ελέγχεται ο κώδικας πριν ενσωματωθεί. Πώς σαρώνονται οι εξαρτήσεις και πόσο γρήγορα διορθώνεται μια κρίσιμη ειδοποίηση ασφαλείας. Πού φυλάσσονται τα μυστικά, και αν ένας μηχανικός που έφυγε έχει ακόμη πρόσβαση στην παραγωγή τη Δευτέρα. Ποιος σηκώνει το τηλέφωνο στις δύο τα ξημερώματα, και πόσο γρήγορα. Σε όλα αυτά απαντάτε σε μία σελίδα αν η απάντηση είναι αληθινή. Δεν απαντάτε ούτε σε είκοσι αν δεν είναι.

Μετά η ταυτότητα των χρηστών, δηλαδή ποιος συνδέεται και με ποια δικαιώματα. Εδώ τα περισσότερα έργα ανακαλύπτουν ότι το αντικείμενό τους ορίστηκε λάθος. Ένας μεγάλος οργανισμός δεν θέλει ακόμη ένα σετ κωδικών. Θέλει τον δικό του κατάλογο χρηστών, μέσω SAML ή OpenID Connect, με τους ρόλους που ήδη διατηρεί. Δίπλα του βρίσκεται το ίχνος ελέγχου (audit trail): ποιος έκανε τι, σε ποια εγγραφή, πότε, και ποια ήταν η τιμή πριν. Αυτό δεν είναι ένα αρχείο log. Είναι λειτουργία του προϊόντος, με δομή, πολιτική διατήρησης και οθόνη. Αν σχεδιαστεί από την αρχή, κοστίζει ένα κλάσμα από όσο κοστίζει να προστεθεί εκ των υστέρων σε ένα σύστημα χτισμένο για ένα μόνο είδος χρήστη.

Ακολουθεί η προστασία δεδομένων, και έρχεται γραπτώς. Σύμφωνα με το Άρθρο 28 του GDPR, ο προμηθευτής είναι εκτελών την επεξεργασία και η σύμβαση δεν είναι προαιρετική. Χρειάζονται τεκμηριωμένες οδηγίες, ονομαστική λίστα υπεργολάβων επεξεργασίας, ειδοποίηση πριν αλλάξει αυτή η λίστα, πού βρίσκονται φυσικά τα δεδομένα, πόσο καιρό κρατιούνται, πώς διαγράφονται και πώς τα ελέγχει ο πελάτης. Αν μια εταιρεία δεν έχει φτιάξει ποτέ σύμβαση επεξεργασίας δεδομένων, θα της ζητηθεί τη δεύτερη εβδομάδα του νομικού ελέγχου. Και θα περάσει έναν μήνα φτιάχνοντας κάτι που μετά θα απορρίψει ένας δικηγόρος.

Η συνέχεια είναι το ερώτημα πίσω από όλα τα άλλα: τι γίνεται με εμάς αν εξαφανιστεί αυτός ο προμηθευτής. Η απάντηση βρίσκεται στο πού είναι το repository και σε ποιον οργανισμό ανήκει, στο αν η υποδομή τρέχει στον δικό λογαριασμό cloud του πελάτη, στο αν η τεκμηρίωση θα επέτρεπε σε έναν ικανό τρίτο να αναλάβει, και στο αν το σύστημα το καταλαβαίνουν πολλοί άνθρωποι ή μόνο ένας. Τη δική μας απάντηση τη δημοσιεύουμε από πριν, στη σελίδα τι σας ανήκει. Σε έναν έλεγχο προμηθειών σας πιστεύουν πιο εύκολα όταν η θέση σας ήταν δημόσια πριν ξεκινήσει ο έλεγχος.

Το εμπορικό κομμάτι συζητιέται λιγότερο και κρίνει περισσότερο. Τα ανώτατα όρια ευθύνης, που ένας μεγάλος αγοραστής θα τα θέλει πάνω από την αξία της σύμβασης και ένας μικρός προμηθευτής δεν μπορεί υπεύθυνα να τα δώσει. Η ασφάλιση επαγγελματικής ευθύνης, συγκεκριμένη και σε ισχύ. Τα στοιχεία της εταιρείας, ΑΦΜ και εγγραφή στο ΓΕΜΗ, χωρίς τα οποία ο προμηθευτής δεν μπορεί καν να καταχωριστεί. Και όροι πληρωμής εξήντα ή ενενήντα ημερών, που κρίνουν αν μια εταιρεία οκτώ ανθρώπων μπορεί να αναλάβει τη δουλειά, όσο κι αν τη θέλει. Ένας προμηθευτής που δεν έχει σκεφτεί τίποτα από αυτά δεν απορρίπτεται επειδή είναι μικρός. Απορρίπτεται επειδή δεν μπορεί να καταχωριστεί ως προμηθευτής.

Όλα αυτά ακούγονται σαν επιχείρημα υπέρ της μεγαλύτερης εταιρείας που μπορείτε να βρείτε. Είναι το αντίθετο. Οι μεγάλοι προμηθευτές απαντούν σε αυτές τις ερωτήσεις με όγκο: ένα παράρτημα ασφαλείας εκατό σελίδων που δεν δεσμεύεται σε τίποτα συγκεκριμένο, ένα διάγραμμα αρχιτεκτονικής σχεδιασμένο για την παρουσίαση, μια ομάδα με ονόματα που αλλάζει δύο φορές πριν από την παράδοση. Ένας μικρός προμηθευτής μπορεί να απαντήσει σε κάθε ερώτηση με τρεις προτάσεις που είναι αληθινές, και να δεσμευτεί σε αυτές. Το πλεονέκτημα δεν είναι το μέγεθος. Είναι ότι οι ίδιοι άνθρωποι που απαντούν στο ερωτηματολόγιο θα γράψουν και τον κώδικα.

Το πρακτικό συμπέρασμα δεν είναι εντυπωσιακό. Ετοιμάστε τον φάκελο μία φορά και κρατήστε τον ενημερωμένο: μια σύνοψη της αρχιτεκτονικής, ένα σημείωμα για τη διαδικασία ασφάλειας και ανάπτυξης, μια σύμβαση επεξεργασίας δεδομένων, μια λίστα υπεργολάβων επεξεργασίας, ένα πλάνο αποχώρησης και παράδοσης. Παίρνει μία εβδομάδα. Από εκεί και πέρα επισυνάπτεται σε κάθε πρόταση, αντί να μαζεύεται βιαστικά, μέσα σε πανικό, στη μέση ενός ελέγχου. Κάνει τη διαφορά ανάμεσα στην επιλογή που τους άρεσε και στην επιλογή που περνά τον νομικό έλεγχο.