# Co je zabezpečení dodavatelského řetězce softwaru?

> Zabezpečení dodavatelského řetězce softwaru (software supply-chain security) je disciplína ochrany zdrojového kódu, závislostí, vývojových nástrojů, identit, systémů buildu a testu, repozitářů artefaktů, procesů vydání a aktualizačních kanálů před neautorizovanou či nebezpečnou změnou.

- Kanonická URL: https://yellowcube.eu/cs/glossary/software-supply-chain-security/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Pokrývá software, který organizace produkuje, i software, který spotřebovává — od výběru upstream komponent přes build, distribuci, ověřování, provoz a vyřazení vydání.

Disciplína kombinuje bezpečný vývoj se správou kontinuální integrace a kontinuálního doručování či nasazování (CI/CD), závislostí, provenience buildu, atestací, podepisování, schválení vydání a reakce na incidenty. Producenti i spotřebitelé potřebují ověřitelné důkazy a vynutitelnou politiku, nikoli pouze inventáře či ujištění od upstream stran.

### Klíčové body

- **Upstream a zdroj:** Posuzujte závislosti a dodavatele, omezujte změny repozitářů, chraňte identity vývojářů, přezkoumávejte příspěvky a sledujte komponenty a známé zranitelnosti napříč podporovanými verzemi.
- **Build a vydání:** Izolujte a zpevňujte build systémy, minimalizujte privilegia, chraňte tajné údaje, generujte důvěryhodnou provenienci, podepisujte artefakty, oddělujte schválení a zabezpečujte registry a aktualizační kanály.
- **Spotřeba a reakce:** Ověřujte původ a integritu před nasazením, uchovávejte záznamy závislostí a provenience, monitorujte zveřejnění a indikátory kompromitace a připravte se nahradit, odvolat či přestavět postižený software.
- **Důležité omezení:** Software bill of materials (SBOM), podpis, prohlášení provenience či úroveň konformity dodává ohraničené důkazy, nikoli důkaz, že software je prost zranitelností či nekompromitovaný. Platný artefakt může pocházet z autorizovaného, ale kompromitovaného build procesu.

### Související termíny

[Zabezpečení dodavatelského řetězce](<https://yellowcube.eu/cs/glossary/supply-chain-security/>) · [Útok na dodavatelský řetězec](<https://yellowcube.eu/cs/glossary/supply-chain-attack/>) · [Seznam softwarových komponent (SBOM)](<https://yellowcube.eu/cs/glossary/software-bill-of-materials/>) · [Zabezpečení pipeline CI/CD](<https://yellowcube.eu/cs/glossary/continuous-integration-and-continuous-delivery-or-deployment-pipeline-security/>) · [Řízení zranitelností](<https://yellowcube.eu/cs/glossary/vulnerability-management/>)

### Zdroje

[NIST SP 800-218, Secure Software Development Framework (SSDF) Version 1.1](https://csrc.nist.gov/pubs/sp/800/218/final) · [NIST SP 800-204D, Strategies for the Integration of Software Supply Chain Security in DevSecOps CI/CD Pipelines](https://csrc.nist.gov/pubs/sp/800/204/d/final) · [Supply-chain Levels for Software Artifacts (SLSA), Specification v1.2](https://slsa.dev/spec/v1.2/)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.