Pokrývá software, který organizace produkuje, i software, který spotřebovává — od výběru upstream komponent přes build, distribuci, ověřování, provoz a vyřazení vydání.
Disciplína kombinuje bezpečný vývoj se správou kontinuální integrace a kontinuálního doručování či nasazování (CI/CD), závislostí, provenience buildu, atestací, podepisování, schválení vydání a reakce na incidenty. Producenti i spotřebitelé potřebují ověřitelné důkazy a vynutitelnou politiku, nikoli pouze inventáře či ujištění od upstream stran.
Klíčové body
Upstream a zdrojPosuzujte závislosti a dodavatele, omezujte změny repozitářů, chraňte identity vývojářů, přezkoumávejte příspěvky a sledujte komponenty a známé zranitelnosti napříč podporovanými verzemi.
Build a vydáníIzolujte a zpevňujte build systémy, minimalizujte privilegia, chraňte tajné údaje, generujte důvěryhodnou provenienci, podepisujte artefakty, oddělujte schválení a zabezpečujte registry a aktualizační kanály.
Spotřeba a reakceOvěřujte původ a integritu před nasazením, uchovávejte záznamy závislostí a provenience, monitorujte zveřejnění a indikátory kompromitace a připravte se nahradit, odvolat či přestavět postižený software.
Důležité omezeníSoftware bill of materials (SBOM), podpis, prohlášení provenience či úroveň konformity dodává ohraničené důkazy, nikoli důkaz, že software je prost zranitelností či nekompromitovaný. Platný artefakt může pocházet z autorizovaného, ale kompromitovaného build procesu.