# Czym jest bezpieczeństwo łańcucha dostaw oprogramowania?

> Bezpieczeństwo łańcucha dostaw oprogramowania (software supply-chain security) to dyscyplina ochrony kodu źródłowego, zależności, narzędzi deweloperskich, tożsamości, systemów budowy i testowania, repozytoriów artefaktów, procesów wydań i kanałów aktualizacji przed nieautoryzowaną lub niebezpieczną zmianą.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/software-supply-chain-security/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Obejmuje zarówno oprogramowanie, które organizacja produkuje, jak i to, które konsumuje — od wyboru komponentów upstream przez budowanie, dystrybucję, weryfikację, eksploatację i wycofywanie wydań.

Dyscyplina łączy bezpieczny rozwój z zarządzaniem ciągłą integracją i ciągłym dostarczaniem lub wdrażaniem (CI/CD), zależnościami, pochodzeniem budowy, atestacjami, podpisywaniem, zatwierdzaniem wydań i reagowaniem na incydenty. Producenci i konsumenci potrzebują weryfikowalnych dowodów i wymuszalnej polityki, a nie tylko inwentarzy lub zapewnień od stron upstream.

### Najważniejsze punkty

- **Upstream i źródło:** Oceniaj zależności i dostawców, ograniczaj zmiany repozytoriów, chroń tożsamości deweloperów, przeglądaj wkłady i śledź komponenty oraz znane podatności przez wszystkie wspierane wersje.
- **Budowa i wydanie:** Izoluj i wzmacniaj systemy budowy, minimalizuj uprawnienia, chroń sekrety, generuj wiarygodne pochodzenie, podpisuj artefakty, oddzielaj zatwierdzenia oraz zabezpieczaj rejestry i kanały aktualizacji.
- **Konsumpcja i reakcja:** Weryfikuj pochodzenie i integralność przed wdrożeniem, zachowuj rekordy zależności i pochodzenia, monitoruj ujawnienia i wskaźniki naruszenia bezpieczeństwa oraz przygotuj się do zastąpienia, unieważnienia lub odbudowania dotkniętego oprogramowania.
- **Istotne ograniczenie:** Wykaz komponentów oprogramowania (SBOM), podpis, oświadczenie o pochodzeniu ani poziom zgodności dostarcza ograniczonego dowodu, a nie dowodu, że oprogramowanie jest wolne od podatności lub nieskompromitowane. Ważny artefakt może pochodzić z autoryzowanego, ale skompromitowanego procesu budowy.

### Powiązane terminy

[Bezpieczeństwo łańcucha dostaw](<https://yellowcube.eu/pl/glossary/supply-chain-security/>) · [Atak na łańcuch dostaw](<https://yellowcube.eu/pl/glossary/supply-chain-attack/>) · [Wykaz komponentów oprogramowania (SBOM)](<https://yellowcube.eu/pl/glossary/software-bill-of-materials/>) · [Bezpieczeństwo potoków CI/CD](<https://yellowcube.eu/pl/glossary/continuous-integration-and-continuous-delivery-or-deployment-pipeline-security/>) · [Zarządzanie podatnościami](<https://yellowcube.eu/pl/glossary/vulnerability-management/>)

### Źródła

[NIST SP 800-218, Secure Software Development Framework (SSDF) Version 1.1](https://csrc.nist.gov/pubs/sp/800/218/final) · [NIST SP 800-204D, Strategies for the Integration of Software Supply Chain Security in DevSecOps CI/CD Pipelines](https://csrc.nist.gov/pubs/sp/800/204/d/final) · [Supply-chain Levels for Software Artifacts (SLSA), Specification v1.2](https://slsa.dev/spec/v1.2/)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.