Güvenlik Sertifikaları Neyi Garanti Eder, Neyi Etmez?

Sertifika, satın alma dosyasında en kolay yanlış okunan belgedir. Kutunun üzerinde bir logo görüldüğünde varsayılan yorum “bu ürün onaylanmış” olur. Belgenin kendisi ise çok daha dar bir şey söyler.

Bir güvenlik belgelendirmesi şunu ifade eder. Adı geçen ürünün adı geçen sürümü, tanımlı bir yapılandırmada, tanımlı bir güvenlik iddiaları kümesine karşı, bağımsız bir laboratuvarda sınanmıştır. Cümlenin her parçası sınırlayıcıdır. Kapsam belgede tanımlıdır ve kapsam dışında kalan işlevler test edilmemiştir. Bu bir eksiklik değil, yöntemin kendisi. Değerlendirme sınırlı ve yazılı bir hedefe yapılır, “ürün güvenlidir” gibi genel bir sonuca değil.

Belgenin Söylemediği Dört Şey

Ürün ailesinin tamamı. Belge tek bir modele ya da model kümesine verilir. Aynı markanın küçük modeli farklı bir yazılım tabanı kullanıyor olabilir.

Güncel sürüm. Değerlendirme aylar süren bir iştir ve bittiğinde ürün genellikle birkaç sürüm ilerlemiştir. Size teklif edilen sürümün belgeli sürüm olması, ayrıca sorulması gereken bir şeydir.

Sizin yapılandırmanız. Değerlendirme, belgede tarif edilen bir kurulum biçimini varsayar. Sahada o biçimin dışına çıkıldığında belge o kurulumu kapsamaz.

Rakibinden iyi olduğu. İki ürünün belgeleri farklı kapsamlara ve farklı iddia kümelerine yazılmışsa, belgeler karşılaştırılabilir değildir. Belgesiz bir ürünün daha zayıf olduğu da çıkarılamaz; belgelendirme bir maliyet kalemidir ve her üretici her pazar için almaz.

Satıcıya Sorulacaklar

Belge şartı koyacaksanız, teklif dosyasında şu cevapların yazılı olmasını isteyin:

1. Belge hangi ürün ve hangi sürüm için verildi?
2. Bize teklif edilen sürüm o sürüm mü? Değilse aradaki fark ne?
3. Belge hangi tarihte verildi, geçerliliği sürüyor mu, sürdürme yükümlülüğü nasıl işliyor?
4. Değerlendirme kapsamına hangi işlevler girdi? Bizim kullanacağımız modüller kapsamda mı?
5. Belgenin öngördüğü yapılandırma nedir, bizim kuracağımız kurulum onunla uyumlu mu?
6. Belgenin kendisini görebilir miyiz?

Son madde en çok işe yarayanıdır. Belgeyi okumak çoğu zaman ilk beş sorunun cevabını da verir. Cevaplar sözlü verildiğinde de teklif dosyasına yazılmasını isteyin; belgenin kapsamına ilişkin bir beyan, sonradan tartışma çıktığında sözlü bir açıklamadan farklı bir yerde durur.

Belge numarasını, seviyesini ya da tarihini şartnameye kendiniz yazmayın. Bunlar doğrulanması gereken veriler; teklif sahibinden alınır, alıcı tarafından varsayılmaz.

Şartnamede Nereye Konur

Belge şartı, ölçülebilir teknik kriterin yerine geçmez. İkisi farklı şeyler ölçer. Belge, ürünün geçmişte tanımlı bir kapsamda sınandığını; kriter ise sizin ortamınızda ne yapacağını.

Bir de rekabet tarafı var. Sınırlı sayıda üreticinin sahip olduğu bir belgeyi zorunlu tutmak, marka adı yazmadan markayı işaret etmenin bilinen yollarından biri. Bu kalıp marka yazmadan teknik yeterlilik yazısında ayrıntısıyla anlatıldı. Belgeyi şart koşmadan önce kaç üreticinin karşılayabildiğine bakın; gerçekten gerekli ise gerekçesini yazın.

Belge, kabul testinin de yerine geçmez. Laboratuvarda sınanmış bir sürümü kendi trafiğinizle ölçmeden teslim almak, iki farklı soruya tek cevapla yetinmek olur.