Aceasta acoperă atât software-ul pe care o organizație îl produce, cât și pe cel pe care îl consumă, de la selectarea componentelor upstream prin construire, distribuire, verificare, operare și retragere a lansărilor.
Disciplina combină dezvoltarea sigură cu guvernanța integrării continue și livrării sau implementării continue (CI/CD), dependențelor, provenienței build-urilor, atestărilor, semnării, aprobării lansărilor și răspunsului la incidente. Producătorii și consumatorii au nevoie de dovezi verificabile și politici aplicabile, nu doar de inventare sau asigurări de la părți upstream.
Puncte esențiale
Upstream și sursăEvaluați dependențele și furnizorii, constrângeți modificările depozitelor, protejați identitățile dezvoltatorilor, revizuiți contribuțiile și urmăriți componentele și vulnerabilitățile cunoscute pe versiunile suportate.
Build și lansareIzolați și întăriți sistemele de build, minimizați privilegiile, protejați secretele, generați proveniență demnă de încredere, semnați artefactele, separați aprobările și securizați registrele și canalele de actualizare.
Consum și răspunsVerificați originea și integritatea înainte de implementare, păstrați înregistrări de dependențe și proveniență, monitorizați divulgările și indicatorii de compromitere și pregătiți-vă să înlocuiți, revocați sau reconstruiți software afectat.
Limitare importantăO listă de materiale software (SBOM), o semnătură, o declarație de proveniență sau un nivel de conformitate furnizează dovezi limitate, nu dovada că software-ul este lipsit de vulnerabilități sau necompromis. Un artefact valid poate proveni dintr-un proces de build autorizat, dar compromis.