mjukvaruberoende

Mjukvaruberoende är relationen där en mjukvarukomponent förlitar sig på en eller flera andra komponenter för att fungera. Beroenden kan vara biblioteksmoduler, ramverk, tredjepartsprogramvara eller externa tjänster och körmiljöer. De specificeras ofta i manifest eller konfigurationsfiler och hanteras av specialiserade verktyg.

Beroenden delas vanligtvis upp i utvecklings- och driftsberoenden samt beroenden till operativsystemet eller plattformen. Vanliga exempel är paket- och byggsystem som npm, Maven, pip eller NuGet, samt OS-paketförvaltare som apt eller yum. Beroendehantering inkluderar att ange versioner, lösa gränser och se till att bygg- och körmiljöer kan reproduceras.

Riskerna med mjukvaruberoende är bland annat sårbarheter i libraries, ökat underhållsbehov när beroenden utvecklas eller avvecklas, versionskonflikter som gör systemet ostabilt, samt licens- och upphovsrättsliga krav. Leverantörs- och försörjningskedje-risker uppstår när externa beroenden inte längre underhålls eller plötsligt ändrar villkor. Reproducerbarhet och driftsäkerhet påverkas om beroenden saknas eller ändras utan kontroll.

God hantering av beroenden innefattar tydlig versionkontroll, användning av låsfiler eller deterministiska byggprocesser, kontinuerlig säkerhets- och licensskanning samt att upprätta en Software Bill of Materials (SBOM). I organisationer bör policyer för licensanvändning, uppdateringsrutiner och ansvarsfördelning finnas för att minimera risker och säkerställa efterlevnad.