Obejmuje zarówno oprogramowanie, które organizacja produkuje, jak i to, które konsumuje — od wyboru komponentów upstream przez budowanie, dystrybucję, weryfikację, eksploatację i wycofywanie wydań.
Dyscyplina łączy bezpieczny rozwój z zarządzaniem ciągłą integracją i ciągłym dostarczaniem lub wdrażaniem (CI/CD), zależnościami, pochodzeniem budowy, atestacjami, podpisywaniem, zatwierdzaniem wydań i reagowaniem na incydenty. Producenci i konsumenci potrzebują weryfikowalnych dowodów i wymuszalnej polityki, a nie tylko inwentarzy lub zapewnień od stron upstream.
Najważniejsze punkty
Upstream i źródłoOceniaj zależności i dostawców, ograniczaj zmiany repozytoriów, chroń tożsamości deweloperów, przeglądaj wkłady i śledź komponenty oraz znane podatności przez wszystkie wspierane wersje.
Budowa i wydanieIzoluj i wzmacniaj systemy budowy, minimalizuj uprawnienia, chroń sekrety, generuj wiarygodne pochodzenie, podpisuj artefakty, oddzielaj zatwierdzenia oraz zabezpieczaj rejestry i kanały aktualizacji.
Konsumpcja i reakcjaWeryfikuj pochodzenie i integralność przed wdrożeniem, zachowuj rekordy zależności i pochodzenia, monitoruj ujawnienia i wskaźniki naruszenia bezpieczeństwa oraz przygotuj się do zastąpienia, unieważnienia lub odbudowania dotkniętego oprogramowania.
Istotne ograniczenieWykaz komponentów oprogramowania (SBOM), podpis, oświadczenie o pochodzeniu ani poziom zgodności dostarcza ograniczonego dowodu, a nie dowodu, że oprogramowanie jest wolne od podatności lub nieskompromitowane. Ważny artefakt może pochodzić z autoryzowanego, ale skompromitowanego procesu budowy.