Залежність транзитивна так, як власність не є
Власність це відносини командування. Залежність це відносини, у яких успадковують ризик, і ризик подорожує. Клієнт, який сидить трьома шарами вище вбудованого субпроцесора, успадковує весь його ризик, не маючи з ним жодних відносин, жодного договору й часто жодного уявлення про його існування. Ризик поширюється вниз автоматично, і сторони, які його несуть, зазвичай останні його бачать.
Саме тому вирішального контролю можна досягти через граф залежностей, а не через власність. Нікому не потрібно володіти системами, на які ви спираєтеся, якщо він може сидіти в них як субпроцесор. Власність з’ясовують першою, бо саме вона робить решту обчислюваною, а не тому, що це єдиний шлях до контролю.
Показник, який тут важливий, це концентрація у співвідношенні із замінністю. Один непрозорий вузол, який ухвалює ключове рішення за всіх, хто стоїть після нього, є вузьким місцем навіть тоді, коли його власність цілком чиста. Чиста власність не є гарантією, це знімок. Картування цього ризику спирається на іншу доказову базу, ніж корпоративні реєстри: розкриття інтеграцій і партнерів, договори про обробку даних і списки субпроцесорів, звіти SOC 2, переліки компонентів програмного забезпечення (SBOM), повідомлення про порушення та закупівельні записи. Субпроцесор, який має з’явитися в обов’язковому розкритті й не з’являється, сам є висновком.