owasp/software-component-verification-standardSoftware-Komponenten-Verifikationsstandard (SCVS)
Der Standard zur Verifizierung von Softwarekomponenten (SCVS) ist eine gemeinschaftliche Initiative zur Etablierung eines Rahmens für Aktivitäten, Kontrollen und Best Practices, die dabei helfen können, Risiken in einer Software-Lieferkette zu erkennen und zu reduzieren.
Das Management von Risiken in der Software-Lieferkette ist wichtig, um die Angriffsfläche von Systemen zu verringern, die anfällig für Exploits sind, und um technische Schulden als Hindernis für die Behebung zu messen.
Die Messung und Verbesserung der Sicherheitszusicherung in der Software-Lieferkette ist für den Erfolg entscheidend. Organisationen mit Transparenz in ihrer Lieferkette sind besser in der Lage, ihre Marke zu schützen, Vertrauen zu stärken, die Time-to-Market zu verkürzen und Kosten im Falle eines Sicherheitsvorfalls in der Lieferkette zu steuern.
Software-Lieferketten umfassen:
Die Messlatte für die Sicherheitszusicherung in der Lieferkette höher zu legen, erfordert die aktive Beteiligung von Risikomanagern, Verantwortlichen für Missionen sowie Geschäftsbereichen wie Recht und Beschaffung, die traditionell nicht in technische Implementierungen eingebunden waren.
Die Festlegung von Risikoakzeptanzkriterien ist kein Problem, das durch Unternehmenswerkzeuge gelöst werden kann: Es liegt an Risikomanagern und Geschäftsentscheidern, die Vorteile und Abwägungen von Sicherheitsmaßnahmen auf der Grundlage von Systemexposition, regulatorischen Anforderungen sowie begrenzten finanziellen und personellen Ressourcen zu bewerten. Vorgaben, die intern nicht umsetzbar sind oder Entwicklung beziehungsweise Beschaffung zum Stillstand bringen, stellen selbst ein Sicherheits- und institutionelles Risiko dar.
SCVS ist darauf ausgelegt, schrittweise implementiert zu werden, und ermöglicht es Organisationen, Kontrollen im Laufe der Zeit auf verschiedenen Stufen einzuführen.
