# Ce este securitatea lanțului de aprovizionare software?

> Securitatea lanțului de aprovizionare software este disciplina de protejare a codului sursă, dependențelor, instrumentelor de dezvoltare, identităților, sistemelor de build și test, depozitelor de artefacte, proceselor de lansare și canalelor de actualizare împotriva modificărilor neautorizate sau nesigure.

- URL canonic: https://yellowcube.eu/ro/glossary/software-supply-chain-security/
- Editor: Yellow Cube
- Limbă: ro
- Contact: hello@yellowcube.eu

## Conținut

Aceasta acoperă atât software-ul pe care o organizație îl produce, cât și pe cel pe care îl consumă, de la selectarea componentelor upstream prin construire, distribuire, verificare, operare și retragere a lansărilor.

Disciplina combină dezvoltarea sigură cu guvernanța integrării continue și livrării sau implementării continue (CI/CD), dependențelor, provenienței build-urilor, atestărilor, semnării, aprobării lansărilor și răspunsului la incidente. Producătorii și consumatorii au nevoie de dovezi verificabile și politici aplicabile, nu doar de inventare sau asigurări de la părți upstream.

### Puncte esențiale

- **Upstream și sursă:** Evaluați dependențele și furnizorii, constrângeți modificările depozitelor, protejați identitățile dezvoltatorilor, revizuiți contribuțiile și urmăriți componentele și vulnerabilitățile cunoscute pe versiunile suportate.
- **Build și lansare:** Izolați și întăriți sistemele de build, minimizați privilegiile, protejați secretele, generați proveniență demnă de încredere, semnați artefactele, separați aprobările și securizați registrele și canalele de actualizare.
- **Consum și răspuns:** Verificați originea și integritatea înainte de implementare, păstrați înregistrări de dependențe și proveniență, monitorizați divulgările și indicatorii de compromitere și pregătiți-vă să înlocuiți, revocați sau reconstruiți software afectat.
- **Limitare importantă:** O listă de materiale software (SBOM), o semnătură, o declarație de proveniență sau un nivel de conformitate furnizează dovezi limitate, nu dovada că software-ul este lipsit de vulnerabilități sau necompromis. Un artefact valid poate proveni dintr-un proces de build autorizat, dar compromis.

### Termeni asociați

[Securitatea lanțului de aprovizionare](<https://yellowcube.eu/ro/glossary/supply-chain-security/>) · [Atac asupra lanțului de aprovizionare](<https://yellowcube.eu/ro/glossary/supply-chain-attack/>) · [Listă de materiale software (SBOM)](<https://yellowcube.eu/ro/glossary/software-bill-of-materials/>) · [Securitatea pipeline-urilor CI/CD](<https://yellowcube.eu/ro/glossary/continuous-integration-and-continuous-delivery-or-deployment-pipeline-security/>) · [Gestionarea vulnerabilităților](<https://yellowcube.eu/ro/glossary/vulnerability-management/>)

### Surse

[NIST SP 800-218, Secure Software Development Framework (SSDF) Version 1.1](https://csrc.nist.gov/pubs/sp/800/218/final) · [NIST SP 800-204D, Strategies for the Integration of Software Supply Chain Security in DevSecOps CI/CD Pipelines](https://csrc.nist.gov/pubs/sp/800/204/d/final) · [Supply-chain Levels for Software Artifacts (SLSA), Specification v1.2](https://slsa.dev/spec/v1.2/)

## Să construim o apărare cibernetică mai eficientă împreună

Construim parteneriate de durată, bazate pe încredere, expertiză și succes comun. Fie că doriți să vă dezvoltați afacerea, să vă extindeți oferta de securitate cibernetică sau să lansați soluții inovatoare pe piețe noi, Yellow Cube vă sprijină pe termen lung.

[Luați legătura cu Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Sursa și domeniul de aplicare

Această versiune Markdown este generată din aceleași înregistrări aprobate ca pagina HTML canonică. Pentru citare, utilizați URL-ul canonic.